📚 LEGGE 90/2024: una panoramica generale

Ciao a tutti e benvenuti in questo nuovo video. Oggi parleremo di una normativa che sta cambiando radicalmente il panorama della sicurezza informatica in Italia: la Legge 90 del 2024. Se lavorate nella pubblica amministrazione, gestite un'azienda che fornisce servizi essenziali, o semplicemente volete capire come l'Italia si sta preparando a fronteggiare le crescenti minacce informatiche, questo video è assolutamente per voi. La Legge 90/2024, intitolata Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici, per gli amici legge cyber, è entrata in vigore il 17 luglio del 2024, appunto pochi mesi prima dell'emanazione del decreto attuativo della NIS2, il Decreto Legislativo 138, normativa a cui è strettamente collegata. La legge cyber ha rappresentato un'importantissima svolta toccando due aspetti fondamentali. Da una parte rafforza drasticamente la resilienza delle infrastrutture digitali pubbliche, dall'altra inasprisce in modo significativo le pene per chi commette reati informatici. In pratica questa legge serve a diminuire la probabilità che si verifichi un attacco, sia perché i sistemi saranno più sicuri, sia perché i cybercriminali saranno puniti in modo più grave, e questo potrebbe rappresentare quindi un deterrente, o almeno si spera. Prima di addentrarci nei dettagli della normativa, facciamo un passo indietro per capire perché il il legislatore italiano ha sentito il bisogno di intervenire in questo modo, soprattutto visto che stava già per essere recepita la NIS2, che su tanti aspetti è molto simile, forse anche un po' più completa. L'Italia, come molti altri paesi occidentali, si trova ad affrontare una tempesta perfetta, diciamo, nel campo della cybersicurezza. Da una parte abbiamo una digitalizzazione molto veloce delle pubbliche amministrazioni e dei servizi essenziali, con uno sprint particolare a partire dal 2020, quando molti lavoravano da casa. Dall'altra abbiamo subito subito un incremento esponenziale degli attacchi informatici. Ricordo sempre che dal rapporto Clusit di quest'anno è emerso che l'Italia da sola subisce il 10% degli attacchi globali, quindi siamo particolarmente bersagliati. La situazione è diventata ancora più preoccupante con l'emergere di pericoli sempre più sofisticati, di hacker capaci di sfruttare tecnologie avanzate come l'intelligenza artificiale per rendere i loro attacchi più efficaci e difficili da rilevare. Non stiamo più parlando quindi del classico cracker solitario il solitario che lavora dalla sua cameretta, ma di vere e proprie organizzazioni criminali, a volte anche sostenute dagli stati, che operano con risorse e competenze paragonabili a quelle di multinazionali tecnologiche. Oltretutto si sta sviluppando sempre di più il fenomeno del cybercrime as a service, cioè la realizzazione di malware pronti all'uso che vengono venduti nel dark web per pochi spiccioli. Quindi ormai per realizzare un attacco informatico su larga scala non serve nemmeno essere degli hacker super esperti, basta acquistare un tool già pronto e seguire le istruzioni. In questo scenario l'Italia si è resa conto che il framework normativo esistente non era più sufficiente. Le normative precedenti, per quanto importanti, avevano lasciato delle lacune molto significative, soprattutto per quanto riguarda il coordinamento tra le diverse istituzioni e la rapidità di risposta agli incidenti, che era veramente scarsa. Ed ecco che viene fuori la Legge 90 del 2024. Allora, premetto che questa cosa che state vedendo è il documento, o meglio, è la Legge 90 2024, che io ho reso viva e interattiva tramite un tutorial che ho seguito di una collega, che vi lascio nel primo commento perché non voglio prendermi meriti che non sono miei. Ma è stato veramente figo, mi ha preso il documento e l'ha reso praticamente un sito già pronto. È fantastico. Anzi, francamente sarebbe bellissimo se ogni volta che esce una legge facessero questa cosa qua, cioè la rendessero così interattiva, così consultabile e così immediata. Detto questo, ovviamente vi lascio, quindi vabbè, a parte