📚 ENTI LOCALI: tutte le normative di cybersecurity applicabili

Ciao a tutti e benvenuti in questo nuovo video. Oggi voglio affrontare una panoramica un po' più verticale sugli enti locali, partendo dai comuni meno popolosi e arrivando fino a province e regioni, ovviamente sempre dal punto di vista della cyber security. Quindi vedremo tutti gli obblighi cyber in capo a questi enti. Piano piano vorrei arrivare a coprire un po' tutto il panorama delle aziende e delle pubbliche amministrazioni. Quindi se volete che io mi occupi di una realtà particolare e analizzi magari gli obblighi collegati a quella realtà, fatemelo sapere nei commenti che sicuramente provvederò. Intanto iniziamo dagli enti locali. Tra il 2024 e il 2025 l'Italia ha vissuto una vera e propria rivoluzione normativa in materia di cybersecurity. La principale protagonista di questa trasformazione è ovviamente la direttiva europea NIS2, recepita in Italia col Decreto Legislativo 138 del 2024. Pensiamo alla NIS2 come a un ombrello gigante che copre tutta l'Unione Europea, creando degli standard comuni di sicurezza informatica. Sotto questo ombrello ogni paese ha dovuto adottare le proprie regole. L'Italia ha fatto molto di più, non solo ha recepito la direttiva col Decreto Legislativo appunto 138 del 2024, ma ha introdotto un'ulteriore legge, la Legge 90 del 2024, una normativa che abbiamo già trattato in un altro video, che rafforza ulteriormente la cyber security nazionale. Diciamo che è come se avessimo preso l'ombrello europeo e ci fossimo messi pure l'impermeabile. Ma perché tutto questo fermento normativo? La risposta è molto semplice. Negli ultimi anni gli attacchi informatici contro l'Italia in generale e la pubblica amministrazione in particolare sono aumentati in modo devastante. Abbiamo assistito a ransomware che hanno paralizzato i servizi comunali, a violazione di dati sensibili dei cittadini, sistemi che sono andati in tilt proprio nei momenti in cui servivano di più. In pratica è diventato chiaro che la sicurezza informatica non è più un optional che possiamo adottare come no, ma è una necessità vitali, proprio per noi cittadini. Tutto questo sotto l'occhio vigile dell'Agenzia per la Cyber Sicurezza Nazionale, o ACN, nata nel 2021, che è diventata un po' il quartier generale della cyber security italiana. È l'ente che coordina, controlla e supporta tutti gli altri nella battaglia contro le minacce informatiche. La citerò un po' di volte nel video, quindi ho pensato fosse meglio specificare subito chi è. Iniziamo il nostro viaggio dagli enti più diffusi del nostro paese: i comuni con meno di 100.000 abitanti. Ho fatto anche questa volta un sitino. Quindi adesso lo andiamo a vedere immediatamente. Ecco qua, spero che si veda un po' meglio dell'altra volta. Allora, come dicevo, ci sono stati un po' di sviluppi normativi italiani che hanno introdotto altri obblighi di cyber security. Partiamo proprio dai comuni con la popolazione inferiore ai 100.000 abitanti, perché questi rappresentano la stragrande maggioranza degli enti locali italiani. Eppure, essendo appunto più piccoli, tendono ad avere meno risorse, sia economiche che di personale. Ovviamente anche di questo sitino, che questa volta ho fatto con Gamma, vi lascio poi il link nella descrizione, nel primo commento, così potete andare poi a vederlo. Allora, partiamo appunto da questi comuni. La buona notizia è che per questi enti gli obblighi sono più contenuti, ma questo non significa che possano dormire sonni tranquilli. Per fare un paragone, diciamo che comuni grandi sono come una villa ricca, che fa quindi gola ai ladri, per cui vanno protetti di più. I comunelli sono come una casa normale. Non è che abbiamo bisogno di filo spinato, cani da guardia, ma la porta la dobbiamo chiudere. Tutto quello che dirò sui comuni più piccoli ovviamente si applica anche agli enti locali più popolosi. Quindi partiamo dal basso e saliamo con obblighi man mano più stringenti, ma non dimentichiamoci di questi perché sono appunto applicabili a tutti quanti. Il primo pilastro della sicurezza per quanto riguarda i comuni più piccoli sono le misure minime di sicurezza ICT. Questo termine molto burocratico nasconde in realtà un concetto veramente pratico: sono i controlli di base che ogni ente dovrebbe avere, sono il kit di pronto soccorso della cybersecurity. Queste misure, che sono state definite dalla Circolare AGID del 2017, comprendono 45 controlli specifici suddivisi in due categorie: standard e avanzati. Tra quelli standard troviamo ad esempio l'inventario di tutti i dispositivi informatici, i sistemi antivirus aggiornati, i backup regolari dei dati, il controllo degli accessi. Quelli avanzati includono invece la segmentazione delle reti, il monitoraggio degli eventi di sicurezza e la gestione delle vulnerabilità. Su questi controlli farò un video di approfondimento la prossima settimana, quindi le andremo a vedere uno per uno e capiremo come vanno applicati. Anche perché secondo me sono buone pratiche che fanno bene un po' a tutti. Certo, non è che in casa facciamo la segmentazione della rete e l'inventario dei dispositivi, però ci sono alcune linee guida che possono aiutarci a migliorare un pochino la nostra posizione. Tra i principali controlli comunque direi che c'è sicuramente appunto l'inventario dei dispositivi, che è fondamentale. È impossibile proteggere quello che non si conosce. Molti comuni scoprono di avere computer, stampanti nella rete, vecchi server dimenticati in qualche ufficio che possono diventare con il tempo potenziali porte d'ingresso per gli attaccanti. Un'altra misura importante è il controllo degli accessi, che significa assicurarsi che ogni dipendente abbia accesso solo ai sistemi e ai dati necessari per il proprio lavoro. È il principio del privilegio minimo: un addetto all'anagrafe non deve poter accedere ai sistemi contabili e viceversa. Poi ci sono I backup, che paragonerei a una polizza assicurativa, nel senso che si spera di non averne mai bisogno, ma quando servono sono letteralmente dei salvavita. I backup devono essere automatici, regolari e soprattutto testati periodicamente. Banalmente, non basta fare il backup, bisogna essere sicuri che funzioni quando serve. Non so contare il numero di volte che mi è capitato di vedere un ente o un'azienda che era tranquillissima di avere dei backup funzionanti, poi nel momento in cui è successo il fattaccio si rendevano conto che in realtà i backup non c'erano, non avevano salvato, magari erano fermi all'anno precedente. Ma chi si occupa di tutto questo nei piccoli comuni? Ed ecco che entra in scena una figura chiave: il responsabile per la transizione digitale, o RTD. Questa persona è un po' il custode di tutto l'ambito digitale del comune, responsabile non solo dell'innovazione tecnologica ma anche della sicurezza informatica. L'RTD deve coordinare strumenti diversi, quindi sistemi informatici, procedure, personale, per creare un cosistema armonico che garantisca sicurezza ed efficienza. Non è necessario che sia un super esperto tecnico, però deve avere una visione d'insieme e deve sapere quando chiamare aiuto. Oltre a questo, un obbligo un po' particolare che vale chiaramente per tutti, come ho già detto, è quello relativo ai servizi cloud qualificati. Perché dal 1° aprile 2019, visto che comunque lo sappiamo ormai tutti, stiamo diciamo migrando verso il cloud, e questo ovviamente vale anche per le pubbliche amministrazioni, quello che ha stabilito l'Agid insieme alla GN è che tutti i servizi cloud devono rientrare in una lista determinata, devono essere appunto qualificati, perché così sappiamo che almeno hanno degli standard un po' più elevati di sicurezza. Si evita che venga scelto, diciamo, quello che costa meno, che però è anche meno sicuro, e quindi ci si assicura che i dati dei cittadini siano più protetti. Oltre all'adozione delle misure agide, alla nomina della RTD e servizi cloud, troviamo un altro obbligo, uno degli obblighi più importanti per i piccoli comuni, che è il GDPR. Il Regolamento Generale sulla Protezione dei Dati. Questo secondo me non è tanto un obbligo tecnico normativo, che sicuramente è, quanto un dovere etico verso i cittadini. I comuni gestiscono dati delicatissimi: la situazione familiare, le condizioni economiche dei cittadini, le informazioni sanitarie, i precedenti giudiziari. Il GDPR proprio per questo richiede l'adozione di misure tecniche e organizzative adeguate per proteggere questi dati. La parola adeguate non è messa qui a caso, ma è cruciale. Non esiste una ricetta unica valida per tutti. Ogni comune deve valutare quindi i propri rischi specifici