Quando Outlook non invia, la webmail non si apre e le approvazioni si fermano, il problema diventa subito organizzativo. Per aziende e PMI servono tre verifiche: capire che cosa è indisponibile, mantenere le attività essenziali e valutare l’impatto sui dati personali.
Stato del servizio: per gli aggiornamenti sul tuo ambiente consulta Integrità del servizio nel Microsoft 365 admin center e la pagina pubblica Microsoft. Questa guida non sostituisce la verifica dell’incidente che riguarda la tua organizzazione.
Prima di intervenire, individua il problema
Un errore di Outlook può dipendere dal dispositivo, dall’account, dalla rete aziendale o dal servizio cloud. Chiedi al referente IT se il problema coinvolge altre persone e annota quali funzioni non rispondono: accesso alla casella, invio, ricezione, calendario o integrazioni. Una schermata di errore, da sola, non dimostra un guasto generale.
Microsoft indica agli amministratori la sezione Integrità → Integrità del servizio per consultare servizi interessati, stato e aggiornamenti. Se il pannello non è raggiungibile, rimanda alla pagina pubblica e al proprio canale ufficiale di stato. Conserva la comunicazione riferita al tuo ambiente, senza affidarti soltanto a titoli di giornale o segnalazioni collettive. Guida Microsoft alla verifica dello stato.
Cinque mosse nelle prime ore
- Evita modifiche locali alla cieca. Se è confermato un problema del fornitore, reinstallare l’app o cambiare password non ripristina il servizio cloud. Interventi sull’account restano invece necessari se il referente IT rileva segnali di compromissione: segui la procedura aziendale.
- Gestisci le comunicazioni urgenti. Verifica la coda dei messaggi prima di inviare di nuovo. Non presumere che siano tutti persi o tutti soltanto in ritardo. Per una comunicazione essenziale usa un canale alternativo autorizzato e tieni traccia di destinatario e contenuto, evitando duplicati.
- Attiva il piano di continuità. Individua chi coordina la risposta e come avvisare persone, clienti e fornitori. Usa strumenti aziendali approvati: non trasferire documenti riservati su caselle personali o applicazioni scelte sul momento. Se una comunicazione richiede PEC o altre formalità, verifica il canale previsto e la sua effettiva disponibilità.
- Apri un registro dell’incidente. Annota inizio rilevato, attività bloccate, caselle o gruppi interessati, fonti ufficiali, decisioni e ripristino. Conserva solo le informazioni necessarie, con accesso limitato alle persone incaricate.
- Fai attenzione ai falsi messaggi di assistenza. Non inserire credenziali o codici su pagine raggiunte da comunicazioni inattese. Apri i portali ufficiali dai riferimenti già noti e segnala i messaggi sospetti al referente IT. Un’interruzione non giustifica la disattivazione indiscriminata delle protezioni.
Posta indisponibile: è un data breach?
Va valutato l’evento concreto. Le linee guida EDPB includono tra le violazioni anche un incidente di sicurezza che renda temporaneamente indisponibili dati personali. Distinguono però questa situazione, ad esempio, dalla manutenzione pianificata. Non basta sapere che una casella contiene dati personali per classificare automaticamente qualsiasi errore dell’app come violazione.
Occorre ricostruire quali dati siano stati realmente inaccessibili, per chi, per quanto tempo e con quali conseguenze. Valuta anche eventuali problemi di integrità o riservatezza. Se viene accertata una violazione, documenta fatti, effetti, misure e decisione sulla notifica. Linee guida EDPB 9/2022, paragrafi 20–22.
Documentazione, notifica e comunicazione sono passaggi diversi
- Documentazione: ogni violazione accertata va documentata, anche quando non richiede notifica.
- Notifica all’autorità: salvo che sia improbabile un rischio per i diritti e le libertà delle persone, senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione. Un ritardo richiede motivazione.
