📚 GUIDA DEFINITIVA alle normative sulla Cybersecurity (2025)

Buongiorno a tutti, benvenuti in questo nuovo video. Oggi faremo una panoramica generale di tutte le normative più importanti in tema di Cyber Security per professionisti della Cyber Security, per enti e per aziende. Quindi andremo a fare un po' una, un recap generale di quelle che sono le normative più importanti. Alcune saranno importanti per il contesto, quindi perché magari hanno fornito la base per normative successive, Altre saranno rilevanti perché sono ancora in vigore e prevedono degli specifici obblighi per enti e aziende, quindi andremo a vedere anche quelle per capire che cosa impongono alle singole realtà. Partiamo! Sono stata per un po' indecisa se fare un elenco in ordine di importanza o in ordine cronologico, ma dal momento che l'importanza dipende molto da chi è il soggetto che mi sta ascoltando, ascoltando, perché per un niente saranno più importanti determinate normative, per un professionista altre, per un'azienda altre ancora, e molto dipende anche dal settore di riferimento, quindi in cui ci si trova a operare. Ho preferito fare una disamina più cronologica, quindi andremo a vedere le prime normative rilevanti partendo da quelle, poi andando ad analizzare le più recenti. Partiamo dal 2003. Nel 2003 viene emanato in Italia il Decreto Legislativo 196 del 2003, che chiamato codice privacy. Nonostante la materia non sia strettamente la cyber security, già questa normativa prevedeva alcuni obblighi di sicurezza per i soggetti a cui si applicava il codice della privacy. Tra l'altro, un motivo per cui è molto importante è che non tutti sanno che in realtà questo decreto è ancora in vigore. Cioè, noi ancora in Italia abbiamo il codice privacy in vigore, quindi questo codice del 2003. Perché? Perché anche se poi è entrato in vigore il GDPR ed è stato recepito in Italia nel 2018 con un decreto legislativo, questo decreto legislativo non è stato un nuovo codice privacy, ma è andato a modificare il codice privacy del 2003 in alcuni punti chiave. Quindi è una normativa da tenere in considerazione, un po' perché appunto ha alcuni obblighi di sicurezza dei sistemi e un po' perché è ancora di fatto in vigore. Un motivo fra l'altro per cui è molto importante il codice privacy è che introduce un concetto che può sembrare scontato ma scontato non è, cioè che non si può parlare di privacy senza parlare di sicurezza dei sistemi, quindi anche di misure tecniche. Perché? Perché di fatto una violazione di un sistema informatico nella maggior parte dei casi comporta proprio una violazione dei dati personali delle persone, cioè Se io cerco di accedere a un sistema, di bucarlo, di hackerarlo, lo faccio perché voglio delle informazioni e quelle informazioni possono essere username, password, eccetera, ma molto spesso sono anche dati personali delle persone coinvolte, delle vittime, o anche dati di un'azienda, informazioni che comunque vogliono essere tenute segrete, protette. Per cui viene introdotta per la prima volta in modo forte una correlazione fra questi due concetti: privacy e cybersecurity. Nel 2008 abbiamo un'altra importantissima svolta: viene emanata la legge numero 48 del 2008, punto, con cui l'Italia va a ratificare e recepire nel nostro ordinamento la Convenzione del Consiglio d'Europa firmata a Budapest nel 2001. Perché questa norma è importantissima? Perché va a modificare il codice penale e il codice di procedura penale italiano, aggravando anche in qualche modo i reati informatici. Come ad esempio l'accesso abusivo a sistemi informatici, le frodi informatiche, la diffusione di malware, eccetera, che fino a quel momento non erano tenuti tantissimo in considerazione. La Convenzione del 2001, fra l'altro, prevedeva anche delle specifiche indicazioni per quanto riguarda le indagini, lo svolgimento delle indagini penali, e anche una collaborazione tra le varie istituzioni e i vari paesi. Quindi anche a livello di cooperazione internazionale è stato fondamentale come punto di partenza, anche perché fra l'altro, e questa può sembrare un'ovvietà ma non lo è, normalmente i reati informatici non è che nascono e si eseguono in Italia. Può essere benissimo che un reato che ha delle vittime italiane sia stato compiuto all'estero, o può essere anche che un reato fatto da un hacker italiano venga in realtà dirottato tramite degli IP all'estero e poi torni in Italia in seguito. Quindi ci possono essere dei giri non sempre facili, così come può essere facile che un hacker si nasconda o si avvalga di una rete più ampia internazionale. E quindi favorire la cooperazione internazionale serve anche un po' a mettere degli argini a questa possibile problematica. Un aspetto quindi importantissimo di questa legge è stato che tutte le normative precedenti, ma anche molto quelle successive, hanno una matrice preventiva, cioè hanno lo scopo di far sì che non si verifichino reati informatici, non si verifichi l'accesso a un sistema. Questa normativa invece, quindi la Legge 48 28 del 2008 va proprio a ragionare sull'ipotesi che il danno si sia già verificato. Quindi è importante perché mentre le altre normative hanno più una matrice preventiva, questa ha proprio una matrice repressiva. Con questa normativa fra l'altro sono stati ampliati i reati previsti dal Decreto Legislativo 231 del 2001, conosciuto e anzi diciamo famigerato nell'ambito degli enti e delle aziende perché riguarda la responsabilità penale dell'organizzazione Quindi, andando la legge del 2008 ad ampliare il catalogo dei reati che sono il presupposto per l'applicazione del 231, chiaramente aumenta anche la possibilità di responsabilità penale, di individuazione di una responsabilità penale in capo all'azienda o all'ente. Quindi questo magari è una novità meno gradita. Queste due prime normative che abbiamo visto servono un po' a mettere il piede nella porta per quanto riguarda l'introduzione di norme sulla cyber security, ma ancora non c'era un vero e proprio quadro chiaro. Per arrivare a una strategia nazionale di cyber sicurezza dobbiamo aspettare ancora qualche anno, precisamente il 2013. Nel 2013 viene emanata la Direttiva Monti, un DPCM, quindi Decreto del Presidente del Consiglio dei Ministri, nel momento in cui il presidente era appunto Monti. La Direttiva Monti ha la caratteristica di essere la prima normativa organica italiana sulla cyber security. Perché fa tutta una serie di divisione dei ruoli e di individuazione di funzioni che permettono quindi di capire esattamente nell'ambito della cyber security come organizzarci. Viene fatta una specie di strategia operativa, viene istituito l'NSC, quindi il Nucleo per la Sicurezza Cibernetica, composto dai rappresentanti dei ministeri chiave, quindi Ministro degli Esteri, Ministro degli Interni, Ministro della Difesa, Ministro della Giustizia, e via dicendo. Al vertice ovviamente chi c'è? C'è sempre il Presidente del Consiglio dei Ministri. Il compito dell'NSC è quello di coordinare e definire insieme le risposte a eventi cyber di portata nazionale. Viene inoltre introdotto l'obbligo per il CISR, cioè il Comitato Interministeriale per la Sicurezza della Repubblica, di definire una strategia nazionale di cyber security e un piano nazionale di implementazione di questa strategia. Alla fine dell'anno, quindi a dicembre 2013, il CISRA emana il proprio piano in cui analizza le varie minacce che si possono verificare e suggerisce delle risposte individuando anche i ruoli di ciascuna delle parti coinvolte. Se quello del 2013 era, diciamo, un quadro generale, poi nel 2014 viene invece varato anche un vero e proprio piano nazionale, quindi che portava a concretezza quello che era stato definito in modo generale e un po' più astratto nel quadro del 2013. Quindi queste normative, quella del 2013 e le due normative poi di attuazione, costituiscono un po' la prima strategia nazionale per la cyber security. La Direttiva Monti del 2013 non è più in vigore, così come non sono più in vigore neanche i due piani adottati dal CISR. È stata sostituita la direttiva nel 2017 dal DPCM Gentiloni che vedremo fra poco, mentre i due piani sono stati giustamente aggiornati e sostituiti con normative più recenti. Questa è del 2022. Comunque a questa normativa va riconosciuto il merito di essere stata la prima. L'Italia finalmente si è messa un po' alla pari con quella che era la situazione europea e internazionale, cioè tutti avevano già iniziato a capire che bisognava introdurre degli obblighi e delle definizioni a livello nazionale per quanto riguarda la sicurezza informatica. L'Italia c'è arrivata coi suoi tempi, c'è arrivata nel 