Legge sulla cybersicurezza nazionale: novità per aziende e PA e possibili scenari futuri

Il famoso DDL Cybersecurity è legge, con l’avvenuta pubblicazione in Gazzetta Ufficiale, spiegando tutti i suoi effetti dal prossimo 17 luglio 2024. Un notevole rafforzamento, dunque, alla cyber sicurezza italiana, tramite adempimenti più stringenti e un inasprimento delle pene per contrastare la lotta alla criminalità informatica.

Ma soffermiamoci sui possibili impatti, figurandoci alcuni degli scenari futuri.

Legge cybersicurezza: gli impatti in primis di compliance

Con questa nuova legge del 28 giugno 2024, n. 90, si è inteso rafforzare la resilienza cibernetica del nostro Paese, inasprendo da un lato le pene per i reati informatici e potenziando dall’altro gli strumenti di prevenzione e contrasto.

Gli impatti non sono banali, specie per quei soggetti come le pubbliche amministrazioni – PA centrali, regioni, province autonome di Trento e Bolzano, città metropolitane, comuni con oltre 100.000 abitanti nonché alcune imprese (società di trasporto pubblico extraurbano, aziende sanitarie locali, società in house fornitrici di servizi informatici) sui quali ricadono gli obblighi temporalmente stringenti di cui all’art. 1 che impongono una prima segnalazione e poi una notifica completa degli incidenti nelle rispettive 24 e 72 ore.

In difetto ovvero in caso di recidiva, nei 5 anni, per mancato ottemperamento, saranno tenuta a pagare multe salate: dai 25mila euro ai 125mila euro, a seconda della gravità.

Non solo, potranno altresì configurarsi ipotesi di responsabilità disciplinare, amministrativo-contabile a carico dei funzionari/dirigenti preposti.

Tali adempimenti, per il vero, andranno coordinati con il D.lgs. di prossima uscita, che andrà a recepire la Direttiva NIS 2.

Il lavoro di coordinamento normativo, tuttavia, non dovrà limitarsi, anche per ragioni di completezza e in forza di una più ampia ed efficace compliance, a questi due fronti, ma dovrà contemplare pure l’evoluzione normativa a livello globale; non poco.

D’altra parte, l’escalation delle minacce cyber come si può evincere dai report di ENISA, visti anche i numerosi attacchi informatici che di questi tempi si verificano, necessita di un robusto e costante contrasto.

Il ruolo centrale all’Agenzia per la Cybersicurezza Nazionale – ACN sarà dirimente specie nel coordinamento delle attività di difesa e nella promozione di una cultura della sicurezza informatica, ancora troppo poco diffusa.

La stessa strategia di ACN prevede obiettivi virtuosi con il raggiungimento di 82 misure entro il 2026 al fine di poter:

1. proteggere asset strategici nazionali attraverso un approccio risk based e un quadro normativo efficiente per una transizione digitale resiliente del Paese;
2. rispondere alle minacce e crisi cyber nazionali attraverso sistemi di monitoraggio, rilevamento, analisi e processi di sicurezza;
3. sviluppare tecnologie digitali sicure attraverso strumenti e iniziative che supportino attività di ricerca, centri di eccellenza e imprese di settore.

Ancora, tra i punti salienti oltre a quelli già altrove evidenziati, la nuova legge sulla cyber security avrà impatti specifici su alcuni settori come:

1. finanziario, dal momento che gli istituti coinvolti saranno soggetti a requisiti di sicurezza più rigorosi, dovendo proteggere i dati degli utenti/clienti/interessati e prevenire i cyberattacchi;
2. sanitario, poiché le aziende sanitarie dovranno rafforzare la sicurezza dei loro sistemi informatici al fine di proteggere i dati sanitari (ex sensibili, “sensibilissimi”) dei propri pazienti;
3. energetico, in quanto le infrastrutture energetiche vieppiù quelle ritenute “critiche” saranno più protette da eventuali attacchi informatici, anche grazie a nuove misure di sicurezza e controlli.

Legge cybersicurezza: i possibili scenari futuri

È indiscusso che la nuova legge cybersicurezza l’Italia ha segnato, già sulla carta, un significativo punto di svolta per la sicurezza informatica nazionale.

È evidente che i rischi cibernetici, come ogni altro rischio, peraltro, non potranno mai essere azzerati del tutto. Tuttavia, essere tenuti sotto stretto controllo sì.

Se ora volessimo provare ad analizzare alcuni dei possibili scenari futuri, ecco che già dal dettato normativo se ne evincono alcuni, specie se letti e interpretati in “difetto”.

Dalle due disposizioni normative ex artt. 8 e 9, infatti, notiamo come in caso di un mancato “rafforzamento della resilienza delle PA” (art. 8) ovvero in assenza dell’implementazione di una delle “misure di sicurezza dei dati attraverso la crittografia” (art. 9), PA e i restanti soggetti che rientrano nel perimetro normativo, non potranno soddisfare detti requisiti, mettendo a serio rischio le proprie organizzazioni e infrastrutture.

Si tratta di adempimenti cogenti, come ad esempio lo sviluppo di ulteriori politiche e procedure di sicurezza delle informazioni, oppure l’individuazione di un “referente per la Cybersicurezza”.

Ma non basterà avere un buon sistema sulla “carta” o in digitale, e ad esempio il piano programmatico per la sicurezza dei dati dovrà essere costantemente aggiornato insieme alla pianificazione/attuazione di quelli che sono considerati dal dettato normativa quali “interventi di potenziamento delle capacità per la gestione dei rischi informatici”.

Le linee guida per la cyber security emanate da ACN, ricordando in primis quelle sulla conservazione sicura delle password emanate a fine dello scorso anno 2023, saranno documenti preziosi da seguire con scrupolo, le quali consentiranno di mettere in atto un costante monitoraggio e continua valutazione delle potenziali minacce/vulnerabilità dei sistemi.

Ma non è tutto.

Ulteriori prevedibili scenari possono ancora palesarsi nei termini che seguono:

1. un aumento degli investimenti in tema di sicurezza informatica, visti i nuovi requisiti di legge in materia determinando un aumento degli investimenti in soluzioni di sicurezza informatica, formazione del personale e misure di protezione dei dati;
2. una maggiore collaborazione tra pubblico e privato, favorendo la legge una più intensa collaborazione tra autorità pubbliche e imprese private nel contrasto ai reati informatici (artt. 615 bis Cod. Pen., e ss). Non a caso, la condivisione di informazioni nonché la collaborazione tra le parti saranno cruciali per prevenire e mitigare ulteriori incidenti informatici, specie quelli di grandi dimensioni;
3. uno sviluppo di nuove tecnologie e competenze, la complessità delle minacce informatiche via via in crescita, richiede un sostanzioso avanzamento di nuove tecnologie e irrobustimento delle competenze onde contrastarle ovvero prevenirle il più possibile. Di qui, l’importanza di gruppi sempre più qualificati, pronti e capaci composti da professionisti della sicurezza informatica, esperti di analisi dei dati e specialisti in AI (matematici, giuristi, filosofi) in grado, per quanto loro possibile, di proteggere nella maniera più robusta, sistemi informativi e infrastrutture critiche;
4. una crescente consapevolezza della materia e dei rischi informatici, da parte di tutti. Diffondere la cultura del rischio cibernetico a più livelli significa aumentare in termini di suitas (alla latina), cioè di consapevolezza, conducendo a un maggiore e più diffuso utilizzo di buone pratiche di sicurezza e a una minore esposizione agli incidenti/attacchi informatici;
5. un’evoluzione del panorama delle minacce informatiche, siccome gli agenti malevoli continueranno ad adattare le loro tattiche e tecniche volte ad aggirare le nuove misure di sicurezza, sarà essenziale per le organizzazioni/autorità pubbliche, le quali saranno sempre più chiamate a rimanere saldamente vigili e ad adottare piani di resilienza spinti da un approccio proattivo alla gestione dei rischi informatici.

Conclusioni

In conclusione, se è ormai assodato da un lato che la nuova legge sulla cybersicurezza italiana (L. 90/2024) rappresenti un passo importante per il nostro Paese verso un futuro più sicuro nel cyberspazio che completerà il suo cerchio con l’atto legislativo in recepimento della direttiva NIS, dall’altro non dobbiamo scordarci che la sicurezza informatica delinea un processo continuo, il quale richiede un impegno costante da parte di tutti e non solo di alcuni, quelli tendenzialmente chiamati in prima linea: dai CISO a seguire.

Non è infatti un caso che le sfide tratteggiate dalla Strategia Nazionale siano proprio quelle volte ad assicurare la transizione digitale della PA e del settore produttivo, prevedendo e mitigando le minacce cyber, nonché a contrastare la disinformazione a garanzia dell’esercizio delle libertà fondamentali, previo coordinamento tra settore pubblico e privato in risposta alle crisi cibernetiche, a tutela dell’autonomia strategica nazionale ed europea.

Ma si tratta di un futuro ancora tutto da scrivere; stiamo a vedere.