Il decreto-legge n. 115 del 2022 (cd. Aiuti-bis)[1] introduce misure urgenti in materia di contenimento del costo dell’energia e dei carburanti, contrasto dell’emergenza idrica e degli effetti economici della grave crisi internazionale ma prevede anche delle novità in ambito di cyber security.
L’Italia più forte sulla cyber security, col DL Aiuti: ecco come
Le principali novità del Dl Aiuti bis in ambito cyber
Le principali novità sono tre e riguardano: la possibilità di intervenire strategicamente adottando misure di intelligence di contrasto in ambito cibernetico, in caso di crisi o emergenza; l’istituzione del Copasir provvisorio tra una legislatura e l’altra; l’ampliamento della categoria degli incidenti sottoposti all’obbligo di notifica all’Agenzia per la Cybersicurezza Nazionale.
La novità del decreto-legge è rappresentata sicuramente dall’articolo “Misure di intelligence di contrasto in ambito cibernetico” (articolo 37) con cui viene prevista, in situazioni di emergenza, la possibilità per il Presidente del Consiglio dei ministri di autorizzare gli organismi di Intelligence, DIS, AISE e AISI, a intervenire, anche in funzione di cooperazione con la Difesa nazionale. Il Presidente del Consiglio dei ministri informa il Copasir delle misure adottate, il quale, dopo 24 mesi, trasmette alle Camere una relazione sull’efficacia delle suddette norme. L’obbiettivo di questo articolo è di agevolare l’adozione di misure di intelligence di contrasto in ambito cibernetico, in caso di crisi o emergenza. Tale norma fornirebbe al governo, secondo quanto dichiarato da Ranieri Razzante, consigliere per la Cyber-security del sottosegretario alla Difesa, “una nuova arma nei confronti della criminalità informatica, poiché prevede strumenti a Difesa anche dello spazio virtuale, oltre che dello spazio fisico, aereo e terrestre”.
L’istituzione del Copasir provvisorio
In merito alle novità relative l’istituzione del Copasir provvisorio tra una legislatura e l’altra, tale riforma fa parte dell’articolo 37-ter che “dispone due modifiche all’ordinamento del Comitato parlamentare per la sicurezza della Repubblica (Copasir)”. Nello specifico, con una prima modifica viene stabilito che “all’inizio della Legislatura, i membri del Copasir siano nominati entro venti giorni dalla votazione della fiducia al Governo, anziché entro venti giorni dall’inizio della Legislatura”. Una seconda modifica prevede “la costituzione a inizio Legislatura di un Comitato provvisorio che assicura lo svolgimento delle funzioni di controllo nelle more della nomina dei componenti del nuovo Comitato”. Le funzioni del Comitato provvisorio sono svolte con i membri del Comitato della precedente legislatura che siano stati rieletti in una delle Camere. Se sono meno di sei, i presidenti di Camera e Senato procedono all’integrazione della composizione, “fino a un massimo di otto”, non potendo comunque modificare la decadenza prevista dopo “20 giorni dalla votazione della fiducia al governo”.
Restando in materia di sicurezza, anche in considerazione dell’aumento degli attacchi e incidenti cibernetici ai danni delle reti private e pubbliche a livello nazionale, il Senato ha aggiunto anche l’articolo 37-quater, che “estende gli obblighi di notifica attualmente previsti per gli incidenti aventi impatto su beni destinati a essere impiegati nel Perimetro di sicurezza nazionale cibernetica (beni ICT), anche agli incidenti che intervengono su reti, sistemi informativi e servizi informatici che si trovano al di fuori del Perimetro (diversi quindi dai beni ICT), ma che sono di pertinenza di soggetti inclusi nel Perimetro. Viene fatta salva la disciplina vigente per gli incidenti a reti del Ministero della difesa”. Il termine di tale notifica, da effettuarsi nei confronti del Gruppo di intervento per la sicurezza informatica in caso di incidente (CSIRT) italiano, è di 72 ore. Tale termine è stato modificato con l’introduzione del comma 3-bis all’articolo 1 del decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133, inserendo il comma 3-bis.
Tali obblighi di notifica rappresentano il primo passo per la creazione di un sistema centralizzato, ma capillare, in grado di raccogliere tutte le informazioni legate ad eventi di sicurezza registrati dai soggetti nazionali del privato e della Pubblica amministrazione, come indicati all’articolo 1 del decreto-legge 21 settembre 2019, n. 105. Tuttavia, secondo quanto dichiarato da Stefano Mele, partner e responsabile della cybersecurity dello Studio Gianni&Origoni, bisogna prestare “attenzione, però, a quali incidenti l’Agenzia per la cybersicurezza nazionale chiederà che vengano comunicati dalle aziende e dalle Pa incluse nel Perimetro di sicurezza nazionale cibernetica: è importante evitare che le informazioni che arriveranno siano, per esempio, di meri guasti o disservizi, che comporterebbero la difficile gestione e condivisone di una mole così elevata di informazioni, che peraltro pochi benefici porterebbero alla sicurezza nazionale”.
Operazioni sotto copertura all’estero e Copasir: le novità in arrivo per i nostri 007
Conclusioni
Tale intervento riflette l’attuale situazione internazionale che ha visto un aumento vertiginoso delle minacce cyber alle infrastrutture private e pubbliche in tutto il mondo. Secondo quanto riportato dal direttore generale dell’agenzia nazionale per la cybersicurezza, Roberto Baldoni, nel 2022 “gli attacchi sono aumentati molto, lo abbiamo notato in due momenti: un mese prima del 24 febbraio e poi in agosto. Sono stati toccati alcuni settori particolarmente sensibili, come quello dell’energia e quello sanitario. Mediamente, il numero di attacchi in Italia è cresciuto di più rispetto ad altri Paesi, ma il problema è ovviamente mondiale”.
Un intervento che ampliasse i poteri di difesa e risposta del governo italiano era in lavorazione da tempo. Di fatto, già con il d.l. 50/2022, il decreto Aiuti, il governo si era mobilitato ampliando lo spettro delle esigenze della Difesa inserendo nel codice dell’ordinamento militare, tra gli ambiti tutelati dalla Difesa nazionale, il dominio spaziale ma soprattutto il dominio cibernetico accanto a quelli tradizionali.
- (A.C. 3704), Presentato per la conversione al Senato il 9 agosto 2022, approvato dal Senato il 13 settembre 2022 e trasmesso alla Camera il 14 settembre 2022, è stato definitivamente approvato con Legge n.142 del 21 settembre 2022, pubblicata in Gazzetta Ufficiale n.221 del 21.09.2022, di conversione con modificazioni del Decreto Aiuti bis, in vigore dal 22 settembre. ↑
