Update: quando abbiamo pubblicato l’articolo, l’istituto era ancora presente nella bozza ma è stato stralciato il 17 novembre. Potrebbe però rientrare in un futuro maxi emendamento alla Legge o in un più concertato con le parti disegno di legge; per questo motivo e anche per un senso retrospettivo è utile comunque analizzare come sarebbe potuto essere questo istitituto per la cyber (e forse sarà in seguito).
Un’ultima bozza della Legge di Bilancio 2021 contiene un articolo (vedere testo in fondo a questa pagina) dedicato alla creazione di una Fondazione denominata “Istituto Italiano di Cybersecurity” (IIC), dotata ora di 10 milioni di euro nel 2021 (dai 200 milioni previsti su più anni in una precedente bozza). Una notizia che vede entusiasta la comunità dei cyber security expert italiani, dopo che da tempo viene sottolineata la peculiarità della sicurezza cibernetica nel panorama della sicurezza nazionale e della sensibilizzazione dei singoli cittadini, delle aziende e delle Istituzioni verso la protezione delle attività informatizzate.
Nel 2016 l’allora Direttore del DIS, il prefetto Alessandro Pansa, dichiarava “L’approccio [alla cyber security] non può che vedere la sintesi tra l’interesse nazionale e quello privato, tra sfera collettiva e sfera privata”. E infatti nel Piano nazionale cyber del 2017 si parlava di “sviluppo di iniziative che coinvolgano le principali imprese nazionali impegnate nel settore, il tessuto accademico e la ricerca scientifica” anche tramite l’eventuale costituzione di un soggetto giuridico dedicato, come una fondazione.
Il tema non è nuovo e incontra sicuramente il favore di tutti perché ognuno di noi, a vari livelli, è passato attraverso il disagio di un attacco, di un furto di identità o di un furto di credenziali di pagamento, o piuttosto ha subito la perdita di dati e di funzionalità determinata da ignoti, scaltri, organizzati attaccanti.
Scontro nella maggioranza blocca l’Istituto italiano di cybersicurezza: tutti i retroscena
Istituto Italiano di Cybersecurity: le novità
Gli attacchi cibernetici sono aumentati nel 2020, mantenendo il trend degli ultimi anni, ma anche sfruttando la situazione mondiale di smart working diffuso, situazione che ha repentinamente abbassato i livelli di protezione e quindi la postura delle aziende, della Pubblica Amministrazione e dei cittadini.
Le novità della nuova proposta, rispetto alla precedente, sono molteplici. Innanzi tutto, l’IIC è fondato sul Comitato interministeriale per la sicurezza della Repubblica (CISR) di cui all’articolo 5 della legge 3 agosto 2007, n. 124. Sono proposti infatti, come membri fondatori, il Presidente del Consiglio dei ministri, i Ministri partecipanti al CISR e il Ministro dell’università e della ricerca, nonché, ove istituita, l’Autorità politica delegata per le funzioni nella materia delle tecnologie dell’informazione e dell’innovazione digitale.
Inoltre, la Presidenza del Consiglio dei ministri, per il tramite del Segretariato generale, esercita la vigilanza amministrativa sulla Fondazione e, per il tramite del Dipartimento delle informazioni per la sicurezza, la vigilanza sulla corrispondenza dell’attività tecnico-operativa da essa svolta agli scopi e agli obiettivi per esse previsti dalla norma.
L’organismo mutua, dunque, i principi di consenso della nostra Costituzione e garantisce, in questo modo, il perseguimento degli obiettivi non solo dell’Intelligence, ma anche e soprattutto dei Dicasteri da sempre coinvolti nella sicurezza cibernetica, come Difesa e Interni.
Una fondazione come l’IIC risponde per l’Italia alle necessità di “Prevenire, Prevedere, Provvedere” di cui parlava il Generale di Cavalleria Elia Rossi Passavanti, due medaglie d’oro al valor militare in vita, Professore di Contabilità di Stato all’Università La Sapienza di Roma negli anni ’60. Altre iniziative simili sono sorte negli ultimi anni negli Stati Uniti (come dal 1999 In-Q-Tel) e in Israele, Paesi decisamente all’avanguardia nell’innovazione tecnologica, anche per la sicurezza.