il link al tutorial, editoriale anche il link a questo sito, chiamiamolo così, è un artefatto di Claude che però è pubblicato, quindi lasciandovi il link potete vederlo. Potreste credo anche modificarlo, perché vedo qua in fondo la parte per modificarlo, aggiungere il proprio sprint, quindi magari potete anche lavorarci se volete. Senza modificare il mio, andate a modificare una vostra versione. Partiamo allora, la legge cyber è strutturata in due parti principali che costituiscono i pilastri di questo tentativo di rendere più improbabile, diciamo, il verificarsi di un attacco. Il Il primo pilastro è il Capo Primo, che si occupa del rafforzamento della Cyber Sicurezza Nazionale, stabilendo nuovi obblighi per le pubbliche amministrazioni e per gli enti strategici. Il Capo Secondo modifica il codice penale per rendere più severe le punizioni per chi commette reati informatici. Questa struttura non è casuale. Il legislatore ha capito che per proteggere efficacemente le imprese e le istituzioni, e quindi ovviamente anche i cittadini, dal cybercrime serve un approccio un po' più ampio. Da una parte bisogna rendere i nostri sistemi più sicuri e più resilienti, per ridurre sia la probabilità di attacco che gli effetti dannosi anche di un attacco. E qui abbiamo quindi il Capo 1, che serve proprio a raggiungere questo obiettivo. Dall'altra, bisogna aumentare il costo del crimine attraverso sanzioni più severe, così che a meno persone venga, diciamo, lo schizzo di commettere reati informatici. E questo è lo scopo del secondo capo. Il Capo 1 della legge costituisce quello che potremmo chiamare un perimetro di sicurezza allargato, identificando con precisione quali soggetti devono rispettare i nuovi obblighi di cybersicurezza. Nello specifico stiamo parlando dei soggetti indicati qui nella parte ambito di applicazione. Quindi abbiamo amministrazioni centrali dello Stato, quindi Ministeri, Autorità, eccetera, Regioni, Province, Province autonome, Città metropolitane, e anche tutti i Comuni con più di 100.000 abitanti. Sono inclusi anche tutti i Comuni che sono capoluogo di Regione che hanno meno di 100.000 abitanti, perché se hanno più di 100.000 abitanti sono già ricompresi nell'altra fattispecie. I capoluoghi di regione con meno di 100.000 abitanti comunque sono pochissimi, penso siano 4: Aosta, L'Aquila, Ancona e Campobasso, mi sembra siano solo questi. L'ambito si estende anche a soggetti che fino a questo momento, e lo troviamo qua nei settori specifici, erano rimasti un po' ai margini delle varie normative sul tema Cyber Security, come le società di trasporto pubblico, le aziende sanitarie locali e tutte le società in-house partecipate che forniscono servizi informatici di trasporto, di gestione delle acque reflue o dei rifiuti. Questa estensione fa capire che la consapevolezza sta aumentando, e direi che era ora. Nel mondo di oggi la sicurezza informatica di uno stato non può essere garantita proteggendo solo i sistemi centrali. Se viene buttato giù il sito di un ministero, certo che è una cosa grave, ma è gravissimo anche se viene bloccato il trasporto pubblico di una metropoli o se viene fermato tutto il sistema informatico di un ospedale. Ecco che arriva quindi una normativa che amplia il perimetro di riferimento e introduce nuovi obblighi anche per questi soggetti. Ricordo che questa normativa arriva prima del decreto attuativo della NIS2, quindi avevamo la NIS2 che più o meno ha gli stessi soggetti, ma non avevamo ancora il decreto attuativo, è arrivata prima la Legge 90. Uno degli aspetti più rivoluzionari della Legge 90 del 2024, quindi della legge cyber, è però questa parte qua: gli obblighi di notifica degli incidenti. Qui il legislatore ha fatto una scelta molto precisa, ha sostituito il vago "senza indugio" delle normative precedenti, o immediatamente o tempestivamente, con termini temporali finalmente fissi. I soggetti obbligati devono segnalare entro 24 ore gli incidenti informatici che hanno un impatto su reti, sistemi informativi, sistemi informatici. Attenzione che non stiamo parlando di 24 ore