2013, quindi con la Direttiva Monti. Nel 2013 fra l'altro a livello europeo viene emanata la Direttiva numero 40, che stabiliva norme minime di diritto penale per contrastare gli attacchi informatici. In Italia l'abbiamo recepita nonostante gran parte delle misure minime previste da questa direttiva fossero già state regolate con la legge di cui ho parlato prima, la 48 del 2008. Comunque ovviamente ci siamo adeguati per quanto riguarda soprattutto i nuovi reati individuati, si è parlato ad esempio anche del ransomware in questa direttiva e quindi sono state introdotte le modifiche necessarie al codice penale e al codice di procedura penale. La svolta tuttavia in tema di cybersecurity si ha nel 2016. Tutte le normative precedenti le possiamo considerare un po' un inizio di quella che poi è diventata una vera e propria strategia anche a livello proprio europeo, quindi non solo nazionale. Nel 2016 vengono infatti emanate due norme fondamentali: la NIS e il GDPR, ovviamente a livello europeo, quindi con un recepimento che è arrivato un po' più in là nel tempo da parte dei singoli stati. Il Regolamento Europeo 679/2016, quindi il GDPR, in realtà non sconvolge particolarmente l'Italia. Perché? Perché traeva le mosse proprio dal codice privacy italiano, che si considera essere stata una delle basi, una delle fonti principali per l'emanazione del GDPR, anche a livello contenutistico. Infatti noi lo recepiamo nel 2018, introduciamo alcuni obblighi in più per quanto riguarda le aziende e gli enti, come la figura del DPO e altre figure di riferimento con specifici obblighi in termini di nomina, tenuta documentale e via dicendo, però fondamentalmente non costituisce per noi uno sconvolgimento totale, tant'è che non c'è stato nemmeno bisogno di fatto di abrogare il codice privacy, è stato semplicemente modificato. Ma ancora più importante del GDPR, appunto come dicevo, nel 2016 viene emanata la NIS, ovvero Network and Information Security, una direttiva che nasce dalla presa d'atto da parte dell'Unione Europea che degli attacchi informatici erano in grado di minare la sicurezza stessa di tutto il funzionamento dell'Unione Europea, Quindi non era un problema rivolto alla singola persona, alla singola azienda, ma poteva concretamente bloccare interi stati e addirittura tutta l'Unione Europea. Per cui con la NIS vengono introdotte delle misure minime obbligatorie per determinate aziende ed enti ritenuti critici, quindi con un livello di importanza particolarmente elevato per il funzionamento di tutto il singolo paese e di tutta l'Unione Europea. Con questa direttiva quindi si vanno a introdurre degli obblighi minimi di sicurezza per partire con uno standard. Quindi almeno dovete avere questo livello di sicurezza, o di più, ma non di meno, altrimenti sanzione. Questo perché, per quanto possa sembrare banale, le aziende, gli enti tendenzialmente cercheranno di non adeguarsi a delle misure necessarie per due ordini di motivi. Il primo sono i costi, quindi ovviamente adottare delle misure tecniche, nuovi antivirus, nuovi anti-malware, firewall personale dedicato, eccetera, costa soldi. E il secondo motivo è che tutte le volte che andiamo a introdurre delle misure di sicurezza tecniche, tendenzialmente rallentiamo il lavoro. Tutti abbiamo, penso, un antivirus installato nel computer. Nel momento in cui sta facendo la sua analisi, il computer rallenta, e questo in un'azienda può bloccare la produzione. Per cui tendenzialmente si sceglievano sempre le cose meno invasive, e quindi anche meno sicure. Perché è stata emanata come direttiva e non come regolamento? Allora, il regolamento europeo è una norma che è immediatamente applicabile in ogni stato membro e va bene se deve prevedere delle cose che fondamentalmente da stato a stato non cambiano più di tanto e soprattutto dipende molto da che cosa sta andando a regolare, perché chiaramente abbiamo delle distinzioni di competenze tra l'Unione Europea e i singoli stati membri. La direttiva invece dà un indirizzo dice allo Stato: devi arrivare qui, in questo punto. Ma lo Stato è libero di prendere qualunque strada desidera per arrivare a quel punto lì, e quindi di adottare le normative per sé più rilevanti. Il punto di arrivo che la Direttiva NIS ha imposto a ciascuno Stato è stato quello di arrivare a definire una