I recenti provvedimenti in tema di Cybersecurity: Cybersecurity Act, le Linee Guida in ambito NIS ed il c.d. DDL “Cybersecurity”

 

Dopo l’adozione della direttiva “Network Information System” (NIS) nel 2016 (Direttiva UE n. 1148/2016 del Parlamento europeo e del Consiglio, del 6 luglio 2016, recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell'Unione), il legislatore, sia a livello europeo che italiano, prosegue quindi nell’adozione di misure dirette a rafforzare la sicurezza dal punto di vista cyber.

In tale ambito, una delle misure principali e più recentemente adottate in materia è, infatti, costituita dal suddetto Regolamento (UE) n. 2019/881.

In particolare, il Regolamento prevede la realizzazione di schemi di certificazione specifici per prodotti e sistemi ICT principalmente diretti a facilitare lo scambio dei prodotti e ad accrescere la fiducia dei consumatori sugli stessi.

Secondo le disposizioni del Regolamento, gli schemi saranno predisposti dall’ENISA e adottati poi formalmente dalla Commissione Europea tramite atti esecutivi. Adottato lo schema europeo di certificazione, le società interessate potranno presentare domanda di certificazione dei propri prodotti o servizi a determinati organismi accreditati.

Considerati gli ultimi interventi delle Istituzioni Europee, l’importanza di adeguare i propri sistemi anche dal punto di vista della Cyber sicurezza è, dunque, evidente, soprattutto a fronte di attacchi malevoli sempre più frequenti. Ne è un esempio il recente attacco hacker, accompagnato dalla richiesta di un riscatto milionario, subito da una nota società bolognese, per restare in Italia, che in poche ore ha visto l’attività dei propri stabilimenti compromessa. Un malware ha disattivato l'antivirus: i server hanno ceduto uno dopo l'altro sotto i colpi di uncryptolocker che ha cifrato, rendendo indisponibile, una grande quantità di file. Nonostante la produzione abbia subito un blocco di un’intera giornata, tale società non ha tuttavia ceduto al ricatto, onde non alimentare questo tipo di condotte criminali.

Nell’ambito della Direttiva NIS e del provvedimento italiano di attuazione, ovvero il D.lgs. del 18 maggio 2018 n.65, l’Italia si è poi recentemente dotata (con comunicazione del 4 Luglio 2019), di un ulteriore strumento per la gestione della cybersecurity nazionale, ovvero le Linee Guida sulla gestione dei rischi e la prevenzione, mitigazione e notifica degli incidenti elaborate di concerto dai Ministeri competenti (i Ministeri dello Sviluppo Economico, delle Infrastrutture e dei Trasporti, dell’Economia e delle Finanze, della Salute, dell’Ambiente e della Tutela del Territorio e del Mare), in collaborazione con le regioni e province autonome di Trento e Bolzano. Al centro vi è l’esigenza di garantire un’adeguata protezione a infrastrutture e dati e “la resilienza dell’intero Sistema-Paese”, necessità che non può prescindere da un approccio coordinato, un aumento della consapevolezza della sussistenza e della valutazione dei rischi, nonché la messa in campo di una più stretta collaborazione tra operatori di servizi essenziali (OSE), nei settori pubblico e privato.

Sempre in questo contesto si inquadra, da ultimo, anche il Disegno di Legge in materia di “Perimetro di sicurezza nazionale cibernetica”, approvato dal Consiglio dei Ministri, su proposta del presidente Giuseppe Conte, lo scorso 19 Luglio. Nello specifico, come chiarisce una nota di palazzo Chigi, il provvedimento "introduce disposizioni volte ad assicurare un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, degli enti e degli operatori nazionali, pubblici e privati, da cui dipende l’esercizio di una funzione essenziale dello Stato", ovvero la prestazione di un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato e dal cui malfunzionamento o interruzione, anche parziali, ovvero utilizzo improprio, possa derivare un pregiudizio per la sicurezza nazionale. Sono cinque i punti salienti previsti da tale provvedimento, tra cui in sintesi: