La Cybersicurezza nazionale tra il D.Lgs138/24 e la Legge 90/2024

La legge 28 giugno 2024, n.90 (Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici) e il Decreto Legislativo 4 settembre 2024, n. 138, emanato per recepire la Direttiva (UE) 2022/2555 (NIS 2) sono due normative complementari che operano nel campo della cybersicurezza nazionale ma con scopi, ambiti di applicazione e strumenti giuridici differenti. Di seguito analizziamo i due provvedimenti e il loro rapporto.

​1. Contesto e obiettivi delle due normative

   Il D.Lgs. n.138/2024 (NIS2)

Il decreto legislativo n.138/2024 (NIS2) ha l’obiettivo di recepire la Direttiva UE 2022/2555 finalizzata a garantire un livello elevato di cybersicurezza in tutta l’Unione Europea. Con questo decreto legislativo si predispone la strategia nazionale di cybersicurezza, si conferma l’Agenzia per la Cybersicurezza Nazionale quale autorità nazionale competente NIS, Punto di contatto unico NIS e quale Gruppo di intervento nazionale per la sicurezza informatica in caso di incidente in ambito nazionale (CSIRT Italia).

 Il decreto legislativo si applica (art.3):

o    ai soggetti pubblici o privati che operano nei settori altamente critici (Allegato I) come energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile e infrastrutture digitali;

o    ai soggetti che operano nei settori critici (Allegato II): come servizi postali, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione alimentare e fabbricazione di dispositivi medici;

o    alle Pubbliche amministrazioni (Allegato III): centrali, regionali e locali, oltre ad altri enti pubblici;

o    agli altri soggetti obbligati (Allegato IV): come fornitori di reti pubbliche di comunicazione elettronica, prestatori di servizi fiduciari e gestori di registri di nomi di dominio;

o    Il decreto legislativo trova applicazione poi anche verso ulteriori soggetti individuati nei successivi commi dell’articolo 3 medesimo.

L’art. 6 definisce ed individua i soggetti essenziali e soggetti importanti che rappresentano la maggior parte dei soggetti destinatari delle norme del decreto e coincidono in larga misura con quelli elencati all’articolo 3.

I soggetti essenziali sono fondamentalmente quelli di cui all’Allegato I (settori altamente critici) e quelli che presentano caratteri di criticità specifici (es. unico fornitore nazionale, rischio sistemico, ecc.), indipendentemente dalle dimensioni.

I soggetti importanti includono quelli di cui all’Allegato II (settori critici) e altri soggetti che non raggiungono il livello di criticità dei soggetti essenziali, ma rientrano comunque nell’ambito di applicazione.

Ai sensi dell’art.7, i soggetti di cui all'articolo 3, dal 1° gennaio al 28 febbraio di ogni anno devono registrarsi oppure aggiornare la propria registrazione sulla piattaforma digitale presso l'Autorità nazionale competente NIS, ai fini dello svolgimento delle funzioni attribuite all'Agenzia per la cybersicurezza nazionale.

Dal 15 aprile al 31 maggio di ogni anno i soggetti che hanno ricevuto da parte dell’Autorità nazionale competente NIS la comunicazione di soggetti essenziali o importanti di cui al comma 3, lettere a) e b), devono fornire, tramite l’apposita piattaforma digitale NIS, le informazioni rilevanti elencate dall’art.7, IV comma. Nello specifico:

a) “lo spazio di indirizzamento IP pubblico e i nomi di dominio in uso o nella disponibilità del soggetto;

b) ove applicabile, l'elenco degli Stati membri in cui forniscono servizi che rientrano nell'ambito di applicazione del presente decreto;

c) i responsabili di cui all'articolo 38, comma 5, indicando il ruolo presso il soggetto e i loro recapiti aggiornati, compresi gli indirizzi e-mail e i numeri di telefono;

d) un sostituto del punto di contatto di cui al comma 1, lettera c), indicando il ruolo presso il soggetto e i recapiti aggiornati, compresi gli indirizzi e-mail e i numeri di telefono.

Ai sensi dell’art.24 I soggetti essenziali e i soggetti importanti devono adottare misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi posti alla sicurezza dei sistemi informativi e della rete, nonché per prevenire o minimizzare l'impatto degli incidenti.

