Il DDL cyber al Senato, il dibattito si accende su risorse e formazione

È iniziato il 20 maggio 2024 al Senato, presso le due Commissioni Affari Costituzionali e Giustizia in sede referente, l’esame del disegno di legge cybersicurezza, approvato alla Camera lo scorso 15 maggio. L’esame non sarà così rapido, come forse qualcuno si aspettava. Nove le Commissioni che dovranno esprimere il loro parere (Affari esteri e difesa, Unione europea, Bilancio, Finanze, Cultura e istruzione, Ambiente e lavori pubblici, Industria e agricoltura, Sanità e lavoro, Questioni regionali).

Entro il 28 maggio sono stati presentati 67 emendamenti, alcuni di non poco peso. In questa sede ci soffermiamo su quelli che toccano due temi, per diversi motivi, di particolare interesse e che hanno acceso il dibattito in questi mesi: risorse e formazione.

Risorse e copertura finanziaria: i punti di criticità

Come ampiamente noto, l’art. 24 dell’A.S. n. 1143 “Disposizioni in materia di rafforzamento della cybersicurezza nazionale e reati informatici” dispone che tutti gli adempimenti previsti dal disegno di legge, sia pure di notevole impegno e impatto, devono essere attuati senza ulteriori oneri, “nuovi o maggiori”, per la finanza pubblica.

Principio che ricorre più volte nel testo approvato alla Camera: le attività previste devono essere assicurate con l’utilizzo di risorse umane, strumentali e finanziarie disponibili a legislazione vigente.

Occorre però rilevare, come già più volte segnalato dalla Corte dei conti, che la clausola di neutralità finanziaria, anche se ribadita nella relazione tecnica al testo, non garantisce di per sé l’assenza di nuovi o maggiori oneri per il bilancio dello Stato. La Relazione tecnica di bilancio dovrebbe riportare e documentare, dati ed elementi che giustifichino, documentando, l’ipotesi di una mancanza di effetti negativi sui saldi di finanza pubblica.

Questo è sicuramente uno dei punti di maggiore criticità del disegno di legge: non aver assegnato risorse su un tema centrale e strategico per il paese[1]. E in questo momento storico, con un’Europa che si pone in prima linea a regolamentare l’uso sicuro e responsabile dell’Intelligenza artificiale, non si può non trovare risorse per investire sui temi della cyber sicurezza.

Gli emendamenti al DDL cyber

Ma proprio su questo punto ora intervengono numerosi emendamenti al testo, tutti con il comune obiettivo di assicurare un cambio di strategia e trovare risorse disponibili nell’ambito degli stanziamenti di bilancio.

Vediamo insieme le novità più rilevanti:

1. viene riscritto il primo comma dell’art. 24, quello della neutralità finanziaria e soppressi gli altri riferimenti nel testo;
2. vengono identificate le risorse per la copertura delle spese che la PA dovrà affrontare per le attività di segnalazione di cui all’articolo 2, comma 1-bis e per la realizzazione delle strutture e l’individuazione del referente per la cybersicurezza in attuazione dell’art. 8, commi 2-bis e 2-ter. Gli stanziamenti, previsti anche fino al 2026,arrivano a 200 milioni di euro per ciascun anno;
3. sono previsti stanziamenti specifici per la formazione del personale e perl’acquisto di strumentazione tecnologiche atte al rafforzamento della cybersicurezza;
4. viene individuato il soggetto che dovrà gestire l’assegnazione dei fondi (ACN, nell’ambito del suo bilancio o un apposito fondo del Ministero dell’economia e delle finanze) ripartiti sulla base di criteri prefissati;
5. viene anche prevista l’istituzione di un Fondo per la sicurezza informatica per l’attuazione delle disposizioni di cui alla presente legge, cui confluiscono le risorse annualmente stanziate dalla legge di bilancio per un importo, comunque, non inferiore all’1,2 per cento degli investimenti nazionali lordi, da assegnare con decreto del Ministro dell’economia e delle finanze a favore dell’ACN;
6. gli emendamenti individuano diverse possibili coperture di spesa mediante corrispondente riduzione del Fondo per interventi strutturali di politica economica[2] o del Fondo per far fronte ad esigenze indifferibili[3] o del progetto di collegamento stabile tra la Sicilia e la Calabria[4].

Il tema centrale della formazione

Egualmente centrali i temi della formazione. L’obiettivo è più vasto: è prevista non solo un’attività formativa specifica diretta al personale che opera nelle strutture della PA e nelle aziende[5], ma soprattutto si vuole agire per incrementare la consapevolezza dei rischi e delle competenze specialistiche e divulgare buone pratiche per prevenire e gestire possibili minacce.

Si vuole prevedere, da un lato, iniziative congiunte di ACN con il Mistero dell’istruzione per promuovere la realizzazione di corsi “specifici al fine di favorire, a tutti i livelli del sistema educativo, una progressiva familiarizzazione degli studenti con la sicurezza informatica”.

Dall’altro, vengono incentivate, più in generale, iniziative di diffusione della cultura della sicurezza informatica tra i cittadini, con il coordinamento di ACN e AgID e il coinvolgimento di Università, centri di ricerca e di formazione specializzata, anche attraverso partenariati tra soggetti pubblici e privati.

Anche in questo caso vengono individuate risorse specifiche.

I prossimi passi

Nelle prossime settimane gli emendamenti verranno sottoposti al vaglio delle Commissione e degli Uffici Studi del Senato.

Vedremo quelli che supereranno l’esame, sicuramente ci saranno accorpamenti e saranno operate delle scelte; verranno votati in Commissione e poi il testo approvato in Aula, modificato, dovrà tornare alla Camera per la definitiva approvazione.

[1] Il medesimo art. 24, comma 2 assegna all’Agenzia per la cybersicurezza nazionale i proventi delle sanzioni. Numerose sono le nuove attribuzione all’Agenzia che, in base alla sua legge istitutiva, gode di autonomia contabile e di bilancio, anche se il suo budget economico è a carico del bilancio dello Stato. Le entrate che potranno derivare dall’applicazione delle sanzioni previste (notevolmente rafforzate) andranno nella medesima direzione delle altre autorità del nostro ordinamento, rafforzandone l’indipendenza.

[2] Cfr. Decreto-legge 29 novembre 2004, n. 282, convertito, con modificazioni, dalla legge 27 dicembre 2004, n. 307, articolo 10, comma 5.

[3] Fondo di cui all’articolo 1, comma 200, della legge 23 dicembre 2014, n. 190.

[4] Legge 30 dicembre 2023, n.213, articolo 1, comma 272.

[5] Cfr. AI Act art. 4 “Alfabetizzazione in materia di IA” con obblighi in capo a fornitori e deployer, di assicurare un livello sufficiente di alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA per loro conto.