Si tratta sempre di entità istituite per veicolare fondi istituzionali verso la promozione dell’innovazione tecnologica nazionale, aventi autonomia economica e autonomia strategica nell’interesse nazionale.
Riforma della legge sull’intelligence, il PD accelera: ecco le parti in campo
I punti saldi della proposta
L’autonomia economica e la pluralità di partecipazione sono esattamente i punti saldi della proposta contenuta nella bozza di legge italiana, basata sulla possibilità concreta di collaborazione tra pubblico e privato che da sempre auspichiamo in questo campo.
L’IIC rappresenta dunque una iniziativa vincente per rispondere alle peculiarità dei temi di cyber security a livello Paese.
La sicurezza delle reti e dell’informazione, nonché dei nostri dati, passa infatti per una potente capacità di innovazione tecnologica che richiede investimenti importanti e pluralità di menti e di intenti verso uno scopo comune. Ogni Paese non può che affrontare a livello nazionale, prima di tutto, questa necessità, se vuole continuare a proporsi anche all’estero come driver di soluzioni e di tecnologie e come attrattore di investimenti. Dimostrare di “saper proteggere sé stessi e il proprio ambiente” è oggi di fatto un vantaggio competitivo nella proposizione di qualsiasi attività. La tematica ampiamente dibattuta delle tecnologie e delle soluzioni 5G è una dimostrazione lampante della “nazionalità” del problema di sicurezza.
La sicurezza cibernetica è poi, come già accennato, un tema pervasivo, che interessa ogni singolo cittadino, come ogni realtà imprenditoriale e ogni istituzione pubblica. Da qui la necessità di dedicare ad essa un impegno “particolare” e una attenzione estremamente focalizzata, prima che sia troppo tardi, da un lato, e con adeguati strumenti e conoscenze, dall’altro.
Il nodo della formazione
Le adeguate conoscenze in questo campo sono, per di più, specifiche. Occorre conoscere l’informatica che è assimilabile a un idioma, ma anche elementi di psicologia e sociologia per essere un valido interlocutore degli attaccanti, anche più comuni. E quindi serve una precisa formazione, non solo a livello universitario, che consenta di allargare il panorama delle competenze e il mercato delle professionalità. Finché, infatti, le professionalità saranno rare come oggi avviene, sarà impossibile pensare a una postura di “massa” in tema di sicurezza cibernetica e solo aziende molto grandi potranno permettersi personale esperto in materia.
D’altro canto, noi italiani assistiamo continuamente al fenomeno della fuga di cervelli, soprattutto in ambito informatico, ma non solo. Israele ha frenato decisamente il fenomeno del brain-drain con la realizzazione di centri statali nazionali dedicati alla ricerca e alla realizzazione di tecniche e tecnologie per la cyber security. Tecniche e tecnologie che usa per scopi nazionali e che rivende all’estero con un ottimo posizionamento internazionale, perché è universalmente riconosciuto nelle sue capacità in questo campo.
È evidente che le università e i centri di ricerca giocano un ruolo fondamentale in questa vicenda. Tuttavia, come gli attaccanti giocano da sempre “in squadra” condividendo investimenti e soluzioni smart, anche noi (se ci identifichiamo con il cosiddetto “blue team”) dobbiamo giocare in squadra, tutti. Tutti significa istituzioni, aziende, cittadini e centri di ricerca. Le università sono, infatti, una parte del sistema di difesa, ma non possono, neanche per scopo e vocazione, affrontare l’intero processo in solitudine.
Conclusioni
Per chiudere, una considerazione sulle tendenze europee e non solo in tema di cyber security. L’Europa ha emanato nel 2019 il Cybersecurity Act (Regolamento UE 2019/881) che recita “al fine di garantire il buon funzionamento del mercato interno perseguendo nel contempo un elevato livello di cyber-security, cyber-resilience e fiducia all’interno dell’Unione, è istituito un quadro per l’introduzione di sistemi europei di certificazione della sicurezza informatica”.
Sempre nel 2019 è stato approvato anche il Perimetro di Sicurezza Nazionale Cibernetica (Legge 18/11/2019, n. 133), il quale ha confermato il ruolo di primo ordine del Centro di Valutazione e Certificazione Nazionale (CVCN, istituito nel DPCM Gentiloni del 17/02/2017) per l’assicurazione delle garanzie di sicurezza e dell’assenza di vulnerabilità di prodotti, sia hardware che software, destinati a essere impiegati sulle reti, sui sistemi informativi e sui servizi informatici dei soggetti interni al perimetro nazionale.
Le certificazioni di sicurezza cibernetica dei prodotti sono quindi destinate a giocare un ruolo sempre più importante nello stabilire e verificare i requisiti minimi di sicurezza delle tecnologie che quotidianamente usiamo. Un simile processo richiederà anni e investimenti e personale esperto, anche per seguire il dibattito internazionale e affermare il ruolo italiano. E una realtà come l’IIC potrebbe rendere tutto questo possibile.
Testo articolo Legge Bilancio 2021 su Istituto Italiano Cybersecurity
È istituita la Fondazione denominata “Istituto Italiano di Cybersicurezza” (IIC), con lo scopo di promuovere e sostenere l’accrescimento delle competenze e delle capacità tecnologiche, industriali e scientifiche nazionali nel campo della sicurezza cibernetica e della protezione informatica, nonché di favorire lo sviluppo della digitalizzazione del Paese, del sistema produttivo e delle pubbliche amministrazioni in una cornice di sicurezza e il conseguimento dell’autonomia, nazionale ed europea, riguardo a prodotti e processi informatici di rilevanza strategica, a tutela dell’interesse della sicurezza nazionale nel settore.
La Fondazione pianifica, elabora, sviluppa, promuove e supporta iniziative e progetti di innovazione tecnologica e programmi di ricerca riguardanti la sicurezza delle reti, dei sistemi e dei programmi informatici e dell’espletamento dei servizi informatici, in coerenza con la strategia nazionale di sicurezza cibernetica di cui all’articolo 6 del decreto legislativo 18 maggio 2018, n. 65, e con il decreto-legge 21 settembre 2019, n.105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133, e correlate disposizioni attuative; supporta le istituzioni nazionali competenti nella materia della protezione cibernetica e della sicurezza informatica, anche ai fini della partecipazione alla definizione degli standard internazionali nel settore; promuove la consapevolezza dei rischi informatici presso le Istituzioni, le imprese e gli altri utenti di prodotti e servizi informatici.
Per il raggiungimento dei propri scopi, la Fondazione instaura rapporti con omologhi enti e organismi in Italia e all’estero, stipula contratti, convenzioni, accordi o intese con soggetti pubblici e privati, promuove la costituzione di nuove società, associazioni o fondazioni, partecipa a società, associazioni o fondazioni esistenti, a strutture di ricerca, di alta formazione e di trasferimento tecnologico in Italia e all’estero, se tali soggetti svolgono attività comunque strumentali al perseguimento delle sue finalità.
Sono membri fondatori il Presidente del Consiglio dei ministri, che per le attività attuative del presente articolo si avvale del Dipartimento delle informazioni per la sicurezza di cui all’articolo 4 della legge 3 agosto 2007, n. 124, nonché i Ministri partecipanti al Comitato interministeriale per la sicurezza della Repubblica (CISR) di cui all’articolo 5 della legge 3 agosto 2007, n. 124, il Ministro dell’università e della ricerca e, ove istituita, l’Autorità politica delegata per le funzioni nella materia delle tecnologie dell’informazione e dell’innovazione digitale.
La Presidenza del Consiglio dei ministri, per il tramite del Segretariato generale, esercita la vigilanza amministrativa sulla Fondazione e, per il tramite del Dipartimento delle informazioni per la sicurezza, la vigilanza sulla corrispondenza dell’attività tecnico-operativa da essa svolta agli scopi e agli obiettivi di cui al presente articolo. Le amministrazioni interessate provvedono all’attuazione delle disposizioni di cui al presente comma nell’ambito delle risorse finanziarie, umane e strumentali disponibili a legislazione vigente e senza nuovi o maggiori oneri per la finanza pubblica.
Lo statuto della Fondazione individua, tra l’altro:
a) gli organi dell’Istituto, la loro composizione, nonché i rispettivi compiti, prevedendo che la maggioranza dei componenti di ciascun organo sia nominata dal Presidente del Consiglio dei ministri su proposta del CISR integrato ai sensi del comma 4, e che gli altri componenti debbano comunque ottenere il preventivo gradimento dello stesso CISR integrato ai sensi del comma 4;
b) le norme sull’ordinamento e sull’amministrazione;
c) le modalità dell’eventuale partecipazione alla Fondazione di altri enti pubblici e privati, nonché le modalità con cui tali soggetti possono contribuire finanziariamente alle attività dirette a realizzare lo scopo della Fondazione.