e adottare le misure più appropriate o appunto adeguate. Per esempio, un piccolo comune montano che gestisce principalmente delle pratiche anagrafiche avrà dei rischi diversi da un comune costiero che gestisce anche delle licenze commerciali per le attività turistiche. Il primo magari è a rischio di valanghe, quindi avrebbe bisogno magari di concentrarsi sulla protezione fisica dei server e sui backup cap. Il secondo non ha ovviamente paura delle valanghe, ma potrebbe aver bisogno di una maggiore attenzione alla sicurezza delle comunicazioni online. Un aspetto spesso troppo sottovalutato è la formazione del personale. Gli esseri umani, lo dico sempre, sono l'anello più debole nella catena della sicurezza informatica. Posso adottare tutti i 45 controlli di sicurezza, posso nominare l'RTD, avere il cloud qualificato, essere conforme al GDPR, ma se ho il dipendente che clicca sul link malevolo o apre un allegato sospetto, veramente rischio di vanificare tutti gli investimenti fatti in termini di sicurezza informatica. È fondamentale organizzare delle sessioni di formazione regolari. I dipendenti devono saper riconoscere i tentativi di phishing, di truffa, di smishing, di vishing. Uso tutti questi termini perché ormai sapete benissimo cosa sono, ho fatto un sacco di video dedicati. Devono comprendere l'importanza delle password complesse, devono conoscere le procedure da seguire nel caso in cui sospettino che si sta verificando un attacco. Per i comunelli Gli obblighi finiscono qui. C'è da dire che in Italia molto spesso i comuni piccoli uniscono le forze e associano alcuni servizi, ed ecco che nascono le unioni di comuni. Dal punto di vista della cyber security, le unioni offrono sicuramente delle opportunità perché di fatto permettono ai piccoli comuni di condividere i costi e delle competenze che sarebbero insostenibili individualmente. Immaginiamo 5 piccoli comuni che decidono di unirsi e fare appunto un'unione di comuni. Invece di avere 5 sistemi informatici diversi, magari obsoleti e non protetti perché non hanno tante risorse economiche, possono investire insieme in un'infrastruttura comune più moderna e sicura. Invece di 5 RTD part-time con competenze limitate, possono assumerne uno a tempo pieno che si dedichi esclusivamente alla sicurezza informatica. Le unioni normalmente condividono anche il Data Protection Officer, il DPO, quella figura chiave che vigila sul rispetto del GDPR. E su questo vale un po' lo stesso discorso dell'RTD: un DPO condiviso può sviluppare delle competenze competenze più approfondite e dedicare più tempo all'unione rispetto a quello che potrebbe fare il DPO part-time di un singolo comune. Un altro vantaggio delle unioni è la possibilità di creare anche dei centri di competenza condivisi. Per esempio, possono dotarsi di un unico centro operativo di sicurezza che monitori 24 ore su 24 i sistemi di tutti i comuni aderenti. Di conseguenza, anche la gestione degli incidenti diventa più efficace. Se un comune subisce un attacco, l'esperienza acquisita nella gestione della crisi può essere immediatamente condivisa con gli altri membri dell'unione. Ovviamente unirsi comporta anche l'aumento della superficie di attacco, perché i dati vengono condivisi fra più persone, ci sono più informazioni che girano e che quindi potrebbero finire nelle mani sbagliate. In questi casi sarà quindi necessario definire molto bene i ruoli e le responsabilità, stabilire delle procedure condivise e garantire che tutti i comuni aderenti rispettino gli stessi standard di sicurezza, altrimenti si rischia di avere un anello debole che può danneggiare tutta l'unione. Pensiamo a un'unione super avanzata, che però ha un comune che usa ancora Windows XP, che viene colpito da un attacco informatico, e magari conteneva al suo interno anche dati dei cittadini degli altri comuni facenti parte dell'unione. Abbiamo visto le unioni, passiamo ora alle province. Le province si trovano in una posizione particolare nel panorama della cyber security, perché dopo la riforma del RIO del 2014 molte hanno visto ridotte le proprie competenze e anche le proprie risorse, ma mantengono ancora delle funzioni importanti, soprattutto in ambito scolastico, viario e ambientale. Dal punto di vista della sicurezza informatica, le province spesso si trovano in una posizione un po' infelice: sono più grandi e complesse dei singoli comuni, ma non sono incluse negli obblighi più stringenti riservati alle grandi città o alle regioni. A mio parere c'è un po' una zona grigia normativa, una terra di mezzo, per citare Tolkien, dove bisogna muoversi usando principalmente i principi generali. Le province sostanzialmente devono rispettare tutti gli obblighi base, quindi quelli previsti per i comuni più piccoli, penso ovviamente alle misure minime di sicurezza, alla nomina dell'RTD e del DPO e alla conformità GDPR. Le altre normative, la NIS 2 prima di tutte, non menzionano le province perché di fatto sono solo un cappello sotto cui stanno i singoli comuni. Hanno funzioni talmente limitate ormai che non si considerano quasi più soggetti autonomi. Spero che nessuna provincia si senta offesa se dico questo. Qual è il problema? Perché ovviamente c'è un problema, che le province spesso gestiscono ancora alcuni servizi particolarmente particolarmente critici. Penso ad esempio ai sistemi informativi per le scuole superiori, che comprendono banche date degli studenti, sistemi di gestione degli edifici scolastici, piattaforme per l'orientamento. Sono sistemi che contengono dati particolari, o come si diceva una volta, sensibili, di migliaia di minorenni, il che richiederebbe un livello di protezione alto. Un altro ambito critico è la gestione delle strade provinciali. I sistemi di monitoraggio traffico, le telecamere di videosorveglianza, i sensori per il controllo delle condizioni meteo e così via sono tutti potenziali obiettivi di attacchi informatici. Le province però hanno spesso un vantaggio rispetto ai piccoli comuni, cioè dimensioni sufficienti per giustificare un investimento in personale o in sistemi specializzati. Quindi diciamo che anche se non sono soggette a obblighi particolari, hanno quantomeno le risorse per applicare gli stessi obblighi previsti per altri enti più grandi in modo autonomo e spontaneo. Chiaramente è esistono anche province che si trovano a gestire sistemi diversissimi fra loro, con alcuni comuni che hanno tecnologie super obsolete e altri che invece sono più all'avanguardia. Quello che dovrebbe essere fatto è pianificare una modernizzazione graduale però costante dei sistemi, sostituendo man mano le componenti più vecchie con soluzioni più moderne e sicure. Nel 2025 non dovrebbe esistere un comune che ancora si basa su Windows XP. Arriviamo ora ai grandi protagonisti del cambiamento normativo: i comuni con oltre 100.000 abitanti e i capoluoghi di regione. Questi enti si trovano improvvisamente sotto i riflettori della normativa europea e nazionale sulla cyber security, con obblighi che li equiparano quasi alle amministrazioni centrali, quindi ad esempio ai ministeri. Questo comporta l'applicazione di due normative in particolare: la Legge 90 del 2024 e la NIS 2, recepita col Decreto Legislativo 138 del 2024. Per il contenuto delle norme vi rimando ai video in cui ne parlo in modo un po' più specifico, ma intanto vorrei soffermarmi su quello che l'applicazione di queste norme comporta. Si tratta infatti di un cambiamento radicale. Fino a poco tempo fa un comune di 150.000 abitanti aveva gli stessi obblighi di sicurezza informatica di un paesino di 800, perché si diceva: ma sì, dai, è un comune, cosa vuoi che succeda? Poi le cose sono successe e ora finalmente i comuni più grandi sono considerati soggetti critici per la sicurezza nazionale, al pari di ministeri e grandi aziende strategiche. Questa trasformazione riflette una realtà oggettiva: i grandi comuni I comuni gestiscono servizi essenziali per milioni di cittadini. Pensiamo a una città come Torino o Palermo. I loro sistemi informatici gestiscono servizi sociali, trasporti pubblici, anagrafi, tributi, servizi educativi. Un attacco informatico che paralizzasse questi sistemi avrebbe un impatto paragonabile a quello su un'infrastruttura nazionale. La direttiva NIS2 ha formalmente riconosciuto questa realtà includendo i grandi enti locali, quindi i comuni con oltre 100.000 abitanti e i capoluoghi di regione, regione fra i soggetti importanti del panorama della cybersecurity europeo. Non sono soggetti essenziali come le regioni o i ministeri, perché se vi ricordate la NIS 2 prevede questa distinzione fra soggetti importanti ed essenziali, ma i comuni con più di 100.000 abitanti sono comunque sottoposti a obblighi stringenti. Il primo grande cambiamento è l'obbligo di implementare un sistema di gestione del rischio informatico. Non si tratta più di singole misure di sicurezza, ma si tratta di costruire un approccio sistemico e strutturato. Continuando Tornando all'esempio della casa, non basta mettere il lucchetto alle singole porte e dire: ecco, siamo a posto. Si deve ragionare su come proteggere tutto il perimetro. Quindi prendiamo dei bei Doberman che ci proteggano, mettiamo le telecamere di sicurezza e così via. La gestione del rischio, che quelli bravi chiamano risk management, richiede prima di tutto di mappare tutti gli asset informatici del comune: server, workstation, applicazioni, database, connessioni di rete e così via. Per ogni dispositivo bisogna identificare le minacce possibili, valutare le vulnerabilità esistenti e calcolare anche l'impatto potenziale di un attacco. Si fa proprio quindi la radiografia di quello che è l'ente. Una volta completata l'analisi dei rischi, bisogna poi sviluppare un piano di gestione che stabilisca delle priorità di intervento, i tempi di implementazione e anche ovviamente le responsabilità di ciascuno. Un elemento fondamentale del nuovo approccio è la designazione di un referente per la cyber security, che credo che qui in realtà non abbia indicato— ah no, è qui. Ecco, nomina di un referente con competenze specifiche che molti confondono con l'RTD, ma non è la stessa cosa. Questa figura rappresenta infatti un'evoluzione rispetto all'RTD, perché l'RTD si occupa in generale di innovazione tecnologica. Il referente Cyber Security è focalizzato specificamente sulla sicurezza informatica. Una delle responsabilità più importanti del referente è la gestione della comunicazione con l'Agenzia per la Cyber Sicurezza Nazionale. Questo include sicuramente la notifica tempestiva degli incidenti informatici, ma anche l'adozione delle misure correttive eventualmente suggerite dall'ACN. Anche l'obbligo di notifica degli incidenti è un cambiamento veramente significativo, perché fino a poco tempo fa molti enti gestivano gli incidenti informatici in modo riservato, senza informare nessuno al di fuori dell'organizzazione, salvo che ovviamente non si rientrasse nell'ambito di un data breach, perché quello doveva essere comunque notificato al Garante Privacy. Ora invece devono comunicare ad ACN ogni incidente significativo entro tempi molto stretti. La prima notifica è entro 24 ore dalla scoperta dell'incidente, e poi va fatto un rapporto completo— qui non c'è scritto— comunque va fatto un rapporto completo entro 72 ore. Questa fretta, che fra l'altro riprende un po' quello che prevede il GDPR, no, perché stabilisce l'obbligo di notifica del data breach appunto entro 72 ore, è legata al fatto che i primi momenti dopo un incidente sono i più cruciali per limitare i danni e avviare ovviamente anche le contromisure. La CN è più solida rispetto al singolo comune, anche perché raccoglie informazioni sugli attacchi da tutti gli enti e può quindi identificare i pattern, vedere le tecniche ricorrenti, riconoscere i gruppi di attaccanti. Quindi può dare una mano concreta. Veniamo a una domanda cruciale: chi è responsabile nel caso in cui ci sia qualche mancanza informatica? Prendiamo il nostro povero tecnico del reparto IT e lo mettiamo all'agogna? La normativa NIS2 stabilisce chiaramente che la cyber security è una responsabilità del vertice dello organizzazione, non solo del reparto IT. Quindi anche sindaci, assessori e dirigenti apicali possono essere chiamati a rispondere personalmente se ci sono gravi carenze nella sicurezza informatica. Questo significa in pratica che la cybersecurity deve entrare nelle riunioni di giunta, nei piani strategici del comune, nei budget annuali. Non è più considerata una questione puramente tecnica dedicata a chi smanetta con i computer, è proprio una questione di governance. Tra l'altro, altra cosa da non sottovalutare, i grandi comuni sono responsabili anche delle della supply chain, quindi devono verificare che anche i propri fornitori di servizi IT rispettino degli standard adeguati di sicurezza. È inutile blindare i propri sistemi se poi si utilizzano servizi cloud insicuri o si affidano delle attività critiche a fornitori