lavorative, ovviamente, ma parliamo di 24 ore effettive dal momento in cui l'incidente viene scoperto. Quindi se arrivo in ufficio e scopro che c'è stato un incidente e sono le 8 del mattino, ho tempo fino alle 8 del mattino dopo. E non finisce qui, come vedete Perché entro 72 ore dall'incidente gli stessi soggetti devono fornire una notifica completa con tutti gli elementi informativi disponibili riguardo a quello che è successo. Questa notifica progressiva permette alla CN, cioè l'Agenzia per la Cyber Sicurezza Nazionale, di avere una visione tempestiva degli incidenti, quindi con la segnalazione immediata entro 24 ore, e di coordinare le risposte appropriate col tempo un po' più lungo di 72 ore. Come vedete, poi viene disciplinata anche la modalità di notifica che segue delle procedure standard disponibili proprio sul sito della CN. Interessante secondo me, che però qui non vedo, è il concetto di incidente, la definizione di incidente, che è stata ampliata rispetto alle normative precedenti e ora include anche l'utilizzo improprio dei sistemi informatici. Questo significa che non bisogna aspettare che un hacker esterno attacchi i nostri sistemi. Se un dipendente fa un danno con un sistema informatico o lo usa appunto impropriamente, può costituire già un incidente da notificare. È un approccio che riconosce che le minacce sicurezza informatica possono venire sia dall'esterno che dall'interno delle organizzazioni. La sanzione per chi non rispetta questi obblighi di notifica è fra i 10.000 e i 125.000 euro, a seconda anche del numero di omissioni. Potrebbe sembrare relativamente poco, soprattutto tenuto conto delle sanzioni che invece impone la NIS2, ma questa multa ovviamente si aggiunge a quella derivante da eventuali mancanze che dovessero venire fuori, che hanno portato all'attacco. Quindi insomma potrebbe pesare abbastanza sul bilancio, perché pensiamo a una sanzione per per mancata comunicazione alla CN. Pensiamo che magari ci si aggiunge anche la sanzione per la NIS2, magari la violazione ha comportato anche un danno rispetto ai dati personali dei cittadini, quindi c'è anche la sanzione del Garante Privacy. Insomma, inizia a essere un po' pesantina. Un'altra innovazione importante della legge cyber è l'obbligo per le amministrazioni e gli enti coinvolti di nominare un referente per la cybersicurezza. Questa figura, che potremmo forse paragonare al responsabile della sicurezza sul lavoro, ma per il mondo digitale, ovviamente, riveste un ruolo centrale nell'assicurare la corretta attuazione delle politiche di sicurezza informatica. Il referente per la cyber sicurezza quindi non è solo una figura formale creata per rispettare un obbligo di legge, è proprio una figura centrale, è il punto di contatto specializzato fra l'organizzazione e la CN, garantisce la gestione efficace degli incidenti, coordina l'implementazione delle misure di sicurezza all'interno dell'ente. In sostanza è la persona che deve sapere tutto quello che succede dal punto di vista informatico nell'organizzazione amministrazione e che deve essere preparata a gestire le emergenze. Quindi se c'è un attacco hacker, chiaramente il primo che si chiama è il referente per la cybersicurezza, che ovviamente può coincidere anche con il CISO, che è una figura di cui abbiamo già parlato. La legge prevede anche che ogni amministrazione debba costituire una struttura proprio dedicata alla cybersicurezza, anche utilizzando personale già esistente. Questa struttura ha compiti molto specifici: deve sviluppare delle politiche e delle procedure di sicurezza delle informazioni, deve produrre e aggiornare sistemi sistemi di analisi preventiva e di gestione del rischio, creare un piano anche per la gestione del rischio informatico e così via. L'approccio del legislatore in realtà è molto pratico: riconosce che non tutte le amministrazioni hanno le risorse per creare da zero un reparto di cybersicurezza con decine di persone, però al tempo stesso stabilisce che tutti gli enti coinvolti dalla normativa, quindi almeno i comuni più popolosi o le organizzazioni che operano in ambiti