Articolo Pubblicazioni

Nasce l’Agenzia per la cybersicurezza nazionale: compiti e ruolo

di · Pubblicato il 20 settembre 2021

Abstract

Con il decreto-legge 82 del 14 giugno 2021, convertito dalla legge 109 del 4 agosto, l’Italia ha istituito l’Agenzia per la cybersicurezza nazionale e ridisegnato l’architettura pubblica della sicurezza informatica. L’articolo descrive i nuovi organi, le funzioni dell’Agenzia, il trasferimento di strutture come il CSIRT e il CVCN e le conseguenze per amministrazioni e imprese.

Vincenzo Calabrò | Nasce l’Agenzia per la cybersicurezza nazionale: compiti e ruolo
 

Perché una nuova agenzia

Dal 2013 la sicurezza cibernetica italiana si è basata su un’architettura incentrata sul Comparto intelligence, con il Nucleo per la sicurezza cibernetica presso il Dipartimento delle informazioni per la sicurezza. Nel tempo le funzioni operative e regolatorie sono cresciute, con la direttiva NIS, il perimetro di sicurezza nazionale cibernetica e la certificazione europea, e sono state distribuite tra diverse amministrazioni. Molti paesi europei hanno da tempo un’agenzia civile dedicata, come l’ANSSI in Francia o il BSI in Germania. Il decreto-legge 82 del 2021 porta l’Italia su questo modello, separando la sicurezza cibernetica dalle attività di intelligence.

La governance

L’architettura disegnata dal decreto prevede più livelli:
  • il Presidente del Consiglio, che ha l’alta direzione e la responsabilità generale delle politiche di cybersicurezza, adotta la strategia nazionale e nomina il direttore generale dell’Agenzia;
  • l’Autorità delegata, se nominata, a cui il Presidente può affidare alcune funzioni;
  • il Comitato interministeriale per la cybersicurezza, con funzioni di consulenza, proposta e vigilanza sulle politiche;
  • l’Agenzia per la cybersicurezza nazionale, con funzioni operative, regolatorie e di coordinamento;
  • il Nucleo per la cybersicurezza, costituito presso l’Agenzia, per la prevenzione e la preparazione alle crisi e per l’attivazione delle procedure di allertamento.

Le funzioni dell’Agenzia

All’Agenzia sono attribuite numerose funzioni, tra cui queste:
  1. autorità nazionale per la cybersicurezza, con compiti di tutela degli interessi nazionali nel campo della sicurezza informatica;
  2. autorità competente e punto di contatto unico per la direttiva NIS;
  3. gestione del perimetro di sicurezza nazionale cibernetica, con le funzioni prima attribuite ad altre amministrazioni;
  4. autorità nazionale di certificazione della cybersicurezza ai sensi del regolamento europeo 2019/881;
  5. predisposizione della strategia nazionale di cybersicurezza;
  6. sviluppo di capacità nazionali di prevenzione, monitoraggio, rilevamento e risposta;
  7. promozione della formazione, della consapevolezza e della ricerca, con iniziative rivolte a scuole, università e imprese;
  8. rapporti con gli organismi europei e internazionali.

Le strutture trasferite

Il decreto trasferisce all’Agenzia il CSIRT italiano, prima presso il Dipartimento delle informazioni per la sicurezza, e il Centro di valutazione e certificazione nazionale, prima presso il Ministero dello sviluppo economico. L’Agenzia diventa quindi il punto unico per la notifica degli incidenti, per la valutazione delle forniture ICT destinate al perimetro e per la certificazione. Restano ad altre amministrazioni le competenze in materia di difesa, di contrasto penale, affidato alla Polizia Postale e alla magistratura, e di intelligence.

Le risorse

Il decreto prevede una dotazione di personale crescente nei prossimi anni, con assunzioni dirette e la possibilità di attingere a professionalità di altre amministrazioni e del settore privato, con un trattamento economico pensato per attrarre competenze tecniche. La disponibilità di persone qualificate sarà probabilmente il fattore che deciderà l’efficacia dell’Agenzia, in un mercato del lavoro in cui queste figure sono molto richieste.

Che cosa cambia per amministrazioni e imprese

Per i soggetti tenuti agli obblighi della direttiva NIS e del perimetro l’interlocutore diventa unico. Le notifiche degli incidenti vanno al CSIRT Italia presso l’Agenzia, le valutazioni delle forniture al CVCN presso l’Agenzia, le ispezioni e le eventuali sanzioni sono di sua competenza. Per le amministrazioni l’Agenzia sarà anche un riferimento per le linee guida e per il supporto in caso di incidenti. Conviene aggiornare le procedure interne, i contatti e le istruzioni per la notifica, verificando sul sito dell’Agenzia i canali e i moduli in uso.

La strategia e la cultura

Tra i compiti più rilevanti c’è la predisposizione della strategia nazionale di cybersicurezza, con obiettivi, misure e indicatori. Il decreto attribuisce all’Agenzia anche un ruolo nella crescita delle competenze del paese, con iniziative per la formazione specialistica, per la consapevolezza dei cittadini e per lo sviluppo di un’industria nazionale della sicurezza. È un aspetto spesso trascurato. Senza persone formate e senza imprese capaci di offrire servizi di qualità, anche le norme più rigorose restano sulla carta.

Il rapporto con le altre istituzioni

Il successo dell’Agenzia dipenderà anche dalla collaborazione con le altre istituzioni. La Polizia Postale e il CNAIPIC restano competenti per le indagini e per la protezione delle infrastrutture critiche dal punto di vista della prevenzione dei reati. Il Comparto intelligence mantiene la propria funzione per le minacce alla sicurezza nazionale. Il Garante per la protezione dei dati personali interviene sulle violazioni dei dati. Le imprese colpite da un incidente possono trovarsi a dover comunicare con più autorità contemporaneamente, e un coordinamento efficace tra queste è nell’interesse di tutti.

Le attese

L’Agenzia nasce in un momento in cui gli attacchi contro enti pubblici e aziende italiane sono numerosi e visibili, come ha mostrato l’estate del 2021. Le attese sono alte. Nei prossimi mesi saranno decisivi l’organizzazione interna, il reclutamento, la definizione della strategia nazionale e la capacità di instaurare rapporti di fiducia con le imprese, che dovranno condividere informazioni su incidenti e vulnerabilità.
 
Vedi anche: l’articolo del 2013 DPCM 24 gennaio 2013, l’articolo del 2019 Perimetro di sicurezza nazionale cibernetica e l’articolo del 2022 Strategia nazionale di cybersicurezza 2022-2026.
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn