Ddl cybersicurezza è legge, approvato dal Senato il giro di vite per la sicurezza informatica

Disco verde dal Senato per il disegno di legge sulla cybersicurezza che adesso diventa legge, modificando il codice penale e il codice di procedura penale.

L’approvazione definitiva è arrivata nella giornata di mercoledì 19 giugno registrando 80 voti favorevoli, 3 contrari e 57 astenuti.

Le disposizioni intendono rafforzare la sicurezza cibernetica nazionale e inasprire le pene nei confronti degli hacker.

Tra gli obiettivi c’è anche innalzare il livello di tutela nei confronti delle Pubbliche amministrazioni prevedendo un vero e proprio obbligo di segnalazione in caso di incidenti informatici.

Ecco tutte le novità e il testo ufficiale del ddl cybersicurezza.

Le misure del DDL cybersecurity

Il Senato ha approvato il disegno di legge “Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici”, d’iniziativa del Governo, già approvato dalla Camera dei deputati durante il mese di maggio.

Già ribattezzato come DDL Cybersecurity, il testo si compone di 24 articoli che apportano modifiche sostanziali all’attuale sistema di sicurezza informatica e intende rispondere al crescente numero di minacce che possano tutelare gli interessi nazionali strategici.

Più nel concreto, il provvedimento mira a inasprire le sanzioni per chi commette reati informatici, viene introdotto il nuovo reato di truffa online e introduce un vero e proprio dovere di segnalazione in caso di attacchi informatici alle PP.AA.

Vediamo nel dettaglio le misure principali.

P.A. e l’obbligo di segnalare gli incidenti informatici

Il Ddl Cybersecurity fissa per le Pubbliche Amministrazione il dovere di notificare, ovvero comunicare, gli incidenti informatici e che hanno un impatto su reti, sistemi informativi e servizi informatici.

Le pubbliche amministrazioni individuate sono:

• gli Uffici centrali delle PP.AA.;
• le Regioni;
• le Province;
• le province autonome di Trento e di Bolzano;
• le Città metropolitane;
• i Comuni con popolazione superiore a 100.000 abitanti;
• le società di trasporto pubblico urbano con bacino di utenza non inferiore a 100.000 abitanti;
• le società di trasporto pubblico extraurbano;
• le società in house che forniscono servizi informatici;
• i servizi di raccolta, smaltimento o trattamento di acque reflue urbane, domestiche o industriali.

Questi avranno il compito di segnalare senza ritardo e comunque entro 24 ore dal momento in cui sono venuti a conoscenza dell’incidente informatico.

Entro le successive 72 ore, inoltre, devono effettuare la notifica completa di tutti gli elementi informativi disponibili.

Tutte le comunicazioni devono essere compiute tramite le apposite procedure disponibili nel sito internet istituzionale dell’Agenzia per la cybersicurezza nazionale.

Nel caso di inosservanza dell’obbligo di notifica, l’Agenzia per la cybersicurezza nazionale avrà il compito di avviare delle ispezioni specifiche per verificare i sistemi di sicurezza applicati.

Ulteriormente, ovverosia in caso di reiterata inosservanza, l’ACN provvederà a sanzionare la P.A. e i soggetti interessati con una multa da 25.000 euro a 125.000 euro.

Il ruolo del referente per la cybersicurezza

In base all’art. 8 viene fissato l’obiettivo di dotare tutte le PP.AA. e i soggetti interessati dal DDL Cybersicurezza di un referente interno.

Questa figura, ove non sia già presente, dovrà provvedere a:

• sviluppare le politiche e le procedure di sicurezza delle informazioni;
• produrre e aggiornare i sistemi di analisi preventiva di rilevamento e di un piano per la gestione del rischio informatico;
• produrre e aggiornare un documento che definisca i ruoli e l’organizzazione del sistema per la sicurezza delle informazioni dell’amministrazione;
• provvedere a un piano programmatico per la sicurezza di dati, sistemi e infrastrutture dell’amministrazione;
• pianificare il potenziamento delle capacità per la gestione dei rischi informatici;
• dare attuazione alle linee guida per la cybersicurezza emanate dall’Agenzia per la cybersicurezza nazionale;
• monitorare in maniera costante le minacce e le vulnerabilità dei sistemi.

Il referente potrà essere individuato in ragione di specifiche e comprovate professionalità e competenze in materia di cybersicurezza, anche tra gli appartenenti al personale dipendente. In alternativa, sarà possibile conferire l’incarico di referente per

la cybersicurezza a un dipendente di una pubblica amministrazione, previa autorizzazione di quest’ultima.

Il nuovo Comitato interministeriale per la sicurezza

La composizione del Comitato interministeriale per la sicurezza subirà modifiche, includendo ora il ministro dell'Agricoltura, il ministro delle Infrastrutture e il ministro dell'Università.

Le disposizioni riguardanti gli ex direttori, vice direttori e capi reparto di DIS, AISI e AISE, i principali organi di intelligence italiani, diventeranno più rigorose.

A meno di autorizzazione della presidenza del Consiglio, per i 3 anni successivi alla fine del loro mandato, questi non potranno essere impiegati da soggetti esteri o privati italiani nei settori della difesa, sicurezza nazionale, energia, trasporti e comunicazioni.

Inoltre, le opposizioni denunciano all'unisono che non verrà previsto alcun investimento per le nuove misure.

Le modifiche al Codice penale

Tra le novità delle Disposizioni in materia di rafforzamento della cyber sicurezza nazionale e di reati informatici vi sono delle modifiche al codice penale importanti modifiche al codice penale.

Si introduce il reato di truffa online, con aggravanti specifiche per coloro che perpetrano tali reati mediante l'utilizzo di siti web e piattaforme digitali.

È altresì prevista la confisca obbligatoria degli strumenti informatici utilizzati per commettere il reato, con l'obiettivo di destinare i proventi ottenuti da tale confisca al risarcimento delle vittime.

Gli aggiornamenti al Codice di procedura penale

L'articolo 17 del ddl cybersicurezza introduce modifiche al codice di procedura penalemodifiche al codice di procedura penale finalizzate ad accogliere le misure in materia di prevenzione e contrasto dei reati informatici, introdotte dal precedente articolo 16.

Per tali reati si prevedono: l'attribuzione della competenza investigativa alla procura distrettuale; la deroga al regime ordinario per quanto riguarda la proroga delle indagini preliminari; e un termine massimo per la durata delle indagini preliminari fissato a due anni.