Lo statuto è approvato con decreto del Presidente del Consiglio dei ministri, su proposta del CISR integrato ai sensi del comma 4. Per l’esercizio della predetta funzione di proposta il CISR si avvale del Dipartimento delle informazioni per la sicurezza, che predispone lo schema di statuto assicurando gli opportuni raccordi tra i membri fondatori. Con la medesima composizione di cui al presente comma, il CISR approva ogni altro atto concernente la Fondazione, ove previsto dallo statuto.
Il patrimonio della Fondazione è costituito da apporti dei membri fondatori ed è incrementato da ulteriori apporti dello Stato, nonché da risorse provenienti da soggetti pubblici e privati; le attività, oltre che dai mezzi propri, possono essere finanziate da contributi di enti pubblici e di privati. Alla Fondazione possono essere concessi in comodato beni immobili facenti parte del demanio e del patrimonio disponibile e indisponibile dello Stato. La concessione in comodato di beni di particolare valore artistico e storico è effettuata di intesa con il Ministro per i beni e le attività culturali e non modifica il regime giuridico, previsto dagli articoli 823 e 829, primo comma, del codice civile, dei beni demaniali concessi in comodato alla Fondazione. Lo statuto vincola l’intero patrimonio della Fondazione al perseguimento delle finalità di cui al comma 2 e precostituisce modalità idonee ad assicurare che, in sede di liquidazione del patrimonio stesso, i beni necessari a tale perseguimento non siano distratti dall’utilizzo da parte di soggetti pubblici.
Tutti gli atti connessi alle operazioni di costituzione della Fondazione e di conferimento e devoluzione alla stessa sono esclusi da ogni tributo e diritto e vengono effettuati in regime di neutralità fiscale.
Per lo svolgimento dei propri compiti la Fondazione, oltre che di proprio personale, può avvalersi di un numero massimo di XX unità di personale, di cui n. X di livello dirigenziale non generale, assegnato temporaneamente, dalle amministrazioni pubbliche, sulla base di appositi protocolli di intesa stipulati ai sensi dell’articolo 23-bis, comma 7, del decreto legislativo 30 marzo 2001, n.165. La Fondazione può avvalersi, inoltre, della collaborazione di esperti e di società di consulenza nazionali ed estere, ovvero di università e di istituti universitari e di ricerca.
Il Dipartimento delle informazioni per la sicurezza assicura il più celere avvio delle attività della Fondazione. Con decreto del Presidente del Consiglio dei ministri, adottato su proposta del direttore generale del Dipartimento delle informazioni per la sicurezza, sentito il CISR, sono nominati un commissario unico e un collegio dei revisori, e ne sono definiti i compiti. Il commissario unico, fino all’approvazione dello statuto e all’entrata in funzione degli organi dallo stesso previsti, adotta con i poteri dell’organo monocratico ogni atto occorrente per assicurare la costituzione e il funzionamento delle strutture amministrative della Fondazione, nonché gli atti necessari per l’avvio e lo svolgimento delle attività di cui ai commi 1 e 2. Per l’espletamento dei propri compiti il commissario è autorizzato ad avvalersi di personale, nel limite massimo di 20 unità di personale di livello non dirigenziale appartenente alle amministrazioni pubbliche, collocato in posizione di comando, distacco, fuori ruolo o analoga posizione prevista dall’ordinamento di appartenenza, ad esclusione del personale docente, educativo, amministrativo, tecnico ed ausiliario delle istituzioni scolastiche. All’atto del collocamento in fuori ruolo è reso indisponibile per tutta la durata dello stesso un numero di posti nella dotazione organica dell’amministrazione di provenienza equivalente dal punto di vista finanziario.
I compensi del commissario unico e dei revisori di cui al comma 11 sono determinati con decreto del Presidente del Consiglio dei ministri, di concerto con il Ministro dell’economia e delle finanze, nel rispetto dei limiti generali previsti dalla normativa vigente.
