Protezione dai Reati informatici: così il Governo rafforza il ruolo dell’ACN

Il Governo ha annunciato nel Consiglio dei ministri del 25 gennaio 2024 il  disegno di legge che introduce disposizioni in materia di reati informatici e di rafforzamento della cybersicurezza nazionale.

Il Disegno di legge introduce modifiche sostanziali e processuali per i reati informatici, stabilisce un deciso rafforzamento dell’ACN, l’Agenzia per la Cybersicurezza, introduce un obbligo di segnalazione dei reati da parte delle PA con interventi dell’Agenzia e sanzioni in caso di inosservanza o ritardo nel risolvere le criticità.

Cosa prevede la nuova Legge sulla Cybersicurezza

Il Governo anticipa alcune delle misure previste nel Disegno di Legge che passerà presto all’esame del Parlamento: si parla di modifiche (sostanziali e processuali) per i reati informatici, prevedendo

• l’innalzamento delle pene
•  l’ampliamento dei confini del dolo specifico
• l’inserimento di aggravanti e/o il divieto di attenuanti per diversi reati commessi mediante l’utilizzo di apparecchiature informatiche e finalizzati
  • a produrre indebiti vantaggi per chi li commette, a danno altrui
  • o ad accedere abusivamente a sistemi informatici
  • e/o a intercettare/interrompere comunicazioni informatiche e telematiche.

Agenzia per la Cybersicurezza: cosa cambia

Il Governo, attraverso il Disegno di Legge rafforzerà le funzioni dell’Agenzia per la cybersicurezza nazionale (ACN) e il suo coordinamento con l’Autorità giudiziaria in caso di attacchi informatici, con specifiche procedure volte a rendere più immediato l’intervento dell’Agenzia a fini di prevenzione degli attacchi e delle loro conseguenze e del ripristino rapido delle funzionalità dei sistemi informatici.

In caso di questioni di particolare rilevanza concernenti le iniziative in materia di cybersicurezza del Paese, potrà essere convocato il Nucleo per la cybersicurezza, in composizione di volta in volta estesa alla partecipazione di un rappresentante della Procura nazionale antimafia e antiterrorismo, della Banca d’Italia o di altri operatori previsti dal decreto-legge “perimetro” (21 settembre 2019, n. 105), nonché di eventuali altri soggetti, interessati alle stesse questioni.

Vigilanza e controllo sui reati informatici: chi è coinvolto

Nel Disegno di Legge si fa riferimento al mondo delle pubbliche amministrazioni rafforzando la protezione dai reati informatici, ovvero:

• soggetti pubblici individuati dalla norma (pubbliche amministrazioni centrali individuate dall’ISTAT,
• le regioni e le province autonome di Trento e Bolzano,
• i comuni con una popolazione superiore ai 100.000 abitanti e, comunque, i comuni capoluogo di regione,
• le società di trasporto pubblico urbano con bacino di utenza non inferiore ai 100.000 abitanti
• le aziende sanitarie locali, nonché le rispettive società in house).

Per questi soggetti scattano nuovi obblighi.

Obblighi di segnalazione e notifica

Il Disegno di legge anticipato dal Governo prevederà  un obbligo di segnalazione e notifica degli incidenti che impattano su reti, sistemi informativi e servizi informatici, che sarà dettagliato in un provvedimento dell’Agenzia.

In caso di inosservanza, il Disegno di Legge prevede:

• l’invio di ispezioni da parte dell’ANC nei 12 mesi successivi all’accertamento del ritardo o dell’omissione, per verificare l’attuazione di interventi di rafforzamento della resilienza.
• una sanzione amministrativa pecuniaria da euro 25.000 a euro 125.000 nei casi di reiterata inosservanza dell’obbligo di notifica scatterebbe.
• responsabilità disciplinare e amministrativo-contabile per i dipendenti delle pubbliche amministrazioni che violino le disposizioni.

Incidenti informatici e interventi risolutivi

Il Disegno di Legge prevede che, a seguito di segnalazioni da parte dell’Agenzia su “specifiche vulnerabilità” delle pubbliche amministrazioni, i soggetti pubblici obbligati (sopra indicati),

• dovranno provvedere senza ritardo, e comunque non oltre quindici giorni dalla comunicazione, all’adozione degli interventi risolutivi.
• Individuare la struttura che dovrà provvedere al rafforzamento della resilienza in materia di cybersicurezza, laddove non già presente: Tale struttura rappresenta il punto di contatto unico dell’amministrazione con l’Agenzia.
• In caso di ritardo o inosservanza scattano le sanzioni.

Ulteriori informazioni sono disponibili nel Comunicato del Governo