Sono numerosi gli interventi presenti nel disegno di legge, di iniziativa governativa, recante disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici, approvato dall’Aula di Montecitorio con 149 sì, otto no e 109 astenuti, e che adesso passa all’esame dell’Assemblea di palazzo Madama.
Il provvedimento, che reca le firme della presidente del Consiglio, Giorgia Meloni, e del ministro della Giustizia, Carlo Nordio, composto dopo l’esame nelle commissioni riunite Affari costituzionali e Giustizia da 23 articoli rispetto agli originari 18, è volto ad assicurare una più elevata capacità di protezione e risposta a fronte di emergenze cibernetiche, alla luce dell’attuale contesto geopolitico, e si propone quindi di rafforzare la sicurezza nazionale, a favore delle Pubbliche amministrazioni, delle imprese e dei cittadini, anche considerato il rilevante sviluppo di tecnologie potenzialmente aggressive, contemplando una governance centralizzata degli aspetti di sicurezza e recando disposizioni per la prevenzione e il contrasto dei reati informatici. Si prevede, poi, il rafforzamento delle funzioni dell’Agenzia per la cybersicurezza nazionale (Acn) ed il suo coordinamento con l’autorità giudiziaria in caso di attacchi appunto informatici. La sicurezza cibernetica, del resto, rappresenta uno dei principali interventi previsti dal Piano nazionale di ripresa e resilienza nell’ambito della trasformazione digitale della Pubblica amministrazione e della digitalizzazione del Paese.
Entrando più nel dettaglio delle misure, si introduce un obbligo di segnalazione di alcune tipologie di incidenti aventi impatto su reti, sistemi informativi e sistemi informatici in carico a determinati soggetti. Quanto alle modalità con cui effettuare la notifica, una prima segnalazione deve avvenire senza ritardo e, comunque, entro il termine massimo di 24 ore dal momento in cui se ne sia venuti a conoscenza. Entro 72 ore dal medesimo momento dovrà avvenire la notifica completa di tutti gli elementi informativi disponibili. Vengono incrementati gli obblighi di notifica posti in capo ai soggetti inclusi nel perimetro di sicurezza nazionale cibernetica: si tratta di Pubbliche amministrazioni, Enti ed operatori pubblici e privati che svolgono funzioni istituzionali o essenziali per gli interessi dello Stato, individuati con apposito atto amministrativo adottato dal presidente del Consiglio dei ministri, su proposta del Comitato interministeriale per la cybersicurezza. Si dispone, inoltre, che i dati relativi a incidenti informatici siano raccolti, sulla base degli adempimenti di notifica previsti a legislazione vigente, dall’Agenzia per la cybersicurezza nazionale, che ne cura la pubblicità come dati ufficiali di riferimento degli attacchi informatici. L’articolo 5 del disegno di legge prevede la possibilità di far partecipare alle riunioni del nucleo per la cybersicurezza ulteriori soggetti quali i rappresentanti della Direzione nazionale antimafia e antiterrorismo e rappresentanti della Banca d’Italia, in relazione a specifiche questioni di particolare rilevanza concernenti i compiti di proposta di iniziative in materia di cybersicurezza del Paese.
Si introducono norme in materia di coordinamento operativo dei servizi di informazione per la sicurezza e l’Agenzia per la cybersicurezza nazionale, mentre viene istituito per le Pubbliche amministrazioni indicate nel provvedimento, dove non sia già presente, la struttura preposta all’attività di cybersicurezza. Al contempo, si predispone l’istituzione del referente per la cybersicurezza, unico punto di contatto delle amministrazioni coinvolte con l’Agenzia per la cybersicurezza nazionale. Ed ancora, si attribuisce alle strutture preposte all’attività di cybersicurezza nelle Pubbliche amministrazioni la funzione di verificare che i programmi e le applicazioni informatiche di comunicazione elettronica rispettino le linee guida sulla crittografia, nonché quelle sulla conservazione delle password adottate dall’Agenzia per la cybersicurezza nazionale e dall’Autorità garante per la protezione dei dati personali, e che non contengano vulnerabilità. L’articolo 10 del testo valorizza l’uso della crittografia quale strumento di difesa cibernetica e istituisce il Centro nazionale di crittografia presso l’Agenzia per la cybersicurezza nazionale, con funzioni di centro di competenza nazionale per tutti gli aspetti della crittografia in ambito non classificato, ossia non coperto dal segreto. Il funzionamento del Centro è disciplinato con provvedimento del direttore generale dell’Agenzia. L’articolo 12 stabilisce un divieto, della durata di due anni, di assunzione, anche di incarichi, presso soggetti privati, finalizzata allo svolgimento di mansioni in materia di cybersicurezza, per i dipendenti appartenenti al ruolo del personale dell’Agenzia per la cybersicurezza nazionale che abbiano partecipato, nell’interesse o a spese dell’Agenzia stessa, a specifici percorsi formativi di specializzazione.
Via libera anche ad alcuni criteri di cybersicurezza nella disciplina dei contratti pubblici, con l’adozione di un decreto del presidente del Consiglio dei ministri, entro 120 giorni dalla data di entrata in vigore delle misure in esame, su proposta dell’Agenzia per la cybersicurezza nazionale e previo parere del Comitato interministeriale per la sicurezza della Repubblica, per individuare, per determinate categorie tecnologiche di beni e servizi, gli elementi essenziali di cybersicurezza da tenere in considerazione in relazione alle attività di approvvigionamento di beni e servizi informatici impiegati in un contesto connesso alla tutela degli interessi nazionali strategici. Si prevede, nell’ambito dei contratti di approvvigionamento di beni e servizi informatici, una serie di obblighi e facoltà in capo alle stazioni appaltanti, incluse le centrali di committenza, in relazione agli elementi essenziali di cybersicurezza già individuati. Questa regolamentazione troverà applicazione per le Pubbliche amministrazioni, i gestori dei servizi pubblici e le società a controllo pubblico, ma anche per gli altri soggetti privati rientranti nel perimetro di sicurezza nazionale cibernetica. Il testo contiene modifiche al Codice penale, come quella dell’articolo 240, sulla confisca, con la previsione in relazione alla nuova aggravante che le commissioni riunite Affari costituzionali e Giustizia di Montecitorio hanno inserito nel disegno di legge con riguardo alla truffa aggravata, che si applichi la misura di sicurezza della confisca obbligatoria dei beni e degli strumenti informatici o telematici utilizzati in tutto o in parte per la commissione del reato, nonché dei beni che costituiscono il profitto o il prodotto del reato medesimo, ovvero di somme di denaro, beni o altre utilità di cui il colpevole ha la disponibilità per un valore corrispondente a tale profitto prodotto, se non è possibile eseguire la confisca diretta del profitto o del prodotto.
Si interviene anche su altri articoli del Codice penale legati all’accesso abusivo ad un sistema informatico o telematico, alla detenzione, diffusione e installazione abusiva di apparecchiature, codici e altri mezzi atti all’accesso a sistemi informatici o telematici, alla detenzione, diffusione e installazione abusiva di apparecchiature e di altri mezzi atti ad intercettare, impedire o interrompere comunicazioni o conversazioni telegrafiche o telefoniche, alla intercettazione, all’impedimento o all’interruzione illecita di comunicazioni informatiche o telematiche, alla detenzione, diffusione e installazione abusiva di apparecchiature e di altri mezzi atti ad intercettare, impedire o interrompere le comunicazioni informatiche o telematiche, alla falsificazione, alterazione o soppressione del contenuto di comunicazioni informatiche o telematiche, al danneggiamento di informazioni, dati e programmi informatici, al danneggiamento di informazioni, dati e programmi informatici utilizzati dallo Stato o da altro Ente pubblico o comunque di pubblica utilità, al danneggiamento di sistemi informatici o telematici. Si introduce, sempre nel Codice penale, l’articolo 635-quater.1 sulla detenzione, diffusione e installazione abusiva di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico. Viene punita la fattispecie del delitto di estorsione mediante reati informatici realizzata dalla costrizione di taluno a fare o omettere qualche cosa procurando a sé o a un altro un ingiusto profitto, mediante le condotte o la minaccia di compierle di cui ai reati ivi richiamati. Quanto al danneggiamento di sistemi informatici o telematici di pubblica utilità, si innalza la pena della reclusione da due a sei anni. Attualmente la sanzione prevista, invece, è da uno a quattro anni. Spazio ad una ulteriore circostanza aggravante nel caso in cui il fatto sia commesso a distanza attraverso strumenti informatici o telematici idonei ad ostacolare la propria o altrui individuazione.
Vengono estese ai reati informatici le deroghe relative al regime ordinario di notifica dell’avviso della richiesta di proroga delle indagini preliminari e di fissazione dell’udienza in camera di consiglio da parte del Giudice per le indagini preliminari in caso di mancato accoglimento dell’istanza. L’articolo 18 del disegno di legge estende la disciplina delle intercettazioni prevista per i fatti di criminalità organizzata ai reati informatici rimessi al coordinamento del Procuratore nazionale antimafia e antiterrorismo, mentre l’articolo 20 interviene sul procedimento di applicazione delle speciali misure di protezione per i testimoni di giustizia e per gli altri protetti, prevedendo che la commissione centrale debba richiedere il parere del Procuratore nazionale antimafia e antiterrorismo sulla proposta di ammissione alle speciali misure, anche nel caso di gravi delitti informatici. Vengono disciplinati i rapporti tra l’Agenzia per la cybersicurezza nazionale, il Procuratore nazionale antimafia e antiterrorismo e la Polizia giudiziaria con il pubblico ministero. Da segnalare l’emendamento presentato dal deputato di Azione, Enrico Costa, approvato in sede di esame da parte delle commissioni, che dà la possibilità agli ispettori del ministero della Giustizia di fare controlli sull’accesso alle banche dati. Il governo ha, infine, espresso parere favorevole, nell’Aula della Camera, ad un ordine del giorno, presentato sempre da Costa, su disegno di legge che impegna l’esecutivo ad introdurre una disciplina organica dello strumento del trojan, “nel primo provvedimento utile”.