strategia nazionale di cyber security, individuare gli operatori essenziali, quindi quelli più critici, più importanti, diciamo, per il funzionamento dello Stato, e individuare un'autorità competente che aveva chiamato "XIRT". In Italia la direttiva è stata recepita col Decreto Legislativo 65 del 2018, emanato un mesetto dopo in realtà la scadenza del termine previsto per l'adeguamento, ma con questa normativa ha fatto tutto quello che la Direttiva NIS imponeva ai singoli Stati. Ad oggi la NIS non è più in vigore perché è stata sostituita dalla NIS2, di cui abbiamo già parlato in un altro video e su cui tornerò fra poco. E quindi anche il Decreto Legislativo 65 del 2018 non è più applicabile, sostituito dal Decreto Legislativo 138 del 2024. Quello che però è importante è che dal 2016 al 2023, più o meno, quindi nell'epoca di vigenza della NIS 1, chiamiamola così, gli enti e le aziende si sono effettivamente adeguati con risultati molto positivi, perché in ogni caso dover adottare degli obblighi di sicurezza minimi ha portato all'aumento della sicurezza. Sicurezza, banalmente, e quindi anche alla diminuzione degli attacchi. Non tuttavia in modo così significativo come si sperava, perché probabilmente la Direttiva NIS 1 è stata troppo buona, diciamo così, nell'individuare gli operatori critici ed essenziali, per cui in realtà, diciamo, i soggetti che si erano adeguati avevano ottenuto dei buoni risultati, ma erano troppo pochi i soggetti che avevano l'obbligo di adeguarsi, motivo per cui la NIS 2 è andata un po' ad ampliare il numero dei soggetti. Tra l'altro, come vi anticipavo prima, oltre al Decreto Legislativo 65 del 2018, nel 2017, quindi comunque dopo la Direttiva NIS1, è stato emanato il DPCM Gentiloni, che va a sostituire il Decreto Monti del 2013 di cui ho parlato prima. Con il Decreto Gentiloni si è andata a definire un po' meglio la strategia nazionale di cybersicurezza, perché se vi ricordate anche questo era un obbligo previsto dalla NIS1, quello di individuare una strategia che valesse a livello nazionale, un piano operativo, diciamo. E quindi questo è stato fatto invece col Decreto Gentiloni. Il Decreto Gentiloni è stato poi superato, anche se non formalmente abrogato, con le normative successive. Aveva, diciamo, il vantaggio di aver costituito un po' una rete di collaborazioni tra i vari soggetti più importanti, quindi a livello ministeriale, dirigenziale e via dicendo, ma creava un'eccessiva frammentazione delle gestioni dei ruoli, quindi comunque è stato poi superato. Sempre nel 2017, tra l'altro questa non è una vera e propria norma ma è una circolare comunque molto importante, l'AGID ha emanato alcune linee guida per le pubbliche amministrazioni introducendo anche qui alcuni obblighi minimi di sicurezza per le P.A. Queste misure hanno avuto il vantaggio di essere in realtà obbligatorie fin da subito perché è stato fissato un termine molto breve per l'adeguamento da parte delle P.A. E quindi prima ancora che fosse in vigore la NIS 1 o il GDPR in Italia tramite il formale recepimento, c'erano già delle norme a cui l'APA si era già adeguata, quindi aveva già implementato delle misure minime di sicurezza. Oggi queste linee guida non sono state poi del tutto superate perché in realtà costituiscono un'ottima base. Sono state superate per alcune pubbliche amministrazioni ritenute essenziali con la legge 90 del 2024 ma questa la vediamo più avanti. Restano comunque importantissime per tutte le pubbliche amministrazioni che non rientrano nella Legge 90 e in generale come base da cui partire. Nel 2019 viene poi emanato il regolamento europeo conosciuto come Cybersecurity Act che ha due caratteristiche fondamentali: da un lato istituzionalizza in modo definitivo l'ENISA, cioè l'Agenzia Europea per la Cybersecurity, Dall'altro prevede delle certificazioni a livello europeo per far sì che ogni stato, anziché avere delle proprie certificazioni non riconosciute magari negli altri stati, si uniformasse a un modello unico di certificazione. Questo chiaramente per cosa? Per tutti i beni e i servizi che rientrano nell'ambito della cybersecurity. Quindi ad esempio voglio fare, mettere sul mercato un nuovo prodotto IoT, ad esempio un nuovo Alexa, un nuovo Google Nest, e che cosa faccio? Devo avere determinate certificazioni, ma se le