- Comunicazione agli interessati: se ricorrono i presupposti di rischio elevato, tenendo conto delle eccezioni previste dall’art. 34 GDPR.
Il titolare resta responsabile della valutazione, con il supporto del DPO e dei referenti competenti. Indicazioni del Garante sulle violazioni di dati personali.
Un guasto che ritarda una newsletter e un’interruzione che impedisce di gestire un’attività essenziale possono produrre conseguenze molto diverse. Il nostro consiglio operativo è preparare prima dell’emergenza chi raccoglie i fatti, chi valuta l’impatto e chi assume le decisioni, con un sostituto per ciascun ruolo.
E per le organizzazioni soggette alla NIS2?
La valutazione NIS2 è distinta da quella GDPR. Per i soggetti cui si applicano gli obblighi pertinenti, l’art. 25 del D.Lgs. 138/2024 riguarda gli incidenti significativi sui propri servizi e prevede passaggi di notifica al CSIRT Italia. Un disservizio del fornitore non genera automaticamente lo stesso obbligo per ogni cliente: vanno verificati perimetro, significatività e regime applicabile. Testo dell’art. 25 in Gazzetta Ufficiale.
Credito SLA: verifica il contratto, non promettere un rimborso
Il documento Microsoft SLA di novembre 2026 prevede crediti di servizio per Exchange Online secondo soglie e metriche specifiche. Non sono un rimborso automatico né un risarcimento di tutte le perdite. Il calcolo considera il servizio e gli utenti interessati, le definizioni contrattuali e le esclusioni: la durata riportata nei media non basta.
Raccogli le evidenze dell’impatto sul tuo ambiente e verifica con Microsoft, o con il partner che gestisce il contratto, condizioni, termini e procedura del reclamo. Consulta l’edizione applicabile alla sottoscrizione e presenta la richiesta nei tempi previsti. SLA Microsoft: edizioni correnti e archivio.
Aggiornamenti di sicurezza: un controllo separato
Il 10 novembre 2026 MSRC ha pubblicato CVE-2026-124194, una vulnerabilità di spoofing di Outlook con sfruttamento rilevato. La scheda richiede interazione dell’utente e indica aggiornamenti ufficiali. Questo dato non dimostra un collegamento con un’interruzione del servizio. Il referente IT deve verificare versioni e correzioni applicabili. Scheda ufficiale Microsoft Security Response Center.
Cosa preparare prima del prossimo fermo
Per noi, la continuità comincia dai processi. Una checklist utile comprende:
- un canale alternativo approvato e già noto alle persone interessate;
- una mappa delle attività che dipendono dalla posta, comprese integrazioni e approvazioni;
- obiettivi di ripristino concordati e prove periodiche adeguate alla criticità;
- una verifica delle funzioni di conservazione, backup e recupero effettivamente disponibili nel proprio piano;
- una procedura per incidenti e possibili violazioni, con responsabilità e sostituzioni definite.
Un backup, quando previsto, deve essere recuperabile anche nelle condizioni per cui è stato acquistato. Se l’accesso alle copie dipende dallo stesso servizio indisponibile, il piano va riesaminato. Non serve accumulare strumenti senza una prova del processo.
Fonti e aggiornamento
- Microsoft Learn, How to check Microsoft 365 service health.
- EDPB, Linee guida 9/2022, versione 2.0 del 28 marzo 2023.
- Garante per la protezione dei dati personali, Violazioni di dati personali; GDPR, artt. 4, 33 e 34.
- D.Lgs. 138/2024, art. 25, testo di pubblicazione in Gazzetta Ufficiale; verificare disposizioni applicabili al singolo soggetto.
- Microsoft, SLA per i servizi online, novembre 2026, condizioni generali ed Exchange Online.
- MSRC, CVE-2026-124194, pubblicata il 10 novembre 2026.
Revisione delle fonti: 13 novembre 2026. Contenuto informativo generale: la gestione di un incidente richiede una valutazione dei fatti e degli accordi applicabili.