critici, devono avere almeno una struttura minima che si occupi di questi aspetti. Tra l'altro altro sono previste sanzioni anche se non si nomina il referente per la cybersicurezza, ma non le definisce la Legge 90 del 2024, semplicemente rinvia un DPCM che dovrebbe essere emanato. Anche l'ambito della crittografia è un aspetto molto interessante, anche un po' strategico. La legge non si limita a dire usate la crittografia, ma crea addirittura un centro nazionale di crittografia presso la CN, con vari compiti come definire gli standard nazionali per la crittografia, collaborare con le università e le industrie per sviluppare degli algoritmi algoritmi di crittografia, cooperare a livello internazionale per garantire che l'Italia non dipenda completamente da tecnologie crittografiche sviluppate in altri paesi. È una novità assoluta nel panorama normativo italiano, perché la crittografia è un settore che bene o male abbiamo sempre solo recepito passivamente. È importante anche perché stiamo iniziando a capire finalmente che dal punto di vista informatico e tecnologico non possiamo sempre solo fare affidamento all'esterno, non sarà mai sostenibile nel lungo periodo. Dobbiamo iniziare a capire che la La crittografia è come la moneta, dobbiamo avere un ufficio che se ne occupi. Quindi l'individuazione di un centro nazionale di crittografia mira proprio a ridurre questa dipendenza, senza isolare l'Italia dal resto del mondo, chiaramente, però garantendo che il nostro paese abbia le competenze e le tecnologie necessarie per proteggere in modo autonomo i dati più sensibili dei propri cittadini. Tra l'altro, qua non c'è, però è alla fine del capo 1, ecco qua, dove parla dei contratti, sono stati toccati proprio anche i contratti pubblici per beni e servizi informatici. Innanzitutto viene introdotto il concetto di elementi essenziali di cybersicurezza, che sono criteri e standard che prodotti tecnologici devono avere proprio per partecipare alle gare stesse. Ma la vera novità sta nel fatto che i prodotti che provengono da Italia, Europa e altri paesi della NATO hanno un punteggio preferenziale, ed è dove parla di premialità tecnologiche. Quindi è come se avessimo iniziato a dire espressamente che non ci fidiamo degli altri paesi, con tutte ovviamente le conseguenze in materia di libertà commerciale e di competitività anche del mercato. Il Capo II rappresenta forse l'inasprimento più significativo per quanto riguarda i reati informatici mai visto in Italia. Non si tratta di piccoli aggiustamenti, qua abbiamo veramente iniziato a fare sul serio. Torno un attimo nella parte principale, ecco qua, così vediamo un attimo in modo un po' più espanso quello che è stato fatto. Prendiamo ad esempio proprio il reato di accesso abusivo a un sistema informatico, disciplinato dall'articolo 615-ter del codice penale, perché il comma 2 prevedeva la reclusione da 1 a 5 anni nel caso in cui a entrare illegalmente in un sistema fosse un pubblico ufficiale, o se l'intrusione avesse comportato la perdita dei dati, e così via. Ora la pena non è più da 1 a 5 anni, ma da 2 a 10 anni, mentre rimane invariata invece la pena prevista al primo comma, che è sempre reclusione fino a 3 anni. Sono state raddoppiate le pene anche quando l'accesso riguarda sistemi di interesse pubblico, ad esempio in ambito militare, ordine pubblico, sanità e così via. Quindi oggi si rischiano fino a 12 anni di reclusione, considerate le varie aggravanti previste dall'articolo. Viene poi introdotta la fattispecie dell'estorsione informatica come in realtà circostanza aggravante dell'articolo 629, che riguarda l'estorsione in generale. Oggi quindi, se qualcuno usa ad esempio un ransomware per estorcere denaro, rischia da 6 a 12 anni di reclusione, che si aggiungono alla accesso abusivo ai sistemi informatici previsto dal 615-ter. Sono stati introdotti poi due nuovi reati, che sono il 635-4.1 e il 635-quinquies. Il 635-quinquies riguarda il danneggiamento di sistemi informatici di pubblico interesse. Invece è più interessante secondo me il 635-4.1, che punisce chi detiene, diffonde