prendo in Italia non importa che io poi chieda il riconoscimento anche negli altri Stati europei, semplicemente la certificazione è valida a livello europeo, quindi quello che io faccio va bene in tutta l'Europa. Comunque ogni Stato doveva avere delle proprie autorità di certificazione che rilasciassero questo certificato europeo. In Italia inizialmente è stato individuato il CVCN, Centro di Valutazione e Certificazione Nazionale. Nel 2021 è stata poi istituita la CN e le funzioni che aveva il CVCN sono passate quindi alla CN, l'Agenzia per la Cyber Sicurezza Nazionale. Il lato negativo di questo regolamento è che in realtà è stata prevista una certificazione a livello europeo ma non è stata resa obbligatoria, cioè rimane uno schema volontario a cui adeguarsi. Va da sé chiaramente che Se io voglio ad esempio vendere il mio prodotto a una pubblica amministrazione, avrò un vantaggio competitivo se sono dotato di questa certificazione europea, perché la pubblica amministrazione tenderà a scegliere quelli certificati. Però di fatto non è stato imposto nulla di obbligatorio. Nel 2019 in Italia c'è un'altra grande svolta: viene emanato il Perimetro di Sicurezza Cibernetica. Perché? Perché si voleva dar seguito un po' agli obblighi della NIS 1, che comunque era ancora appena entrata in vigore, quindi era normativa ancora fresca, diciamo, e dall'altra parte perché c'erano stati comunque attacchi a delle istituzioni italiane importanti. Per cui cosa si è cercato di fare? Di aumentare ancora di più gli obblighi e le misure minime di sicurezza previste dalla NIS 1, quindi andando ad ampliarle con una strategia nazionale. In questo perimetro rientrano soggetti più ampi rispetto a quelli previsti nella NIS, perché vengono individuati come coinvolti tutti i soggetti da cui dipendono delle funzioni essenziali dello o la prestazione di un servizio di interesse nazionale. Questi soggetti chiaramente avevano una serie di obblighi, fra cui gli obblighi di notifica al CSIRT nel caso di eventi appunto di rilevanza cyber, rispettare misure minime di sicurezza nei propri sistemi, documentare quello che era stato fatto e sottoporre a valutazione preventiva tutte le tecnologie di cui volevano dotarsi. Il decreto prevedeva numerosi decreti attuativi, quindi diciamo era un indirizzo che doveva poi essere portato a terra tramite vari decreti attuativi, e ne sono stati emanati 4 negli anni successivi, su cui non sto a tediarvi, ma semplicemente perché si tratta di una normativa estremamente frammentata. Ciascun decreto ha la propria applicazione, il proprio settore, per cui fondamentalmente teniamo presente che esistono, ma magari anche se non andiamo proprio a leggerli nel dettaglio non è poi così importante. Questo perimetro è ancora in vigore ed è ancora quindi rilevante. Diciamo che con le normative successive è venuta forse un filo meno la sua importanza, però rimane qualcosa di un unicum anche a livello europeo, tant'è che poi in realtà nel 2020 l'Europa ha raccomandato misure di valutazione simili rispetto a quelle consigliate in Italia, come ad esempio appunto la valutazione preventiva di tutti gli acquisti tecnologici da parte di questi enti considerati essenziali, e quindi può essere considerato un bel successo italiano. Nel 2021 arriva un'altra grande importante svolta: viene istituita la CN, l'Agenzia la Cyber Sicurezza Nazionale. Perché è stata creata? Perché l'Unione Europea stava insistendo perché ciascuno stato si dotasse di una struttura robusta e in Italia in realtà avevamo una situazione super frammentata, perché per la sicurezza della pubblica amministrazione era competente l'AGID, per la NIS erano competenti i vari ministeri, avevamo per le certificazioni il CVCN, quindi sostanzialmente c'era un po' di confusione dilagante. Quindi viene introdotta la CN che assorbe tantissime funzioni prima demandate a questi singoli attori. In particolar modo dell'Agid, assorbe quasi tutte le funzioni dell'Agid, soprattutto per quanto riguarda ovviamente la sicurezza informatica. La CN diventa l'autorità nazionale NIS, perché la NIS, come dicevo prima, aveva chiesto di individuare i soggetti e i ruoli, diciamo, più competenti per le singole funzioni. La CN diventa il punto di riferimento, tant'è che anche il CSIRT viene poi spostato all'interno della CN. Oggi