Il Ddl cyber security è stato approvato oggi dal Consiglio dei ministri.
Dall’attuale bozza di testo (nell’attesa dell’uscita in Gazzetta Ufficiale) e in base alle dichiarazioni del Governo emerge un giro di vite contro i cyber criminali, per rispondere all’aumento di cyber attacchi, non solo contro le Pmi, l’ossatura economica del Paese, ma anche il sistema sanitario italiano, il settore finanziario e la PA. La manifattura è in testa ai settori più colpiti, ma aumentano anche gli attacchi al mondo financial/insurance.
Le pene, dunque, si inaspriscono sia sul fronte reclusione per l’accesso abusivo ai sistemi informatici che introducendo maxi sanzioni pecuniarie anche per chi detiene o fornisce programmi in grado di danneggiare sistemi informatici.
“Il Ddl cyber mira ad innalzare il livello complessivo di sicurezza del sistema Paese e lo fa anche rivolgendosi principalmente alle infrastrutture della Pubblica Amministrazione, vero tallone di Achille dell’Italia sotto il fronte sicurezza informatica – commenta Pierluigi Paganini, analista di cyber security e CEO Cybhorus -. Mancanza di fondi e competenze reali hanno esposto le strutture pubbliche ed i dati dei cittadini a troppi incidenti negli ultimi anni“.
Ma la novità più importante è l’estensione a pubblica amministrazione centrale, regioni, comuni, Asl e a una pletora di soggetti pubblici dell’obbligo di notifica entro 24 ore degli incidenti di sicurezza.
Vediamo i punti salienti, anche se bisogna smorzare l’entusiasmo. Infatti “il DDL discusso oggi non rappresenta tanto una rivoluzione, quanto un adeguamento di una normativa non più attuale, e un’indicazione della direzione in cui si sta muovendo il governo, che può rappresentare un anticipo dell’impatto certamente più ampio che dovrà avere il recepimento della Direttiva NIS2“, osserva Claudio Telmon, Senior Partner – Information & Cyber Security presso P4I – Partners4Innovation.
Indice degli argomenti
Ddl cyber security: stretta sui cyber criminali
Dai dati semestrali del Clusit, illustrati al Security Summit di novembre, emerge che nel primo semestre 2023 si sono registrati 1382 attacchi cyber nel mondo, in rallentamento a livello globale (11%), ma che in Italia si attesta al 40%. I cyber attacchi che mettono nel mirino l’Italia sono quattro volte superiori al resto del mondo, ma l’Italia costituisce appena il 2% del PIL globale e lo 0,7% della popolazione mondiale. E dal 2018 la crescita ammonta al 300 per cento, un dato che fa riflettere.
In questo scenario preoccupante matura il Ddl cyber security che prevede pene che raddoppiano, passando da 1-5 a 2-10 anni di reclusione per l’accesso abusivo ai sistemi informatici (articolo 615-ter del codice penale). E fino a 2 anni di reclusione e sanzioni pecuniarie da da 10.329 euro per chi detiene o fornisce programmi per il danneggiamento di sistemi informatici.
“Più nel dettaglio, vengono modificati gli articoli del codice penale e del codice di procedura penale relativi al cybercrime, andando sì nella direzione di un inasprimento delle pene, che può rappresentare più o meno un deterrente verso i criminali – sottolinea Telmon – , ma soprattutto intervenendo su alcuni aspetti che possono rendere più efficace l’azione di contrasto. L’innalzamento della pena può infatti incidere sull’istituto della condizionale, ma vi sono molti punti della norma che intervengono esplicitamente sia sulle
aggravanti che sulle attenuanti, anche favorendo un’eventuale collaborazione nell’attività di contrasto“.
“L’inasprimento delle pene che dispongono la reclusione, prevista dall’articolo 615-ter del codice penale, per alcuni reati informatici è molto interessante”, conferma Paganini: “L’estensione del periodo detentivo vuole essere in deterrente importante e correttamente inasprisce le pene per coloro che attaccano sistemi informatici o telematici di interesse militare o di settori ritenuti critici”.
“Non sono da trascurare neanche passaggi come la sostituzione della parola ‘vantaggio’ alla parola ‘profitto’ per l’applicabilità dell’art. 615-quater c.p. (Detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici)”, precisa Telmon.
Ecco cosa prevede il Ddl cyber security e perché, secondo gli esperti, non è affatto rivoluzionario.
Ecco per chi è l’obbligo di notifica degli incidenti
Per la Pubblica amministrazione, il Ddl cyber security è innovativo perché obbliga le PA centrali, regioni e province a notificare gli incidenti.
Inoltre, definisce meglio il quadro regolatorio facendo chiarezza su intelligenza artificiale (AI) e cyber sicurezza ed introducendo un regime sanzionatorio contro i cyber attacchi.
