Il prossimo 29 giugno entrerà in vigore il nuovo decreto-legge in materia di Cybersecurity, pensato al fine di contrastare il rischio cibernetico che, ad oggi, rappresenta uno dei principali problemi per la sicurezza nazionale, visto l’impatto che hanno le nuove tecnologie sulla società odierna.

Infatti, con l’introduzione di nuove tecnologie diventa fondamentale per lo Stato salvaguardare il patrimonio informativo degli utenti in rete.

Il tema della sicurezza informatica è sempre più al centro del dibattito nazionale, tant’è che tale provvedimento di urgenza fa seguito al decreto legislativo c.d. NIS del 18 maggio 2018, n. 65, con il quale è stata recepita la Direttiva europea n. 1148/2016 (c.d. Direttiva NIS) sulla sicurezza delle reti e dei sistemi informativi.

Prima di andare ad esaminare quali siano le principali novità del nuovo provvedimento, occorre chiarire che con il termine cybersicurezza si intende l’insieme delle attività necessarie per proteggere dalle minacce informatiche reti, sistemi informativi, servizi informatici e comunicazioni elettroniche, assicurandone la disponibilità, la confidenzialità e l’integrità, nonché la resilienza.

Per quanto riguarda i contenuti del D.L. la novità di rilievo è l’istituzione di tre enti deputati a garantire e salvaguardare la sicurezza informatica; in particolare vengono istituiti il Comitato interministeriale per la cybersicurezza, l’Agenzia Nazionale per la Cybersecurity e il Nucleo per la cybersicurezza.

Il Comitato interministeriale per la cybersicurezza (CIC) – previsto all’art. 4 del Decreto legge n. 82/2021 – viene istituito con funzioni di consulenza, proposta e vigilanza in materia di politiche di sicurezza dei sistemi informatici, anche ai fini della tutela della sicurezza nazionale nello spazio cibernetico.

Tra le principali attività elencate al comma 2 del suddetto articolo vi sono quelle di alta sorveglianza sull’attuazione della strategia nazionale di cybersicurezza e di promozione delle iniziative necessarie per favorire l’efficace collaborazione, a livello nazionale e internazionale, tra i soggetti istituzionali e gli operatori privati interessati alla sicurezza informatica.

Gli articoli 5, 6 e 7 sono invece dedicati ad introdurre e disciplinare l’Agenzia Nazionale per la cybersecurity. L’Agenzia avrà personalità giuridica di diritto pubblico ed avrà autonomia regolamentare, amministrativa, patrimoniale, organizzativa, contabile e finanziaria, nei limiti di quanto previsto dal decreto. Tra le numerose funzioni attribuite all’Agenzia se ne segnalano in questa sede due:

a) quella di rappresentare il punto di contatto unico in materia di sicurezza delle reti e dei sistemi informativi, per le finalità di cui al decreto legislativo NIS, a tutela dell’unità giuridica dell’ordinamento e la sua competenza nell’accertamento delle violazioni e nell’irrogazione delle sanzioni amministrative previste dal medesimo decreto;

b) il compito di rilasciare la certificazione della cybersicurezza ai sensi dell’articolo 58 del regolamento (UE) 2019/881 (c.d. Cyber Act), il quale prevede l’obbligo per gli Stati membri di nominare un’autorità nazionale di certificazione con l’attribuzione di un pacchetto di poteri minimi, tra cui rientrano quelli istruttori, ispettivi e sanzionatori.

Il Decreto, poi, individua l’Agenzia come principale Ente in materia di cybersicurezza al quale vengono trasferite le competenze prima attribuite al Ministero dello Sviluppo Economico in materia di sicurezza cibernetica, alla Presidenza del Consiglio dei ministri in materia di perimetro di sicurezza nazionale cibernetica, al DIS (Dipartimento delle informazioni per la sicurezza), all’Agenzia dell’Italia digitale.

Tra i vari compiti riassegnati all’Agenzia si segnalano quello di stilare il piano annuale di sicurezza informatica nazionale e quello di sviluppare politiche di prevenzione, analisi e monitoraggio dei pericoli.

Il terzo ente, previsto all’art. 8 del D.L. è il Nucleo per la cybersicurezza, introdotto a supporto del Presidente del Consiglio dei ministri per gli aspetti relativi alla prevenzione e preparazione ad eventuali situazioni di crisi e per l’attivazione delle procedure di allertamento.

L’art. 15 del D.L., invece, contiene le modifiche al decreto legislativo NIS prima citato. Tra le principali variazioni si segnala la designazione appunto dell’Agenzia per la cybersicurezza nazionale quale autorità nazionale competente e quale punto di contatto unico in materia di sicurezza delle reti e dei sistemi informativi, la quale deve garantire la cooperazione transfrontaliera con le autorità competenti NIS degli altri Stati membri. Inoltre, quale punto di contatto unico, ha il compito di consultare, conformemente alla normativa vigente, l’autorità di contrasto ed il Garante per la protezione dei dati personali e di collaborare con essi.

Il dialogo con il Garante privacy sarà fondamentale per assicurare, accanto alla tutela della sicurezza informatica, una gestione corretta dei dati personali eventualmente coinvolti.

Le novità del D.L. qui analizzato, si innestano nel più ampio programma iniziato a livello europeo di rivedere la normativa in materia di cybersicurezza, per far fronte alle esigenze di una Società ormai in rapida evoluzione, e che il 16 dicembre 2020 ha portato la Commissione europea ad adottare la proposta di Direttiva del Parlamento europeo e del Consiglio sulle misure per un elevato livello comune di sicurezza informatica dell’Unione, con lo scopo di abrogare la Direttiva n. 2016/1148, c.d. Direttiva NIS (Network and Information Security).

La ragione dell’intervento è da rintracciarsi appunto nel profondo mutamento causato dalla situazione pandemica che ha accelerato il ricorso a strumenti tecnologici e, al contempo, ha determinato la crescita esponenziale del cyber crime, senza dimenticare il costante aggiornamento al quale è sottoposto il settore IT.