Per le finalità di cui al presente articolo è autorizzata la spesa di 10 milioni di euro a decorrere dall’anno 2021. I trasferimenti in favore della Fondazione a carico del bilancio dello Stato sono accreditati su un conto infruttifero aperto presso la Tesoreria dello Stato, intestato alla Fondazione. Dalla data di entrata in vigore della presente legge, il Ministero dell’economia e delle finanze è autorizzato a concedere, su richiesta del commissario unico di cui al comma 11, a valere sullo stanziamento di cui al presente comma, relativo all’anno 2021, le anticipazioni occorrenti per lo svolgimento delle attività demandate allo stesso commissario, che affluiscono sul predetto conto.
Relazione illustrativa:
La disposizione istituisce la Fondazione denominata “Istituto Italiano di Cybersicurezza”(IIC), con lo scopo di promuovere e sostenere l’accrescimento delle competenze e delle capacità tecnologiche, industriali e scientifiche nazionali nel campo della sicurezza cibernetica e della protezione informatica, nonché di favorire lo sviluppo della digitalizzazione del Paese, del sistema produttivo e delle pubbliche amministrazioni in una cornice di sicurezza e il conseguimento dell’autonomia, nazionale ed europea, riguardo a prodotti e processi informatici di rilevanza strategica, a tutela dell’interesse della sicurezza nazionale nel settore.
La Fondazione pianifica, elabora, sviluppa, promuove e supporta iniziative e progetti di innovazione tecnologica e programmi di ricerca riguardanti la sicurezza delle reti, dei sistemi e dei programmi informatici e dell’espletamento dei servizi informatici, in coerenza con la strategia nazionale di sicurezza cibernetica, e supporta le istituzioni nazionali competenti nella materia della protezione cibernetica e della sicurezza informatica, anche ai fini della partecipazione alla definizione degli standard internazionali nel settore; promuove la consapevolezza dei rischi informatici presso le Istituzioni, le imprese e gli altri utenti di prodotti e servizi informatici.
Per il raggiungimento dei propri scopi, la Fondazione instaura rapporti con omologhi enti e organismi in Italia e all’estero, stipula contratti, convenzioni, accordi o intese con soggetti pubblici e privati, promuove la costituzione di nuove società, associazioni o fondazioni, partecipa a società, associazioni o fondazioni esistenti, a strutture di ricerca, di alta formazione e di trasferimento tecnologico in Italia e all’estero, se tali soggetti svolgono attività comunque strumentali al perseguimento delle sue finalità.
Sono membri fondatori il Presidente del Consiglio dei ministri, che per le attività attuative del presente articolo si avvale del Dipartimento delle informazioni per la sicurezza nonché i Ministri partecipanti al Comitato interministeriale per la sicurezza della Repubblica (CISR) il Ministro dell’università e della ricerca e, ove istituita, l’Autorità politica delegata per le funzioni nella materia delle tecnologie dell’informazione e dell’innovazione digitale.
La Presidenza del Consiglio dei ministri, per il tramite del Segretariato generale, esercita la vigilanza amministrativa sulla Fondazione e, per il tramite del Dipartimento delle informazioni per la sicurezza, la vigilanza sulla corrispondenza dell’attività tecnico-operativa da essa svolta agli scopi e agli obiettivi di cui al presente articolo.
Viene previsto che lo statuto della Fondazione individui, tra l’altro:
- a) gli organi dell’Istituto, la loro composizione, nonché i rispettivi compiti, prevedendo che la maggioranza dei componenti di ciascun organo sia nominata dal Presidente del Consiglio dei ministri su proposta del CISR integrato ai sensi del comma 4, e che gli altri componenti debbano comunque ottenere il preventivo gradimento dello stesso CISR integrato ai sensi del comma 4;
- b) le norme sull’ordinamento e sull’amministrazione;
- c) le modalità dell’eventuale partecipazione alla Fondazione di altri enti pubblici e privati, nonché le modalità con cui tali soggetti possono contribuire finanziariamente alle attività dirette a realizzare lo scopo della Fondazione.
Lo statuto è approvato con decreto del Presidente del Consiglio dei ministri, su proposta del CISR e del Ministro dell’università e della ricerca e, ove istituita, l’Autorità politica delegata per le funzioni nella materia delle tecnologie dell’informazione e dell’innovazione digitale. Per l’esercizio della predetta funzione di proposta il CISR si avvale del Dipartimento delle informazioni per la sicurezza, che predispone lo schema di statuto assicurando gli opportuni raccordi tra i membri fondatori. Con la medesima composizione integrata, il CISR approva ogni altro atto concernente la Fondazione, ove previsto dallo statuto.
Il patrimonio della Fondazione è costituito da apporti dei membri fondatori ed è incrementato da ulteriori apporti dello Stato, nonché da risorse provenienti da soggetti pubblici e privati; le attività, oltre che dai mezzi propri, possono essere finanziate da contributi di enti pubblici e di privati. Alla Fondazione possono essere concessi in comodato beni immobili facenti parte del demanio e del patrimonio disponibile e indisponibile dello Stato. La concessione in comodato di beni di particolare valore artistico e storico è effettuata di intesa con il Ministro per i beni e le attività culturali e non modifica il regime giuridico, previsto dagli articoli 823 e 829, primo comma, del codice civile, dei beni demaniali concessi in comodato alla Fondazione.
Lo statuto vincola l’intero patrimonio della Fondazione al perseguimento delle finalità istituzionali ad essa assegnate e precostituisce modalità idonee ad assicurare che, in sede di liquidazione del patrimonio stesso, i beni necessari a tale perseguimento non siano distratti dall’utilizzo da parte di soggetti pubblici.
Tutti gli atti connessi alle operazioni di costituzione della Fondazione e di conferimento e devoluzione alla stessa sono esclusi da ogni tributo e diritto e vengono effettuati in regime di neutralità fiscale.
Per lo svolgimento dei propri compiti la Fondazione, oltre che di proprio personale, può avvalersi di unità di personale, anche di livello dirigenziale, messo a disposizione, su richiesta della stessa, da enti pubblici e da amministrazioni pubbliche secondo le norme previste dai rispettivi ordinamenti. La Fondazione può avvalersi, inoltre, della collaborazione di esperti e di società di consulenza nazionali ed estere, ovvero di università e di istituti universitari e di ricerca.
Il Dipartimento delle informazioni per la sicurezza assicura il più celere avvio delle attività della Fondazione.
Con decreto del Presidente del Consiglio dei ministri, adottato su proposta del direttore generale del Dipartimento delle informazioni per la sicurezza, sentito il CISR, sono nominati un commissario unico e un collegio dei revisori, e ne sono definiti i compiti. Il commissario unico, fino all’approvazione dello statuto e all’entrata in funzione degli organi dallo stesso previsti, adotta con i poteri dell’organo monocratico ogni atto occorrente per assicurare la costituzione e il funzionamento delle strutture amministrative della Fondazione, nonché gli atti necessari per l’avvio e lo svolgimento delle attività istituzione dalla Fondazione.
Per l’espletamento dei propri compiti il commissario è autorizzato ad avvalersi di personale, nel limite massimo di 20 unità di personale di livello non dirigenziale appartenente alle amministrazioni pubbliche, collocato in posizione di comando, distacco, fuori ruolo o analoga posizione prevista dall’ordinamento di appartenenza, ad esclusione del personale docente, educativo, amministrativo, tecnico ed ausiliario delle istituzioni scolastiche. All’atto del collocamento in fuori ruolo è reso indisponibile per tutta la durata dello stesso un numero di posti nella dotazione organica dell’amministrazione di provenienza equivalente dal punto di vista finanziario.
I compensi del commissario unico e dei revisori sono determinati con decreto del Presidente del Consiglio dei ministri, di concerto con il Ministro dell’economia e delle finanze, nel rispetto dei limiti generali previsti dalla normativa vigente.
Per assicurare la funzionalità della Fondazione viene definita una autorizzazione di spesa a decorrere dall’anno 2021. I trasferimenti in favore della Fondazione a carico del bilancio dello Stato sono accreditati su un conto infruttifero aperto presso la Tesoreria dello Stato, intestato alla Fondazione. Dalla data di entrata in vigore della presente legge, il Ministero dell’economia e delle finanze è autorizzato a concedere, su richiesta del commissario, le anticipazioni occorrenti per lo svolgimento delle attività demandate allo stesso commissario, che affluiscono sul predetto conto di Tesoreria utilizzando lo stanziamento autorizzato per il 2021.