o installa dei malware. Sicuramente comunque farò degli approfondimenti su tutti i reati informatici in un video dedicato. Qui Qui era solo per accennarlo un attimo. Tra l'altro, se voi andate sempre in questo documento, nella parte articoli chiave, vedete che c'è proprio un approfondimento sull'articolo 16 che tratta delle modifiche al codice penale. Quindi potete vedere in modo un po' più espanso, diciamo, quello di cui ho parlato adesso. Un'altra cosa molto interessante è l'articolo 22, che riguarda il coordinamento fra le diverse istituzioni che si occupano di sicurezza informatica. Prima di questa legge, spesso le varie agenzie operavano in modo non proprio coordinato. Quindi c'era il rischio di duplicazioni o addirittura di buchi nella copertura. La nuova normativa invece va a creare un sistema integrato di governance con a capo la CN, l'Agenzia per la Cyber Sicurezza Nazionale, che deve garantire una comunicazione fluida fra i diversi livelli istituzionali e un approccio coerente nella gestione delle crisi informatiche. Molto interessante il rapporto con l'autorità giudiziaria, specie per quanto riguarda il CSIRT, che è in pratica il team di pronto intervento della CN che interviene in caso di incidente informatico. La legge stabilisce che il personale del CSIRT diventa pubblico ufficiale per quanto riguarda la segnalazione dei reati informatici e deve immediatamente informare le forze dell'ordine quando scopre incidenti che potrebbero costituire dei crimini. Allo stesso tempo stabilisce che la CN deve subito informare il Procuratore Nazionale Antimafia e Antiterrorismo, quindi si vede qua nel flusso ACN col PNAT, se apprende di un cyberattacco contro sistemi strategici. Vengono poi in generale stabiliti degli obblighi di coordinamento fra il Pubblico Ministero e la CN, quindi in generale si cerca di coordinare un po' queste realtà per quanto riguarda i reati informatici. Come accennavo all'inizio, una cosa che potrebbe comportare qualche problema è la frammentazione di norme. Abbiamo tantissime norme diverse adesso che regolano in realtà lo stesso ambito. La Legge 90 del 2024 è stata emanata, come dicevo, pochi mesi prima del decreto di attuazione della NIS2, quindi non è semplice capire se si tratta di due norme che si pestano i piedi oppure che lavorano insieme. Bene o male i soggetti sono gli stessi, anche se la legge del '90 si concentra più sulle PIA e sui criminali informatici. Le sanzioni previste dalle due normative sono invece complementari. La NIS 2 prevede sanzioni amministrative fino a 10 milioni di euro o il 2% del fatturato mondiale annuo, mentre la legge 90 del 2024 si concentra più sulle sanzioni penali per i reati informatici e ha delle multe comunque più contenute, solo relativamente agli obblighi di notifica. Resta comunque il fatto che il nocciolo della questione è quello di aumentare la sicurezza di enti e organizzazioni critiche, per cui se un ente è sicuro e fa tutto per bene non rischia sanzioni né per la NIS2 né per la legge cyber. Tutto sommato trovo questa norma apprezzabile perché finalmente ha svecchiato un po' il codice penale disciplinando in maniera più adeguata i reati informatici e introducendo il concetto di malware, cosa non da poco. Forse, se devo fare una critica, avrebbe potuto concentrarsi un po' di più sulla formazione del personale visto che rappresenta sempre il punto più vulnerabile di ogni ente azienda, ma è un concetto che viene sempre un po' snobbato. Non sarebbe stato male neanche capire un po' meglio il coordinamento con la NIS2, cosa che forse verrà fatta con i prossimi decreti attuativi. Bene, come sempre spero che questa panoramica super veloce sulla Legge 90 vi sia piaciuta. Dalla prossima settimana vorrei iniziare a verticalizzarmi sugli obblighi e gli adempimenti per le singole realtà. Pensavo di partire dai comuni con più e con meno di 100.000 abitanti, perché è l'ambito in cui io lavoro di più. Però se volete approfondimenti su singole tipologie di azienda, fatemelo sapere nei commenti, che piano piano le vediamo tutte. Noi ci rivediamo al prossimo video.