La nuova architettura italiana per la sicurezza cibernetica
L’elaborato sopra costruito rende più comprensibile la nuova architettura italiana per la sicurezza cibernetica dettata dalla Direttiva NIS (Direttiva 2016/1148 sulla sicurezza delle reti e dei sistemi informativi). Direttiva che è stata recepita nel nostro ordinamento attraverso il decreto legislativo 18 maggio 2018, n. 65 (anche detto “decreto legislativo NIS”) in vigore dal 24 giugno 2018, e aggiornata con la Direttiva NIS2; direttiva NIS2, pubblicata lo scorso dicembre nella Gazzetta ufficiale dell’Unione Europea, entrata in vigore il 17 gennaio 2023.
Il provvedimento istituisce il CSIRT presso il Dipartimento delle Informazioni per la Sicurezza (Dis) della Presidenza del Consiglio dei Ministri, con il compito di definire le procedure tecniche per la prevenzione e la gestione degli incidenti informatici; ricevere le notifiche di incidente; fornire al soggetto che ha effettuato la notifica le informazioni per facilitare la gestione efficace dell’evento; informare gli altri Stati membri dell’Ue eventualmente coinvolti dall’incidente; garantire la collaborazione nella rete di CSIRT, attraverso l’individuazione di forme di cooperazione appropriate, lo scambio di informazioni e la condivisione di best practices. Viene così a comporsi un altro tassello importante dell’Architettura Nazionale Cyber che, con la collocazione del CSIRT presso il Dis, favorirà una più efficace gestione tecnica degli incidenti a livello nazionale e internazionale, grazie alle sinergie garantite dalle altre funzioni già assicurate dal Dipartimento in tale ambito, quali, il “punto di contatto unico nazionale NIS” per la gestione operativa di incidenti transfrontalieri, il “Nucleo per la Sicurezza Cibernetica (NSC)” per la gestione operativa di incidenti che hanno un impatto sulla sicurezza nazionale, e le attivazioni che deriveranno dal cosiddetto “Perimetro di sicurezza nazionale cibernetica”. Il Decreto individua altresì le tempistiche per una piena operatività del CSIRT. Entro 120 giorni il Dis, il Ministero dello Sviluppo Economico e l’AgID sottoscriveranno appositi accordi per assicurare il trasferimento delle funzioni del CERT nazionale e del CERT-PA al CSIRT italiano che, per lo svolgimento dei propri compiti, si avvarrà dell’AgID ai sensi del decreto legislativo Nis.
Il diritto alla protezione dei dati personali è un diritto fondamentale secondo la Carta dei diritti fondamentali dell’Unione europea (art. 8). Questo diritto è attualmente tutelato dal Regolamento (UE) 2016/679 (noto come regolamento generale sulla protezione dei dati), da vari altri atti normativi italiani e internazionali e dal Codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196), che è stato adeguato alle disposizioni del Regolamento (UE) 2016/679 tramite il Decreto legislativo 10 agosto 2018, n. 101.
Nell’era moderna, l’ingresso di numerosi attori e decisori politici rende plausibile l’ipotesi che il controllo, guidato dall’applicazione di un quadro normativo comune, possa diventare un alleato piuttosto che un avversario della sicurezza. Un’attenta ricerca e uno studio metodico da parte degli enti sopramenzionati garantiranno, molto probabilmente, l’integrità e la salvaguardia della privacy e della persona.
Glossario