Il disegno di legge coinvolge la magistratura in caso di cyber attacchi (articolo 7), prevede l’obbligo di notifica degli incidenti per le PA centrali, regioni e province autonome di Trento e Bolzano, i comuni con oltre 100 mila abitanti e i comuni capoluoghi di regione.
Ma non solo: l’obbligo di notifica riguarda anche le società di trasporto pubblico urbano con utenza non inferiore ai 100 mila abitanti e le aziende sanitarie locali (articolo 8).
“Un po’ più curioso è invece l’inserimento, fra i tanti soggetti possibili, delle società di trasporto pubblico urbano con bacino di utenza non inferiore ai 100.000 abitanti – commenta Telmon -, non tanto perché non siano esposte ad incidenti anche gravi e che possano causare disservizi, quanto perché molti altri soggetti avrebbero queste stesse caratteristiche. Va detto però che a molti soggetti si applicherà poi la Direttiva NIS2, e che il DDL interviene anche in logiche e con riferimento a norme riconducibili al Perimetro di Sicurezza Nazionale Cibernetica. Anticiperebbe quindi l’impatto molto più ampio che ci si può aspettare dal recepimento della Direttiva NIS2, ma mette comunque in chiaro che questo ambito è considerato rilevante dal governo, e quindi ci si possono aspettare una normativa di recepimento, una successiva azione di vigilanza, ed un’attività di supporto ai soggetti in perimetro, che siano efficaci e incisive”.
L’articolo 13 prevede inoltre che gli stessi soggetti dovranno dotarsi di un referente per la cyber sicurezza.
“Un’attenzione specifica merita la previsione di una struttura per la cyber sicurezza nei soggetti sopra descritti, presso la quale opera un referente per la cyber sicurezza. Dalla descrizione dei compiti, si tratta di una struttura di governo delle tematiche, e non semplicemente di un ufficio per la gestione degli aspetti tecnologici – evidenzia Telmon -. Anche questo è un tema importante in termini di approccio alla cybersecurity, coerente con la Direttiva NIS2 che sposta il presidio dei rischi di cybersecurity verso le strutture più apicali delle organizzazioni evitando di vederlo come un semplice ‘problema tecnico IT’”.
Tuttavia, “sebbene sia annunciato come cruciale il coinvolgimento della magistratura in caso di incidenti, non mi riferirei a questa disposizione come una rivoluzione“, avverte Paganini: “Il disegno di legge, per esempio, stabilisce l’obbligo di notifica degli incidenti per alcune entità e l’obbligo a dotarsi di un referente per la cybersicurezza, disposizioni in realtà già suggerite in passato e sancite da regolamenti in vigore“.
Tuttavia, “gli interventi della magistratura sono doverosi per combattere il crimine informatico”, sottolinea Luisa Franchina, Presidente Associazione Italiana esperti in Infrastrutture Critiche, “e il coinvolgimento automatico appare come un provvedimento doveroso per sottolineare l’importanza della lotta a questa forma di criminalità”.
Il Ddl cyber amplia finalmente il perimetro di sicurezza nazionale cibernetica, coinvolgendo alcuni attori della pubblica amministrazione, sempre più nel mirino di cyber attacchi, anche di tipo ransomware.
“Per quanto riguarda il capo II, è interessante anche la definizione di un perimetro di pubbliche amministrazioni che comprende anche le Regioni e i comuni sopra i 100.000 abitanti per quanto riguarda un insieme di obblighi, fra cui la segnalazione di incidenti allo CSIRT entro 24 ore“, sottolinea Telmon.
“È bene ricordare – continua Telmon – che questi tempi di segnalazione hanno lo scopo di consentire un’azione coordinata e tempestiva di contrasto e contenimento degli incidenti, su cui lo CSIRT ha anche lo scopo di fornire supporto, e non semplicemente di notificare ad un’autorità di controllo perché questa possa effettuare verifiche di conformità. È una differenza di prospettiva importante, che richiederà ai soggetti interessati di intervenire in modo importante sui propri processi di gestione degli incidenti, per poter assicurare il rispetto di vincoli temporali così stringenti“.
Il caso di reati contro “sistemi informatici o telematici di interesse militare o relativi all’ordine pubblico o alla sicurezza pubblica o alla sanità o alla protezione civile o comunque di interesse pubblico”, le pene, rispettivamente, passano “da tre a dieci anni” e “da quattro a dodici anni”.
Il ruolo dell’Acn nel Ddl cyber security
Il Ddl cyber security prevede, infine, un coordinamento operativo tra i servizi di informazione per la sicurezza e l’Acn (articolo 12).
