Perimetro di sicurezza nazionale cibernetica: cos’è, come funziona, chi ci rientra

Il perimetro di sicurezza nazionale cibernetica, istituito con Decreto-Legge 21 settembre 2019, n. 105, convertito con modificazioni dalla L. 18 novembre 2019, n. 133, è, a livello nazionale, una tra le più importanti novità in materia di cyber security.

Il perimetro, in particolare, rappresenta un notevole sforzo verso la creazione di un ecosistema di governance e di responsabilità comune e condivisa nel settore della cyber security.

Cos’è e obiettivi del perimetro di sicurezza nazionale

Il perimetro è stato attuato con svariati Decreti del Presidente del Consiglio dei ministri e con un Decreto del Presidente della Repubblica adottati a partire dal 2020.

Ai sensi dell’art. 1, l’obiettivo del Perimetro è quello di assicurare un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, degli enti e degli operatori nazionali, pubblici e privati, da cui dipende:

1. l’esercizio di una funzione essenziale dello Stato, ovvero
2. la prestazione di un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato;

e dal cui malfunzionamento, interruzione, anche parziali, ovvero utilizzo improprio, possa derivare un pregiudizio per la sicurezza nazionale.

Ciò comporta che i soggetti inclusi nel PSNC debbano adottare requisiti di sicurezza e procedurali più stringenti rispetto ad organizzazioni che non rientrano nel Perimetro.

Perimetro di sicurezza nazionale: i decreti attuativi

Il primo DPCM (30 luglio 2020 n. 131) individua:

1. i soggetti che svolgono funzioni essenziali per lo Stato;
2. i settori di priorità a cui appartengono i soggetti inclusi nel Perimetro.

Inoltre, esso richiede ai soggetti inclusi nel Perimetro di predisporre ed aggiornare l’elenco di beni ICT di rispettiva pertinenza con l’indicazione delle reti, dei sistemi informativi e dei servizi informatici che li compongono.

In merito ai soggetti inclusi nel PSNC sono predisposti tre criteri attraverso i quali gli stessi sono individuati:

1. funzione essenziale (un soggetto esercita una funzione essenziale dello Stato, laddove l’ordinamento gli attribuisca compiti rivolti ad assicurare la continuità dell’azione di Governo e degli Organi costituzionali; la sicurezza interna ed esterna e la difesa dello Stato; le relazioni internazionali; la sicurezza e l’ordine pubblico; l’amministrazione della giustizia; la funzionalità dei sistemi economico e finanziario; la funzionalità dei sistemi dei trasporti);
2. servizio essenziale (un soggetto, pubblico o privato, presta un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato, laddove ponga in essere attività strumentali all’esercizio di funzioni essenziali dello Stato; attività necessarie per l’esercizio e il godimento dei diritti fondamentali; attività necessarie per la continuità degli approvvigionamenti e l’efficienza delle infrastrutture e della logistica; attività di ricerca; attività relative alle realtà produttive nel campo dell’alta tecnologia e in ogni altro settore, ove presentino rilievo economico e sociale, anche ai fini della garanzia dell’autonomia strategica nazionale, della competitività e dello sviluppo del sistema economico nazionale);
3. gradualità (tale criterio tiene conto dell’entità del pregiudizio per la sicurezza nazionale che, in relazione alle specificità dei diversi settori di attività, può derivare dal malfunzionamento, dall’interruzione, anche parziali, ovvero dall’utilizzo improprio delle reti, dei sistemi informativi e dei servizi informatici. Tale parametro deve essere considerato alla luce dei «settori di attività» indicati nel DPCM1 (art. 3) che richiama lo stesso principio di gradualità e definisce ulteriori criteri di individuazione dei soggetti rientranti nel perimetro di sicurezza).

Il secondo DPCM (14 aprile 2021 n. 81):

1. precisa che le categorie di incidenti aventi impatto sui beni ICT sono indicate in due tabelle (Allegato A del DPCM) in cui sono indicati gli incidenti meno gravi e più gravi con diverse tempistiche per la segnalazione (rispettivamente 6 ore e 1 ora);
2. indica gli obblighi in materia di notifiche degli incidenti aventi impatto sui beni ICT (reti, sistemi informativi e servizi informativi) al CSIRT;
3. fornisce informazioni in merito alle misure di sicurezza che i soggetti inclusi nel Perimetro devono adottare, per ciascun bene ICT di rispettiva pertinenza (le misure sono indicate nell’Allegato B del DPCM);
4. precisa che i soggetti inclusi nel perimetro, dopo l’avvenuta adozione delle misure di sicurezza, ne danno tempestivamente comunicazione all’ACN.

Inoltre, è necessario menzionare il DPR del 5 febbraio 2021, n. 54 che:

1. individua le procedure, le modalità ed i termini da seguire ai fini delle valutazioni da parte del CVCN e dei CV della sicurezza dei beni, sistemi e servizi ICT impiegati nel perimetro;
2. individua i criteri di natura tecnica per l’individuazione delle categorie di beni, sistemi e servizi ICT oggetto della valutazione (indicate nel DPCM 3);
3. individua le procedure, le modalità ed i termini con cui le Autorità competenti effettuano le attività di verifica e ispezione ai fini dell’accertamento del rispetto degli obblighi stabiliti nel decreto che istituisce il Perimetro e nei decreti attuativi.

Il terzo DPCM del 15 giugno 2021 individua:

1. le categorie di beni, sistemi e servizi ICT destinati ad essere impiegati nel Perimetro in relazione alle quali i soggetti inclusi nel Perimetro devono effettuare la comunicazione al CVCN (Centro di Valutazione e Certificazione nazionale, istituito inizialmente presso il Ministero dello sviluppo economico e ora presso l’Agenzia per la Cybersicurezza Nazionale) o ai CV (centri di valutazione del Ministero dell’Interno e del Ministero della Difesa);
2. le categorie che sono state definite attenendosi ai criteri tecnici stabiliti dal DPR 54/2021.

Infine, il quarto DPCM (18 maggio 2022 n. 92) costituisce la rete nazionale di laboratori pubblico-privati a supporto del CVCN (LAP) per la conduzione di attività di testing e scrutinio tecnologico su beni, servizi e sistemi ICT ricompresi nel perimetro.

Conclusioni

A livello nazionale è fondamentale ricordare anche la Legge 90/2024 recante Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici (cosiddetta “legge cybersecurity“), la quale ha un impatto sui soggetti PSNC.

Oltre a ciò, è fondamentale tenere in considerazione anche il D.lgs. 138/2024 che recepisce la Direttiva NIS2, nonché tutte le svariate normative che compongono il complesso e stratificato panorama cyber security.

Questa intensa attività di produzione normativa del legislatore si è resa necessaria soprattutto per rispondere alla minaccia sempre più pressante dei cyber criminali.

Tuttavia, sta anche ai diversi attori coinvolti sapersi adeguare, entro le scadenze, alle disposizioni che li coinvolgono.