L’art.25 prevede che i soggetti essenziali e i soggetti importanti notificano, senza ingiustificato ritardo, al CSIRT Italia ogni incidente che, ai sensi del comma 4, ha un impatto significativo sulla fornitura dei loro servizi, includendo le informazioni che consentono di determinare un eventuale impatto transfrontaliero dell'incidente. In particolare:

a) entro 24 ore da quando si è avuta conoscenza dell'incidente significativo, si deve procedere con una pre-notifica che indichi se l'incidente significativo possa ritenersi il risultato di atti illegittimi o malevoli e se può avere un impatto transfrontaliero;

b) entro 72 ore da quando si è avuta conoscenza dell'incidente significativo, si deve procedere con una notifica dell'incidente che aggiorni le informazioni di cui alla pre-notifica e indichi una valutazione iniziale dell'incidente significativo, comprensiva della sua gravità e del suo impatto, nonché, ove disponibili, gli indicatori di compromissione;

c) il CSIRT Italia può chiedere che sia resa una relazione intermedia sui pertinenti aggiornamenti della situazione;

d) entro un mese dalla trasmissione della notifica dell'incidente di cui alla lettera b), deve essere stesa una relazione finale.

L’art.26 contempla, altresì, la possibilità di notifiche volontarie per i soggetti diversi da quelli essenziali e importanti e per questi ultimi prevede notifiche su base volontaria per quanto riguarda incidenti diversi da quelli di cui all'articolo 25, comma 1.

Ai fini di cui agli articoli 23, 24, 25, 27, 28 e 29 l'Autorità nazionale competente NIS stabilisce obblighi proporzionati tenendo nel giusto conto le dimensioni degli enti coinvolti, del grado di esposizione ai rischi, della probabilità che si verifichino incidenti, nonché della loro gravità, e del loro impatto sociale ed economico.

Ai sensi dell’art.34 l'Autorità nazionale competente NIS monitora e valuta il rispetto da parte dei soggetti essenziali e dei soggetti importanti degli obblighi previsti dall'articolo 7 e dal capo IV, svolgendo attività di vigilanza attraverso monitoraggi, verifiche, ispezioni, adozione di misure di esecuzione e irrogando sanzioni amministrative, come esplicitate nei successivi articoli dal 35 al 38.

L’art.38, comma 9, prevede sanzioni amministrative pecuniarie elevate per inadempimenti, fino a 10 milioni di euro o il 2% del fatturato annuo mondiale per i soggetti essenziali e fino a 7 milioni o l’1,4% del fatturato annuo mondiale per i soggetti importanti.

Per quanto riguarda la legge 90/2024, la stessa si applica a una specifica categoria di soggetti riconducibili agli organismi pubblici indicati nell’articolo 1, comma 1: pubbliche amministrazioni centrali, regioni, province autonome, città metropolitane, comuni con popolazione superiore a 100.000 abitanti, comuni capoluogo di regione, società di trasporto pubblico con bacino d’utenza pari o superiore a 100.000 abitanti e aziende sanitarie locali, soggetti privati che svolgono servizi pubblici essenziali o operano come società in house.

L’obiettivo del testo legislativo rimane quello di rafforzare la cybersicurezza nazionale attraverso misure specifiche per determinati soggetti pubblici e privati, armonizzando gli obblighi di notifica degli incidenti e introducendo nuove disposizioni penali per i reati informatici.

All’art.1, comma 2, si prevede l’obbligo di segnalazione degli incidenti riconducibili a una delle tipologie individuate nella tassonomia di cui al comma 1 entro il termine massimo di ventiquattro ore e di notifica completa di tutti gli elementi informativi disponibili entro settantadue ore. La segnalazione e la successiva notifica devono essere eseguite utilizzando le apposite procedure disponibili nel sito internet istituzionale dell'Agenzia per la cybersicurezza nazionale; al IV comma si prevede la possibilità di notifiche volontarie.

L’art.2 prevede che qualora l’ACN abbia evidenziato eventuali vulnerabilità nei confronti dei soggetti di cui all'articolo 1, comma 1, della legge e quelli di cui all'articolo 1, comma 2-bis, del decreto-legge 21 settembre 2019, n. 105 (soggetti rientranti nel perimetro di sicurezza nazionale cibernetica), questi debbano porvi rimedio entro 15 gg mediante l’adozione degli interventi risolutivi indicati dalla stessa Agenzia, pena l’applicazione delle sanzioni di cui al VI comma dell’art.1.

