Legge cyber security, i nuovi obblighi su notifica incidenti, referenti PA e contratti pubblici

Dal prossimo 17 luglio 2024 la nuova legge sulla cyber security entrerà in vigore ed è dunque utile analizzare le diverse misure di sicurezza che mirano a rafforzare i meccanismi di protezione contro le minacce cibernetiche.

Tali disposizioni si sono rese necessarie per dare una risposta concreta contro gli attacchi dei cyber criminali, i quali, negli ultimi anni, sono stati caratterizzati da una preoccupante ascesa, complici l’imperante digitalizzazione e la scarsa preparazione degli enti a far fronte agli attacchi informatici.

Italia nel mirino dei cyber criminali

I dati dell’ultimo rapporto Clusit restituiscono un quadro allarmante in questo senso. Con 2.779 incidenti gravi analizzati a livello globale, il 2023 dà una fotografia nettamente peggiorativa rispetto ai dodici mesi precedenti, descrivendo una curva degli attacchi in inesorabile crescita.

Il Clusit rileva che nell’81% dei casi la gravità degli attacchi è elevata o critica, secondo la scala di “severity” utilizzata dai ricercatori di Clusit che si basa sulla tipologia di attacco e sugli impatti. In questo contesto, l’Italia appare sempre più nel mirino dei cyber criminali: lo scorso anno in Italia è andato a segno l’11% degli attacchi gravi globali mappati dal Clusit (era il 7,6% nel 2022), per un totale di 310 attacchi, dato che marca una crescita del 65% rispetto al 2022.

Oltre la metà degli attacchi – il 56% – ha avuto conseguenze di gravità critica o elevata. Con uno sguardo agli ultimi cinque anni, emerge inoltre che più del 47% degli attacchi totali censiti in Italia dal 2019 si è verificato nel 2023.

Stante tale situazione di preoccupante emergenza, il legislatore italiano ha voluto – e dovuto – dare una risposta concreta per cercare di rendere l’Italia più resiliente dal punto di vista cyber e lo ha fatto varando la legge sulla cyber sicurezza di cui si propone una breve analisi di seguito con riferimento alle più importanti novità.

Obblighi di segnalazione e notifica degli incidenti cyber

Il Capo I della legge reca disposizioni in materia di rafforzamento della cybersicurezza nazionale, di resilienza delle pubbliche amministrazioni e del settore finanziario, di personale e funzionamento dell’agenzia per la cyber sicurezza nazionale e degli organismi di informazione per la sicurezza, nonché di contratti pubblici di beni e servizi informatici impiegati in un contesto connesso alla tutela degli interessi nazionali strategici.

In particolare, l’art. 1 della legge statuisce l’obbligo di segnalazione e notifica degli incidenti cyber aventi impatto su reti, sistemi informativi e servizi informatici. Tali incidenti sono indicati nella tassonomia di cui all’articolo 1, comma 3-bis, del decreto-legge 21 settembre 2019 n.105, convertito, con modificazioni, dalla legge 18 novembre 2019. La tassonomia degli incidenti è stata indicata con determina del Direttore Generale dell’ACN (determina del 3 gennaio 2023, Allegato A).

La disposizione in esame si applica ai seguenti enti pubblici:

1. Pubbliche amministrazioni centrali individuate ai sensi dell’articolo 1, comma 3, della legge 31 dicembre 2009, n. 196.
2. Regioni e province autonome di Trento e Bolzano.
3. Città metropolitane.
4. Comuni con popolazione superiore a 100.000 abitanti.
5. Comuni capoluoghi di regione.
6. Società di trasporto pubblico urbano con bacino di utenza non inferiore a 100.000 abitanti.
7. Società di trasporto pubblico extraurbano operanti nell’ambito delle città metropolitane.
8. Aziende sanitarie locali.
9. Società in house che forniscono servizi informatici, servizi di trasporto, di raccolta e trattamento di acque reflue urbane, domestiche o industriali, gestione dei rifiuti.

Tali soggetti sono tenuti a segnalare e notificare qualunque incidente riconducibile alla tassonomia di cui sopra senza ritardo e comunque entro i seguenti termini:

• 24 ore dal momento in cui la pubblica amministrazione sia venuta a conoscenza dell’incidente per effettuare una prima segnalazione;
• 72 ore dalla conoscenza dell’incidente per effettuare la notifica completa.

Invece, il comma 3 dell’art. 1 prevede, inoltre, che per determinati soggetti (i comuni con popolazione superiore a 100.000 abitanti; i comuni capoluoghi di regione; le società di trasporto pubblico urbano con bacino di utenza non inferiore a 100.000 abitanti; le società di trasporto pubblico extraurbano operanti nell’ambito delle città metropolitane; le aziende sanitarie locali; le società in house degli enti fin qui richiamati, qualora siano fornitrici di servizi informatici, dei servizi di trasporto sopra indicati, dei servizi di raccolta, smaltimento o trattamento di acque reflue urbane, domestiche o industriali, ovvero servizi di gestione dei rifiuti) i medesimi obblighi di segnalazione e notifica si applichino a decorrere dal centottantesimo giorno successivo alla data di entrata in vigore della presente legge.

Il comma 6 della disposizione in esame stabilisce, poi, che nei casi di reiterata inosservanza, nell’arco di cinque anni, dell’obbligo di notifica, l’Agenzia per la cybersicurezza nazionale (ACN) applica una sanzione amministrativa pecuniaria da euro 25.000 a euro 125.000 a carico dei soggetti di cui al comma 1 del presente articolo. È importante ricordare che tale violazione può costituire causa di responsabilità disciplinare e amministrativo-contabile per i funzionari e i dirigenti responsabili.

Il parallelo con gli obblighi della Direttiva NIS 2

In tal senso, si ricorda che la Direttiva 2022/2555 relativa a misure per un livello comune elevato di cibersicurezza nell’Unione (Direttiva NIS 2) prevede la presentazione, da parte dei soggetti essenziali e importanti, di:

• un preallarme entro 24 ore dalla conoscenza di un incidente significativo e di
• una notifica entro 72 ore dalla conoscenza di un incidente significativo

I medesimi termini sono previsti dallo schema di decreto legislativo italiano per il recepimento della Direttiva NIS2, ai sensi dell’art. 25 comma 5.

Modifiche alle disposizioni sul Perimetro di sicurezza nazionale

Relativamente al termine di notifica degli incidenti, è fondamentale l’art. 3 della legge in esame, poiché essa apporta alcune modifiche alle disposizioni della normativa sul Perimetro di sicurezza nazionale cibernetica o PSNC (decreto-legge 21 settembre 2019 n.105, convertito, con modificazioni, dalla legge 18 novembre 2019).

Difatti, l’art. 3 della legge sulla cyber sicurezza stabilisce che gli incidenti disciplinati all’art. 3-bis del sopracitato decreto-legge sul PSNC (dunque, gli incidenti con un impatto sulle reti, sui sistemi informativi e sui servizi informatici diversi da quelli comunicati nell’elenco dei beni ICT) devono sottostare alle seguenti tempistiche:

• 24 ore dalla conoscenza dell’incidente per la sua segnalazione;
• 72 dalla conoscenza dell’incidente per la sua notifica.

E nel caso di reiterata inosservanza di questi termini, si applica la sanzione amministrativa pecuniaria da euro 25.000 a euro 125.000.

Il referente della cyber sicurezza nella PA

L’art. 8 comma 1 della Legge sulla cybersecurity prevede che i già citati soggetti di cui all’art. 1 comma 1 individuino una struttura, se non già presente, che provveda:

1. allo sviluppo delle politiche e delle procedure di sicurezza delle informazioni;
2. alla produzione e all’aggiornamento di sistemi di analisi preventiva di rilevamento e di un piano per la gestione del rischio informatico;
3. alla produzione e all’aggiornamento di un documento che definisca i ruoli e l’organizzazione del sistema per la sicurezza delle informazioni dell’amministrazione;
4. alla produzione e all’aggiornamento di un piano programmatico per la sicurezza di dati, sistemi e infrastrutture dell’amministrazione;
5. alla pianificazione e all’attuazione di interventi di potenziamento delle capacità per la gestione dei rischi informatici, in coerenza con i piani di cui alle lettere b) e d);
6. alla pianificazione e all’attuazione dell’adozione delle misure previste dalle linee guida per la cybersicurezza emanate dall’Agenzia per la Cybersicurezza Nazionale;
7. al monitoraggio e alla valutazione continua delle minacce alla sicurezza e delle vulnerabilità dei sistemi per il loro pronto aggiornamento di sicurezza.

La norma aggiunge che presso tali strutture operi un referente per la cybersicurezza,individuato in ragione di specifiche e comprovate professionalità e competenze in materia di cybersicurezza.

Qualora i soggetti di cui all’articolo 1, comma 1, non dispongano di personale dipendente fornito di tali requisiti, possono conferire l’incarico di referente per la cyber sicurezza a un dipendente di una pubblica amministrazione, previa autorizzazione di quest’ultima. Il nominativo del referente per la cyber sicurezza deve essere comunicato all’Agenzia per la Cybersicurezza Nazionale.

Inoltre, il ruolo delle strutture di cui sopra ex art. 8 è molto importante dato che esse verificano che i programmi e le applicazioni informatiche e di comunicazione elettronica in uso, che utilizzano soluzioni crittografiche, rispettino le linee guida sulla crittografia nonché quelle sulla conservazione delle passwordadottate dall’Agenzia per la Cybersicurezza Nazionale e dal Garante per la protezione dei dati personali, ai sensi dell’art. 9 della presente legge.

Il ruolo dell’ACN: le novità

L’articolo 10 della presente legge apporta delle modifiche al decreto-legge 14 giugno 2021, n. 82, convertito, con modificazioni, dalla legge 4 agosto 2021 n. 109, stabilendo che l’ACN provvede allo sviluppo e alla diffusione di standard, linee guida e raccomandazioni al fine di rafforzare la cybersicurezza dei sistemi informatici, alla valutazione della sicurezza dei sistemi crittografici, nonché all’organizzazione e alla gestione di attività di divulgazione finalizzate a promuovere l’utilizzo della crittografia, anche a vantaggio della tecnologia blockchain, come strumento di cybersicurezza.

La disposizione aggiunge che l’Agenzia, anche per il rafforzamento dell’autonomia industriale e tecnologica dell’Italia, promuove altresì la collaborazione con centri universitari e di ricerca per la valorizzazione dello sviluppo di nuovi algoritmi proprietari, la ricerca e il conseguimento di nuove capacità crittografiche nazionali, nonché la collaborazione internazionale con gli organismi esteri che svolgono analoghe funzioni.

Per questo motivo è istituito presso l’Agenzia, nell’ambito delle risorse umane, strumentali e finanziarie disponibili a legislazione vigente e senza nuovi o maggiori oneri a carico della finanza pubblica, il Centro nazionale di crittografia, il cui funzionamento è disciplinato con provvedimento del direttore generale dell’Agenzia stessa.

Disciplina dei contratti pubblici di beni e servizi ICT

L’articolo 14 della Legge sulla cybersecurity stabilisce che gli elementi essenziali di cybersicurezza (insieme di criteri e regole tecniche la cui conformità, da parte di beni e servizi informatici da acquisire, garantisce la confidenzialità, l’integrità e la disponibilità dei dati da trattare in misura corrispondente alle esigenze di tutela) saranno individuati tramite decreto del Presidente del Consiglio dei ministri, da adottare entro centoventi giorni dalla data di entrata in vigore della presente legge, su proposta dell’Agenzia per la cybersicurezza nazionale e previo parere del Comitato interministeriale per la sicurezza della Repubblica.

Dei succitati elementi essenziali di cybersicurezza devono tenerne conto:

1. i soggetti di cui all’articolo 2, comma 2 del codice dell’amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n.82, ossia le pubbliche amministrazioni di cui all’articolo 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165; i gestori di servizi pubblici, ivi comprese le società quotate, in relazione ai servizi di pubblico interesse; le società a controllo pubblico, come definite nel decreto legislativo 19 agosto 2016, n. 175, escluse le società quotate di cui all’articolo 2, comma 1, lettera p), del medesimo decreto che non rientrino nella categoria di cui alla lettera b);
2. i soggetti privati rientranti nel Perimetro di sicurezza nazionale cibernetica (ossia i soggetti non compresi tra quelli di cui all’articolo 2, comma2, del codice di cui al decreto legislativo 7 marzo 2005, n.82, e inseriti nell’elencazione di cui all’articolo 1, comma 2-bis, del decreto-legge 21 settembre 2019, n.105, convertito, con modificazioni, dalla legge 18 novembre 2019, n.133).

Dunque, tali soggetti devono considerare i sopracitati elementi essenziali di cyber sicurezza in relazione alle attività di approvvigionamento di beni e servizi informatici impiegati in un contesto connesso alla tutela degli interessi nazionali strategici prevedendo criteri di premialità per le proposte o per le offerte che contemplino l’uso di tecnologie di cyber sicurezza italiane o di Paesi appartenenti all’Unione europea o di Paesi aderenti all’Alleanza atlantica (NATO) o di Paesi terzi tra quelli che sono parte di accordi di collaborazione con l’Unione europea o con la NATO.

Ulteriori novità della legge sulla cyber security

Il Capo II della Legge sulla cyber security prevede disposizioni per la prevenzione e il contrasto dei reati informatici nonché in materia di coordinamento degli interventi in caso di attacchi a sistemi informatici o telematici e di sicurezza delle banche di dati in uso presso gli uffici giudiziari. In generale, si prevedono delle modifiche al codice di procedura penale e al penale con un inasprimento delle pene.

Relativamente ai reati informatici, l’art. 20 aumenta le sanzioni previste modificando il comma 1 dell’art. 24-bis del decreto legislativo 8 giugno 2001 n. 231, le quali passano da una cornice edittale ricompresa tra cento e cinquecento quote, ad una ricompresa traduecento e settecento quote.

L’art. 20 della legge modifica anche il comma 1-bis della medesima disposizione (art. 24-bis, Legge 231/2001) affermando che “in relazione alla commissione del delitto di estorsione aggravata di cui all’articolo 629 terzo comma del Codice penale, si applica all’ente una sanzione pecuniaria da trecento a ottocento quote”.

Inoltre, l’art. 20 prevede delle modifiche all’art. 24-bis del decreto legislativo 8 giugno 2001 n. 231, prevedendo, nel nuovo comma 4-bis.1, che nei casi in cui l’Agenzia ha notizia di un attacco ai danni di uno dei sistemi informatici o telematici di cui all’articolo 371-bis, comma 4-bis, del codice di procedura penale, ne informa senza ritardo il procuratore nazionale antimafia e antiterrorismo.

Conclusioni

Con la legge sulla cyber security, il legislatore nazionale ha voluto dare un segnale forte, volto a rendere il paese più resiliente dal punto di vista informatico, stante la preoccupante situazione di vulnerabilità cibernetica in cui versa, come evidenziato dall’ultimo rapporto Clusit, citato in premessa.

La legge sulla cyber security pone, tuttavia, delle complesse sfide a cui devono adeguarsi diversi attori, dalle pubbliche amministrazioni, ai soggetti inclusi nel Perimetro della sicurezza nazionale cibernetica, agli organi dello Stato (come l’ACN, il Comitato interministeriale per la sicurezza della Repubblica e altri).

In tale contesto di profonda evoluzione, è naturale chiedersi se le pubbliche amministrazioni siano pronte per adeguarsi alle nuove disposizioni, in particolare a soddisfare i termini per la segnalazione e notifica degli incidenti cyber, adottando un apparato organizzativo efficiente.

È chiaro, dunque, come questa nuova legge richieda degli sforzi di adeguamento maggiori a tutti gli attori coinvolti, in risposta all’esigenza impellente di rafforzare la sicurezza informatica e garantire, così, un equilibrio e una stabilità a multilivello che, attualmente, sono messi in discussione troppo spesso.