Incidenti su reti, sistemi informativi e servizi informatici: Regolamento e Tassonomia in Gazzetta!

Con DECRETO DEL PRESIDENTE DEL CONSIGLIO DEI MINISTRI 14 aprile 2021, n. 81, il Consiglio dei Ministri ha approvato il Regolamento in materia di notifiche degli incidenti aventi impatto su reti, sistemi informativi e servizi informatici (che impatta quindi sul “bene ICT”).

Con successiva DETERMINA 3 gennaio 2023 l’AGENZIA PER LA CYBERSICUREZZA NAZIONALE ha definito la Tassonomia degli incidenti come richiesto dall’art. 1, comma 3-bis, del decreto-legge n. 105 del 2019 convertito con Legge 133/2019 che ha definito il Perimetro di sicurezza cibernetica ed i soggetti che ne fanno parte.

Vediamo di seguito che cosa intende tutelare il Regolamento, cosa contiene il DPCM 81/2021 ed i suoi fondamentali allegati, le Misure di Sicurezza indicate dal provvedimento e la tassonomia degli incidenti notificabili a partire dal 2023.

Cosa contiene il Regolamento n.81/2021 per gli incidenti su reti, sistemi e servizi

Il Decreto:

• riguarda violazioni del perimetro di sicurezza nazionale cibernetica (regolato con decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133)
• contiene la classificazione in categorie, degli incidenti aventi impatto sui beni ICT (art.2): quelli meno gravi in tabella 1, mentre nella tabella n. 2 sono riportati quelli più gravi.  Per ciascuna tipologia di incidente, sono indicati un codice identificativo e la corrispondente categoria, accompagnata dalla descrizione di ciascuna tipologia di incidente.
• regola le Notifiche (artt.3-6) di incidente su beni ICT e la relativa procedura, oltre agli incidenti relativi alle reti, ai sistemi informativi e ai servizi  informatici attinenti alla gestione delle informazioni classificate;
• individua nell’allegato B le Misure di sicurezza, articolate in funzioni, categorie, sottocategorie, punti e lettere. Nella tabella in appendice n. 2 dell’allegato B è indicata per ciascuna misura di  sicurezza  la corrispondente categoria (richiamate all’art.7);
• dettaglia nell’allegato C le Misure minime di Sicurezza per la tutela delle informazioni (richiamate all’art.9)

Incidenti su reti, sistemi e servizi: tipologie e notifiche, le regole dal 1 gennaio 2022

In base al DPCM 81/2021 le notifiche possono impattare:

• su beni ICT (reti, sistemi informativi e servizi informatici, o parti di essi definiti nel DL 105/2019) – regolate in art.3 del regolamento;
• su reti, sistemi informativi e servizi informatici di pertinenza diversi dai beni ICT: si tratta, in questo caso di notifiche volontarie da parte di soggetti inclusi nel perimetro di sicurezza cibernetica (art.4), di
  • incidenti su beni ICT non elencati nell’allegato A;
  • incidenti non indicati nelle tabelle di cui all’allegato A.

Il sistema delle Notifiche

Il Decreto:

• regola anche (art.5) la procedura di notifica che parte dal DIS Dipartimento delle informazioni per la sicurezza della Presidenza del Consiglio dei ministri al CSIRT italiano (il Computer security incident response team istituito presso il DIS). Le notifiche volontarie (definite in art.4) sono trasmesse solo nel caso in cui siano state trattate.
• e rimanda (art.6) a quanto previsto al regolamento previsto dalla legge n. 124 del 2007 in materia di notifica degli incidenti relativi alle reti, ai sistemi informativi e ai servizi informatici attinenti alla gestione delle informazioni classificate, non inclusi nell’elenco dei beni ICT.

Misure di Sicurezza per beni ICT

In base all’art. 8 i soggetti inclusi nel perimetro cibernetico devono adottare per ciascun bene ICT di rispettiva pertinenza, le misure di sicurezza di cui all’allegato B in tal modo:

• per le misure di sicurezza appartenenti alla categoria A di cui all’appendice n. 2 dell’allegato B,
  • entro sei mesi dalla data di trasmissione degli elenchi dei beni ICT,
  • se la trasmissione è avvenuta in una data antecedente a quella di entrata in vigore del regolamento, entro sei mesi da quest’ultima data;
• per le misure di sicurezza appartenenti alla categoria B di cui all’appendice n. 2 dell’allegato B,
  • entro trenta mesi dalla data di trasmissione degli elenchi dei beni ICT,
  • se la trasmissione è avvenuta in una data antecedente a quella di entrata in vigore del regolamento, entro trenta mesi da quest’ultima data.
• Le misure minime di sicurezza individuate nell’allegato C si applicano entro sessanta giorni dalla data di entrata in vigore del Regolamento.

Tassonomia degli incidenti su reti, sistemi informativi e sistemi informatici – Determina 3 gennaio 2023

La DETERMINA 3 gennaio 2023 del Direttore dell’AGENZIA PER LA CYBERSICUREZZA NAZIONALE ha definito la Tassonomia degli incidenti che devono essere notificati dai “soggetti inclusi nel perimetro di sicurezza nazionale cibernetica”, istituito con il Decreto-legge 105/2019.

L’Allegato 1 riporta in forma di Tabella per ciascuna tipologia di incidente, un codice identificativo e la corrispondente categoria, accompagnata dalla descrizione di ciascuna tipologia di incidente.

Inoltre, nella sezione 2 della Tabella sono descritti anche gli eventi che i soggetti inclusi nel perimetro potranno notificare, con le medesime modalità previste dall’art. 1, comma 3-bis, del decreto-legge, così da fornire all’Agenzia per la cybersicurezza nazionale un quadro di valutazione della minaccia più completo.

DI seguito l’allegato alla Determina che riporta la Tassonomia degli incidenti

Libri e Corsi di formazione per i professionisti della Security

Sei un professionista della Security? Vi segnaliamo alcuni libri di EPC Editore pensati per il professionista della Privacy e della Security e del mondo ICT ed alcuni corsi di Security e Privacy organizzati da Istituto Informa.