“La collaborazione tra agenzia e intelligence appare importante per consentire ad entrambe le istituzioni di mettere a sistema i risultati delle attività in ottica di protezione del sistema Paese”, conferma Luisa Franchina: “Altrettanto importante e non da meno appare infine la assegnazione alla ACN del tema dell’intelligenza artificiale. L’agenzia ha fortissime competenze giuridiche e saprà certamente gestire il delicato argomento anche in collaborazione con le istituzioni europee”.
“Purtroppo, sebbene frasi come ‘coordinamento tra Agenzia ACN ed i servizi di informazioni’ provino a dare lustro al DDL, di fatto sono concetti già dibattuti ed implementati”, mette in guardia Paganini contro il facile entusiasmo: “Pensare che ACN ed i servizi di intelligence nazionali non abbiano in piedi una profonda collaborazione, così come la condivisione di personale altamente specializzato, è davvero ingenuo“.
L’Acn potrà svolgere ispezioni e, in caso di violazioni ripetute, avrà il potere di stabilire multe da 25.000 a 125.000 euro. Potrà imporre sanzioni alle pubbliche amministrazioni anche in assenza di adeguamento alle direttive dell’Agenzia riguardo all’esposizione alle falle.
L’Agenzia per la cybersicurezza nazionale (Acn), anche mediante alleanze fra pubblico e privato, potrà anche valorizzare l’intelligenza artificiale “come risorsa per il rafforzamento della cybersicurezza nazionale, anche al fine di favorire un uso etico e corretto dei sistemi basati su tale tecnologia”, facendo tramontare l’ipotesi di agenzia ad hoc (articolo 14).
“Anche il suggerimento del ‘partenariato tra pubblico e privato’ è qualcosa di visto e stravisto, era un punto cardine del decreto Gentiloni sulla cyber sicurezza del 2017“, ricorda Paganini: “Purtroppo, chi come me fa impresa in questo settore, è consapevole che eventuali incentivi sono davvero impossibili da ottenere per la quasi totalità delle imprese di piccole e medie dimensioni, asse portante del settore cyber nazionale”.
Prevede anche multe per le violazioni in tema di cyber sicurezza di competenza dell’Agenzia per la cybersicurezza nazionale. Introduce, infatti, sanzioni per chi non segnala gli incidenti (articolo 15).
L’articolo 18, infine, prevede la “Clausola di invarianza finanziaria” senza “nuovi e maggiori oneri a carico della finanza pubblica”. La bozza del Ddl, infatti, “le amministrazioni pubbliche interessate provvedono all’adempimento delle disposizioni della presente legge con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente”.
“Una domanda sorge spontanea: chi sosterrà economicamente l’adeguamento della PA, e soprattutto chi realmente pagherà in caso di mancato adempimento alle disposizioni del presente disegno?”, si chiede Paganini: “La risposta non è scontata sebbene sia stata introdotta la Clausola di invarianza finanziaria”.
I prossimi step per l’approvazione del Ddl cyber security
L’iter di approvazione del Ddl cyber security prevede ora, dopo l’approvazione in Consiglio dei ministri, prima la discussione e poi la conversione in Parlamento.
Entro ottobre dovranno essere recepite due direttive europee nell’ordinamento nazionale. Si tratta della Cer, relativa alla cyber resilienza dei soggetti critici, e della Nis 2, con nuovi obblighi in tema di sicurezza dei dati e maggiori responsabilità per gli attori coinvolti, estendendo il perimetro fino a riguardare molte Pmi italiane, realtà che finora hanno dimostrato scarsa consapevolezza dei rischi cyber.
Ma, per fare un passo avanti, “dovrebbero essere esplicitate in maniera non opinabile le responsabilità dei dirigenti, soprattutto in ambito PA, che non si adegueranno a quanto prescritto”, conclude Paganini: “Diversamente, come accade sempre in Italia, è facile prevedere che nella quasi totalità degli incidenti non avremo mai un reale responsabile“.
Il provvedimento approvato in Cdm: i dettagli
La stretta sui cyber criminali c’è, insieme a sconti di pena per chi collabora. La prima novità è che i reati informatici entrano nella disciplina antimafia.
“È importante, infatti, e forse l’aspetto più significativo in termini di visione più attuale dei reati, la possibilità di coinvolgere il procuratore antimafia e antiterrorismo, che mette nella giusta luce di attività di criminalità organizzata il cybercrime – avverte Telmon -. Non si tratta quindi tanto di grandi novità, quanto di quello che sembra un intervento per modernizzare la normativa relativa ai reati del settore”.
“Il Ddl prevede norme di carattere penale che non sono solo l’innalzamento sanzionatorio ma anche la configurazione di figure autonome di reato, come l’estorsione cibernetica – evidenzia il sottosegretario Alfredo Mantovano, Autorità delegata per la sicurezza –. Non ci sono solo modifiche di carattere penale sostanziale, ma anche di carattere procedurale perché tutti questi reati rientrano nella disciplina dei reati di criminalità organizzata e quindi permettono non soltanto l’utilizzo di strumenti più efficaci di indagine e accertamento ma anche di quel coordinamento che passa dalla Direzione distrettuale antimafia e dalla Procura Nazionale Antimafia, perché sono reati senza territorio”.