che hanno delle protezioni inesistenti o comunque inadeguate. Questo richiede di rivedere un po' tutti i contratti con i fornitori IT e di inserire anche nei bandi pubblici delle clausole specifiche sulla sicurezza, richiedendo certificazioni di conformità e prevedendo degli audit periodici. È un lavoro sicuramente complesso, però è necessario, perché abbiamo visto anche dal rapporto Clusit relativo all'anno scorso che molti attacchi informatici sfruttano proprio le debolezze nella catena dei fornitori. Tutto questo si applica anche alle società in house che forniscono servizi informatici ai grandi comuni, nel senso che sono anch'esse soggette agli stessi obblighi dell'ente controllante. Vediamo se c'è— sì, è qua, ecco qua. Questo significa che una società municipalizzata che gestisce i sistemi informatici del comune deve nominare proprio referente cybersecurity, deve notificare gli incidenti, deve rispettare in pratica tutte le misure di sicurezza previste per l'ente. Tra l'altro, le aziende che gestiscono servizi essenziali come trasporti pubblici, distribuzione idrica o raccolta dei rifiuti sono spesso soggette a obblighi ancora più stringenti, essendo considerate infrastrutture critiche. Arriviamo poi alle regioni. Le regioni rappresentano il livello più alto della pubblica amministrazione locale e di conseguenza sono sottoposte agli obblighi più rigorosi in materia di cybersecurity. Sono considerate definite soggetti essenziali, non importanti. Quindi in pratica sono equiparate alle amministrazioni centrali per quanto riguarda la loro importanza strategica. E se ci pensiamo è una cosa ragionevole, visto che gestiscono la sanità pubblica, coordinano la protezione civile, pianificano lo sviluppo economico territoriale, erogano servizi sociali e così via. I loro sistemi informatici contengono tantissimi dati molto delicati su milioni di cittadini e gestiscono servizi da cui può dipendere letteralmente la vita delle persone. Pensiamo anche solo al sistema sanitario. Le regioni gestiscono le reti di ospedali, i centri di salute, i sistemi di prenotazione, le cartelle cliniche elettroniche, i sistemi di emergenza sanitaria. Quindi un attacco informatico che compromettesse questi sistemi potrebbe veramente mettere a rischio la vita dei pazienti e paralizzare l'assistenza sanitaria su tutto il territorio regionale. Non dobbiamo pensare che sia una possibilità vaga o astratta, perché in realtà gli attacchi ransomware contro i sistemi sanitari sono purtroppo sempre più frequenti. I cybercriminali sanno che ospedali non possono permettersi di rimanere fermi e sono quindi spesso disposti a pagare dei riscatti per ripristinare rapidamente i servizi. Questo rende il settore sanitario un obiettivo particolarmente appetibile. Le regioni devono quindi implementare dei sistemi di sicurezza paragonabili a quelli delle grandi aziende private o delle istituzioni finanziarie. Ciò include ad esempio dei sistemi di monitoraggio continuo, dei centri operativi di sicurezza attivi 24 ore su 24, dei piani di disaster recovery testati regolarmente. Un elemento distintivo per le regioni è obbligo di collaborazione proattiva con la CN. Loro non devono solo notificare gli incidenti quando si verificano, ma partecipare attivamente al Sistema Nazionale di Allerta e Risposta alle Minacce, condividendo informazioni, partecipando a esercitazioni di sicurezza coordinate a livello nazionale, implementando ovviamente rapidamente le contromisure suggerite dalla CN, e così via. Chiaramente sono soggette anche a verifiche ispettive da parte della CN. Non sono dei controlli strettamente punitivi, sono audit che potremmo definire collaborativi, perché sono finalizzati a identificare le aree di miglioramento e condividere le best practice. Ma ovviamente, inutile dirlo, se emergono delle carenze possono scattare anche delle sanzioni. Abbiamo visto un po' di obblighi teorici, ma vorrei soffermarmi anche sulle conseguenze pratiche dell'implementazione di questi nuovi standard di sicurezza. Nel frattempo il nostro sito è finito, ci sono alcune informazioni in più, però direi che adesso possiamo un attimo uscire. La prima sfida è quasi sempre di natura economica. Implementare sistemi di sicurezza avanzati costa, costa denaro, e gli enti locali devono fare i conti con bilanci che spesso sono ristretti e con dei vincoli di spesa pubblica. Molti enti ancora oggi sottovalutano i costi reali della cyber security, ma soprattutto direi dell'importanza di questi costi. Non si tratta solo di acquistare dei software antivirus o dei firewall, ma di ripensare integralmente tutto l'approccio alla gestione IT. Soprattutto, lo ribadirò sempre, servono degli investimenti nella formazione del personale, la aggiornamento delle infrastrutture. Non è possibile avere ancora Windows XP, lo continuerò a dire finché campo. Bisogna poi mantenere attivi anche dei monitoraggi continui di quello che è stato fatto. Quindi non basta comprare un firewall e dire sono a posto, bisogna controllare che vada sempre bene. Ovviamente si può, anzi si deve, procedere per fasi. Quindi ci si concentra prima sui dischi più critici, perché è meglio proteggere bene pochi sistemi essenziali che tentare di proteggere tutto quanto magari male. Poi con il tempo, con l'esperienza e con i nuovi fondi, la protezione verrà poi chiaramente stesa a tutti i sistemi. Il secondo ostacolo è la mancanza di competenze specialistiche. Il mercato del lavoro della cyber security è molto competitivo e gli enti pubblici spesso faticano ad attrarre e a trattenere dei talenti con le competenze necessarie, perché banalmente sono figure che guadagnano molto di più lavorando per aziende private e quindi non sempre sono interessate al posto fisso. Una soluzione può essere quella di investire nella formazione del personale interno. Spesso negli enti locali ci sono già dei dipendenti con delle buone competenze tecniche di base che possono essere formati in modo più verticale sulla sicurezza informatica. Un'altra strategia, l'abbiamo visto per le unioni di comuni, è la collaborazione fra gli enti. I comuni possono condividere delle figure specialistiche, o una regione può fornire un supporto tecnico ai comuni del proprio territorio. Secondo me comunque il problema maggiore è di natura proprio culturale. In molti enti locali la sicurezza informatica è ancora vista come il problema tecnico da delegare al reparto IT. Invece, come ho già detto tantissime volte, è una questione strategica che deve coinvolgere tutto il management e tutti i dipendenti. Bisogna sensibilizzare sui rischi, spiegare l'importanza delle procedure di sicurezza, coinvolgere tutti nelle decisioni, perché se sono coinvolti nelle decisioni riescono anche ad applicare le misure in modo più consapevole e lo fanno anche più volentieri. Anche perché se succede qualcosa, come ho già detto, scattano anche delle sanzioni. È vero che l'obiettivo principale di queste normative è preventivo e non punitivo, ma sono comunque state progettate per essere abbastanza severe da incentivare il rispetto degli obblighi. Ricapitolando le sanzioni che abbiamo visto nei vari video, per gli enti soggetti alla Legge 90 del 2024 le sanzioni sono relative ad oggi alla mancata notifica degli incidenti o al mancato adeguamento alle indicazioni della CN e vanno da 25.000 a 125.000 euro. Verranno poi emanati in futuro altri decreti che stabiliranno altre sanzioni, ma per il momento sono previste queste. La NIS2 prevede sanzioni fino a 10 milioni di euro o 2% del fatturato globale per i soggetti essenziali, mentre per i soggetti importanti si parla di 7 milioni di euro o l'1% del fatturato globale. E poi c'è anche il GDPR che può comportare sanzioni fino al 4% del fatturato annuo. E non è detto che una carenza investa un solo ambito, anzi è probabile che sia estesa a vari ambiti e possa quindi tradursi in un cumulo di sanzioni, per cui la situazione si aggrava ancora di più. Ovvio che non è che ogni incidente informatico comporta automaticamente delle sanzioni, perché la CN e le altre autorità valutano caso per caso, quindi considerano la gravità dell'evento, l'impegno dell'ente nel prevenirlo e gestirlo, la collaborazione, la collaborazione nell'indagine. Un ente che ha fatto tutto il possibile per proteggersi ma subisce comunque un attacco sofisticato viene trattato, e direi ovviamente, in modo diverso rispetto a uno che ha ignorato completamente gli obblighi di sicurezza. Bene, spero che questa panoramica rapida vi sia stata utile. Vi lascio nella descrizione il link al sito che ho creato, così potete andare a meglio. Noi ci rivediamo al prossimo video.