la CN è il fulcro della cyber security italiana ed è anche ovviamente partner di ENISA, quindi l'agenzia europea. La CN ha sia compiti operativi, perché ad esempio riceve la notifica degli incidenti tramite il CSIRT che coordina, sia invece poteri propositivi, quindi propone ad esempio l'adozione di norme o linee guida, standard e via dicendo, che possono essere utile per aumentare la sicurezza nazionale. Nel 2022 infatti viene emanata la Strategia Nazionale di Cyber Sicurezza 2022-2026. Questa strategia va a sostituire quella di cui avevamo parlato nel 2013 e pone le linee guida per i successivi 5 anni, quindi dovrebbe essere sostituita nel 2026. Gli aspetti principali di questa strategia sono l'aumento dell'autonomia digitale nazionale, perché la CN si è resa conto che noi siamo molto dipendenti dalle tecnologie estere. Pensiamo ai servizi cloud, tutti abbiamo Google Drive, tutti abbiamo Dropbox, ma di italiano c'è ben poco. Quindi ha introdotto innanzitutto una specie di favore, comunque un tentativo di aumentare lo sviluppo di soluzioni made in Italy, questo anche per ridurre la nostra dipendenza dall'estero. Un secondo aspetto molto importante è stato il tentativo di aumentare la prontezza, la risposta agli attacchi e la diffusione di una cultura della cyber security. Security, quindi tramite sensibilizzazioni, campagne, formazione, corsi e via dicendo, per far sì che tutti i cittadini, ma ovviamente in primo luogo i dipendenti dei soggetti necessari ed essenziali per il funzionamento dell'Italia, siano adeguatamente formati. Sempre nel 2022 arriva la NIS 2, che è come una NIS 1 ma di fatto va ad ampliare il numero di soggetti e il numero anche degli obblighi a cui questi soggetti si devono adeguare. Viene chiarito meglio che cosa si intende per operatore essenziale, viene introdotta anche una distinzione tra soggetti essenziali e soggetti importanti, ma sull'analisi fatta meglio della NIS 2 vi rimando al mio precedente video. Qui è giusto per introdurla e per capire come si colloca all'interno del contesto normativo precedente. La NIS 2 va, come dicevo, ad abrogare esplicitamente la NIS, quindi la NIS non è più applicabile, si applica direttamente la NIS 2 e questo chiaramente in Italia ha portato anche che il Decreto Legislativo 138 del 2024 che ha recepito la NIS 2 in Italia va a sostituire quello precedente che aveva invece recepito la NIS 1. Nel 2022 l'Europa non emana solo la NIS 2 però, emana anche un regolamento chiamato DORA, acronimo che sta per Digital Operations Resilience Act, Act. Questo regolamento è specifico per il settore finanziario e impone degli obblighi molto schiaccianti e viene dato agli attori coinvolti tempo fino a gennaio 2025 per adeguarsi. Il DORA va a creare quindi un set di normative specifico per chi? Per banche, per intermediari finanziari, per assicurazioni, per società di investimento e via dicendo. La cosa molto interessante è che se avete visto il mio video in cui parlavo del Clusit, quindi l'analisi di tutti gli attacchi verificatisi nel 2024, vedete che il settore finanziario non sembra molto coinvolto dagli attacchi, almeno per quanto riguarda l'Italia. Perché? Perché il settore finanziario ha iniziato ad adeguarsi al DORA, ed ora è molto stringente riguardo agli obblighi che introduce. Fra l'altro è un regolamento, quindi è direttamente applicabile, non richiede una normativa specifica italiana che lo applichi. Semplicemente si prende il DORA e si applica in Italia così com'è. Questa è stata la prova che la regolamentazione non è solo una scocciatura, ma concretamente va a diminuire la possibilità che si verifichino degli attacchi. Perché se ti obbligo ad adottare delle misure di sicurezza, il risultato è che tu avrai delle misure di sicurezza e queste ti impediscono, o comunque mitigano, il rischio che tu venga attaccato. Sempre nel 2022, che è stato un anno meraviglioso per la cybersicurezza in Europa, è stata emanata anche la direttiva CER. CER sta per Critical Entities Resilience, quindi come dice anche il nome va a regolamentare la resilienza di alcune entità considerate critiche, cioè particolarmente importanti. Si concentra infatti proprio sulle infrastrutture come ad esempio acquedotti, sistemi di trasporto ferroviari, tutte quelle strutture che tengono su uno stato. Questa direttiva va a integrare la NIS2 perché, perché la NIS2 introduce gli obblighi di resilienza cyber, quindi devi avere ad esempio un firewall, devi avere dei backup che ti permettano, nel caso in cui tu venga attaccato, di recuperare i dati. La Direttiva CER invece impone delle misure di sicurezza fisiche, cioè ad esempio devi impedire l'accesso alle persone non autorizzate tramite delle porte fatte in un certo modo. Oppure non basta che tu abbia il backup, i tuoi server devono essere in un posto sicuro, perché se si verifica un'alluvione e vengono danneggiati, tu devi avere qualcosa che ti permetta di tornare immediatamente in piedi. E quindi ad esempio vengono previsti degli obblighi di piani di continuità. La CER e la NIS2 sono pensate per essere complementari, quindi una non esclude l'altra. Semplicemente una riguarda la parte cyber, quindi protezione dagli attacchi informatici dal punto di vista informatico e tecnologico. L'altra riguarda invece la protezione sempre dagli attacchi cyber oppure dagli incidenti più in generale di sicurezza, perché possiamo parlare anche appunto di eventi naturali e calamità come alluvioni, e introduce degli obblighi per quanto riguarda appunto le misure di sicurezza fisiche. Nel 2022 fra l'altro l'Europa non si è fermata, quindi oltre al DORA, oltre alla NIS2, oltre alla CHER ha anche in realtà emanato una serie di altre norme. Sono stati approvati, e qui ovviamente vado a guardarmi un attimo l'elenco perché ricordarseli tutti è impossibile, il Data Governance Act, il Data Act che in realtà poi è entrato in vigore nel 2023, il DSA e il DMA, quindi il Digital Services Act e il Digital Markets Act per regolamentare le piattaforme online, questi ultimi due. Quindi sono tutte normative, diciamo, un po' più specifiche di settore. Tra l'altro, sempre nel 2022 hanno iniziato in Europa la discussione sul C.R.A.L., Cyber Resilience Act, che in realtà lì per lì si è fermato, poi sono ripresi dopo i lavori ed è stato poi emanato nel 2024. Quindi proprio nel 2022 non sono stati con le mani in mano in Europa per quanto riguarda la sicurezza informatica, hanno emanato norme su norme norme e introdotto tavoli anche per normative future. Veniamo al biennio 2023-2024. Nel 2024 in particolare viene recepita in Italia la NIS2, ma di questo abbiamo già parlato anche nello scorso video. Ma ancora più peculiare, se vogliamo, è l'entrata in vigore della Legge 90 del 2024. Appunto, la Legge 90 del 2024 va a inasprire le pene previste già nel codice penale, quindi va a modificare leggermente l'assetto penale per quanto per quanto riguarda gli attacchi informatici, va ad aumentare un po' gli obblighi in termini di notifica alla CN degli incidenti di sicurezza ed estende l'applicazione di alcune procedure per quanto riguarda le intercettazioni e le indagini nell'ambito dei reati informatici. Il lato negativo di questa normativa è che tuttora non è chiarissimo come si debba regolare la Legge 90 del 2024 rispetto al Decreto Legislativo 138, che è quello che andato a recepire la NIS2, perché di fatto sono due normative che sembrano complementari e in alcuni punti sono un po' ridondanti, o addirittura si pestano i piedi. Per cui diciamo che si è andato forse a frammentare eccessivamente l'assetto normativo dell'Italia. Forse sarebbe stato meglio recepire la NIS2 e fare una normativa organica e unica, evitando alle persone, agli enti, alle aziende di dover tener conto di due normative che per alcuni aspetti si sovrappongano e per altri aspetti sembrano contrastare. Ma la Legge 90 del 2024 e il suo confronto con il Decreto Legislativo 138 del 2024 lo affrontiamo meglio in un video separato, così vediamo bene quali sono gli aspetti più critici e che cosa dobbiamo guardare di ciascuna normativa. Bene, penso di aver fatto più o meno una panoramica generale. Ci sono tantissime altre normative di cui avrei potuto parlare, come anche solo l'AI ma penso che in questa fase, più o meno come panoramica diciamo generale, potesse starci così. In ogni caso, i prossimi video andranno ad affrontare ciascuna di queste normative, andremo a vedere quindi le più importanti, quelle ancora in vigore, e capiremo bene quindi anche l'ambito di applicazione e quali sono gli obblighi concreti che discendono da ciascuna normativa. Noi ci rivediamo al prossimo video.