Ma sarebbe stato “inutile spezzettarli in 140 Procure ordinarie”, invece il governo ha preferito “incentrarli sulle Procure Distrettuali con un coordinamento centrale”. L’intervento sulla cyber sicurezza si è reso necessario perché “la legislazione vigente risale a quasi 20 anni” fa.
“E 20 anni sono, in assoluto, ma soprattutto per il web e per la cyber security, più di un’era geologica”, ha evidenziato Mantovano in conferenza stampa. Il sottosegretario ha inoltre sottolineato come sia ancora scarsa “la consapevolezza della gravità della posta in gioco, nel senso che alcune amministrazioni la pensano come la pensavano i nostri nonni o genitori 40 anni fa quando facevano resistenza a mettere a casa il sistema d’allarme. Accade lo stesso con ritardi, omissioni da cui derivano danni che si sarebbero potuti evitare”.
Lo scenario geopolitico sta inasprendo la situazione. “Lo stato dell’arte ha visto anzitutto un incremento significativo negli ultimi anni – ha spiegato il sottosegretario – in particolare dopo l’avvio del conflitto in Ucraina e ancora di più dopo l’avvio del conflitto in Medioriente, di attacchi cyber nelle varie modalità in cui si articolano, sia quelli che mirano a provocare danni anche di immagine, sia i cosiddetti ransomware, cioè la versione cibernetica delle estorsioni”.
I Comuni sopra i 100 mila abitanti, le Asl, i capoluoghi di Regione e le aziende di trasporto pubblico locale dovranno notificare entro 24 ore al massimo gli incidenti informatici subiti dai loro sistemi, da quando li hanno scoperti. I ritardi daranno luogo a ispezioni da parte dell’Agenzia per la cybersicurezza nazionale.
In caso di ripetute osservanze, la multa applicata sarà da 25mila a 125mila euro. Anche le PA che non si adeguano alle indicazioni dell’Agenzia sulle vulnerabilità a cui sono esposte, rischiano sanzioni. Il provvedimento stabilisce anche il “rafforzamento delle pubbliche amministrazioni, per cui si stabilisce che quelle interessate da queste norme debbano dotarsi di un proprio ufficio di cybersicurezza”, ha annunciato Mantovano. Vi sono poi delle disposizioni che disciplinano il rapporto tra intelligence e Acn e tra polizia giudiziaria e Acn mentre per gli appalti con forniture cyber il provvedimento si prevede che “si osservino regole specifiche”.
Contiene anche misure per trattenere i talenti cyber nel settore pubblico, per trattenere la fuga verso il privato. “L’articolo 16 cerca di affrontare una delle grosse difficoltà che l’ACN condivide con tutto il settore, ovvero la fortissima carenza di competenze professionali – denuncia Telmon -. Dato che una delle strade per sopperire a questa carenza è la formazione del proprio personale, l’articolo 16 dovrebbe evitare che personale venga formato a spese dello Stato per poi andare immediatamente a lavorare nel settore privato, presumibilmente più remunerativo”.
Il provvedimento prevede sconti di pena fino a due terzi per gli hacker che daranno una mano alle forze dell’ordine e all’autorità giudiziaria. Per il reato di accesso abusivo a un sistema informatico o telematico, le pene raggiungono fino a un massimo di 12 anni. Ma sono dimezzate o ridotte fino a due terzi per chi collabora per evitare il peggio, anche offrendo un aiuto concreto all’autorità di polizia o all’autorità giudiziaria nella raccolta di elementi di prova o nel recupero dei proventi dei reati o degli strumenti usi per la commissione degli stessi”.
“Il ddl non prevede invece alcuna disposizione sull’AI. Non perché ce ne siamo dimenticati, ma perché sono in definizione delle norme europee in materia – ha precisato Mantovano – Quando ci saranno, visto che è un ddl, si inseriranno, poi vedremo se con un intervento governativo o parlamentare”.
Complessivamente quindi, “il DDL sembra affrontare, a dire il vero in modo un po’ a macchia di leopardo, alcuni dei problemi e delle carenze che hanno soprattutto le pubbliche amministrazioni locali di maggiori dimensioni – conclude Telmon -. Anticipa certamente alcuni temi che in qualche modo dovranno essere affrontati in modo più ampio e complessivo in fase di recepimento della Direttiva NIS2. Oltre a questo, opera una giusta modernizzazione delle parti del codice penale e del codice di procedura penale che si occupano specificamente di reati correlati al cybercrime, e ci dà evidenza di un’attenzione alla tematica che sicuramente è confortante vedere da parte del governo”.