L’art.8 prevede che soggetti di cui all'articolo 1, comma 1, individuano, ove non sia già presente, una struttura adibita alla cybersicurezza.

L’art 9 introduce un rafforzamento delle misure di sicurezza dei dati attraverso la crittografia, mentre l’art.10 attribuisce funzioni in materia di crittografia all'Agenzia per la cybersicurezza nazionale.

Il Capo II della legge reca “Disposizioni per la prevenzione e il contrasto dei reati informatici

nonché in materia di coordinamento degli interventi in caso di attacchi a sistemi informatici o telematici e di sicurezza delle banche di dati in uso presso gli uffici giudiziari”.

L’art.16 contiene le modifiche al codice penale per potenziare le disposizioni relative alla prevenzione e alla lotta contro i crimini informatici. La norma ha previsto nuove fattispecie di reati informatici e nuove circostanze aggravanti rispetto ai tipi di reati informatici già previsti.

L’art.20 ha proceduto alla modifica dell’art. 24-bis del D.lgs. 231/2001 prevedendosi al primo comma un inasprimento delle pene, al secondo comma si sono sostituiti i riferimenti all’art 615 quinquies con quelli all’art 635 quater “Danneggiamento di sistemi informatici o telematici” e, da ultimo, si è introdotto un nuovo comma 1-bis che, per la nuova fattispecie di reato prevista all’articolo 629, terzo comma c.p. (estorsione), prevede la pena pecuniaria da trecento a ottocento quote e l’applicazione delle sanzioni interdittive di cui all’articolo 9, comma 2, per una durata non inferiore a due anni.

L’art.22 attribuisce al personale dell'Agenzia addetto al CSIRT Italia, la qualifica di pubblico ufficiale nello svolgimento delle proprie funzioni.

2. Rapporto tra le due normative
Viste sinteticamente le due normative, si nota come le stesse si integrano e si sovrappongono parzialmente, operando in un quadro normativo coerente per rafforzare la cybersicurezza nazionale.

Le due normative si integrano e si sovrappongono parzialmente, operando in un quadro normativo coerente per rafforzare la cybersicurezza nazionale ed europea.
Mentre il D.Lgs. 138/2024 recepisce norme europee volte a garantire un livello comune di cybersicurezza nell'Unione Europea, la L. 90/2024 detta una disciplina interna che integra e amplia la disciplina nazionale sulla cybersicurezza, introducendo misure più dettagliate e specifiche per il Paese.
Entrambe le normative prevedono misure di protezione per le imprese e le pubbliche amministrazioni, stabilendo requisiti minimi di sicurezza e obblighi di notifica in caso di attacchi informatici.
Differisce l’ambito di applicazione, poiché il D.Lgs. 138/2024 ha un ambito di applicazione più ampio, ricomprendendo tutti i soggetti essenziali e importanti come definiti dalla Direttiva NIS2, inclusi i soggetti del PSNC, operatori di servizi digitali, e altre entità in settori critici con obbligo alla registrazione presso l’ACN, mentre la legge 90/2024 si concentra su un elenco tassativo di soggetti, prevalentemente pubblici (es. amministrazioni centrali, regioni, comuni) o legati a servizi pubblici (es. trasporto pubblico, sanità) non richiedendo alcuna registrazione formale, ma imponendo solo obblighi di notifica e misure di sicurezza.
I soggetti elencati nella Legge 90/2024 (es. aziende sanitarie locali, città metropolitane) possono rientrare anche nell’ambito del D.Lgs. 138/2024 se a loro volta sono classificati come essenziali o importanti (ad es. le ASL sono considerate essenziali per il settore sanitario). In questi casi, prevalgono le disposizioni più specifiche del D.Lgs. 138/2024 ad esempio per quanto riguarda le tempistiche di notifica e le misure di sicurezza, mentre la Legge 90/2024 potrebbe continuare a trovare applicazione in caso di violazioni per gli ambiti penali e amministrativi eventualmente disciplinati dalla L.90/2024.
Entrambe le normative rafforzano comunque il ruolo dell’Agenzia per la Cybersicurezza Nazionale, la quale garantisce l’uniformità nell’applicazione delle due normative, evitando duplicazioni.
Sia il D.Lgs 138/2024 che la legge 90/2024 prevedono sanzioni severe per chi non rispetta gli obblighi di cybersicurezza, incentivando l’adozione di misure adeguate.