Articolo Pubblicazioni
Perimetro di sicurezza nazionale cibernetica (DL 105/2019): cosa prevede e chi riguarda
di Vincenzo Calabrò · Pubblicato il 9 dicembre 2019
Abstract
Con il decreto-legge 105 del 21 settembre 2019, convertito dalla legge 133 del 18 novembre, l’Italia ha istituito il perimetro di sicurezza nazionale cibernetica, un insieme di soggetti pubblici e privati da cui dipende l’esercizio di funzioni essenziali dello Stato. L’articolo spiega come saranno individuati i soggetti, quali obblighi avranno su beni ICT, incidenti, misure di sicurezza e acquisti, quale ruolo avranno il CVCN e il CSIRT e quali decreti attuativi sono attesi.
Perché un perimetro
La direttiva NIS, recepita in Italia con il decreto legislativo 65 del 2018, ha introdotto obblighi di sicurezza e notifica per gli operatori di servizi essenziali e i fornitori di servizi digitali. Il perimetro va oltre. Riguarda i soggetti da cui dipende l’esercizio di una funzione essenziale dello Stato o la prestazione di un servizio essenziale per gli interessi civili, sociali o economici fondamentali, il cui malfunzionamento o interruzione possa pregiudicare la sicurezza nazionale. La logica è quella della sicurezza nazionale, con obblighi più stringenti e un controllo sulle forniture tecnologiche.
Il decreto arriva in un momento di forte attenzione alle tecnologie di rete di quinta generazione e al ruolo dei fornitori extraeuropei, e la legge di conversione collega le nuove regole ai poteri speciali del governo sulle forniture 5G.
Chi è incluso
I soggetti non sono indicati dalla legge. Saranno individuati con un decreto del Presidente del Consiglio, su proposta del Comitato interministeriale per la sicurezza della Repubblica, sulla base di criteri di gradualità e di settori indicati. L’elenco dei soggetti non sarà pubblico e ciascuno riceverà una comunicazione individuale. Una volta inclusi, i soggetti dovranno predisporre e aggiornare almeno una volta l’anno un elenco delle reti, dei sistemi informativi e dei servizi informatici di loro pertinenza, con la relativa architettura e componentistica.
Gli obblighi
Per i soggetti inclusi la legge prevede obblighi su più fronti:
- notificare gli incidenti che hanno impatto sui beni ICT inclusi nel perimetro al CSIRT italiano, secondo procedure e tempi che saranno fissati con un successivo decreto;
- adottare misure di sicurezza definite con decreto, relative a struttura organizzativa, politiche, gestione del rischio, mitigazione e gestione degli incidenti, protezione fisica e logica, monitoraggio, test e controllo, formazione;
- comunicare al Centro di valutazione e certificazione nazionale l’intenzione di acquistare beni, sistemi e servizi ICT destinati a essere impiegati sui beni del perimetro, quando rientrano nelle categorie individuate;
- sottoporsi alle attività di ispezione e verifica delle autorità competenti.
Il CVCN
Il Centro di valutazione e certificazione nazionale, istituito presso il Ministero dello sviluppo economico, può effettuare verifiche preliminari sulle forniture e imporre condizioni e test di hardware e software. Le verifiche devono concludersi entro termini brevi, prorogabili nei casi complessi, e le condizioni imposte vanno inserite nei bandi e nei contratti. Il Ministero dell’interno e quello della difesa dispongono di centri analoghi per i propri ambiti. È un cambiamento rilevante per i fornitori, che dovranno rendere disponibili prodotti e documentazione per i test, e per i soggetti acquirenti, che dovranno pianificare gli acquisti tenendo conto dei tempi di valutazione.
Le sanzioni
La violazione degli obblighi è punita con sanzioni amministrative che, per i casi più gravi, arrivano a 1,8 milioni di euro. Per chi fornisce informazioni, dati o fatti non rispondenti al vero, rilevanti per la predisposizione degli elenchi, per le comunicazioni sulle forniture o per le attività ispettive, o ne omette la comunicazione nei termini, con lo scopo di ostacolare i procedimenti, è previsto un reato punito con la reclusione da uno a tre anni. La sanzione penale segnala quanto il legislatore consideri seria la correttezza delle informazioni fornite allo Stato.
Il CSIRT italiano
Il decreto legislativo 65 del 2018 ha previsto la creazione del CSIRT italiano presso il Dipartimento delle informazioni per la sicurezza, che assorbe le funzioni del CERT nazionale e del CERT-PA. Il CSIRT diventa il punto di riferimento per le notifiche sia della direttiva NIS sia del perimetro, e dovrà trasmettere le informazioni rilevanti al Nucleo per la sicurezza cibernetica e alle altre autorità. L’effettiva operatività dipenderà dalle risorse e dalle procedure che saranno definite.
I decreti attuativi
Gran parte della disciplina concreta è rinviata a decreti successivi. Sono attesi i provvedimenti su criteri di individuazione dei soggetti, procedure di notifica degli incidenti e misure di sicurezza, procedure e modalità del CVCN, e le categorie di beni soggetti a valutazione. I tempi indicati dalla legge sono di alcuni mesi per ciascun decreto. Fino alla loro adozione il perimetro esiste sulla carta, ma le organizzazioni che potrebbero esservi incluse hanno buoni motivi per prepararsi.
Il rapporto con la direttiva NIS
Un soggetto potrà rientrare sia nel perimetro sia tra gli operatori di servizi essenziali della direttiva NIS. In questo caso gli obblighi si sommano, con il rischio di notifiche doppie e misure valutate da autorità diverse. I decreti attuativi dovranno coordinare le due discipline, per esempio prevedendo un unico canale di notifica verso il CSIRT e misure di sicurezza compatibili. Per le aziende la soluzione pratica è costruire un unico sistema di gestione della sicurezza, ispirato a standard internazionali come la ISO/IEC 27001, capace di rispondere a entrambe le richieste.
Come prepararsi
Un’azienda che opera in settori come energia, telecomunicazioni, trasporti, finanza o servizi digitali per lo Stato può iniziare da alcune attività. Conviene costruire un inventario affidabile dei sistemi e delle loro dipendenze, perché sarà la base dell’elenco richiesto. Conviene rivedere le procedure di gestione degli incidenti, con criteri di classificazione e responsabilità chiare per la notifica. Conviene infine censire i fornitori ICT, valutando quali forniture potrebbero ricadere nelle categorie soggette al CVCN e come cambierebbero i tempi dei progetti.
Vedi anche: l’articolo del 2013 DPCM 24 gennaio 2013, l’articolo del 2022 Strategia nazionale di cybersicurezza 2022-2026 e l’articolo del 2024 Direttiva NIS2.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn