La sicurezza informatica, o meglio cibernetica, è uno dei progetti oggetto di finanziamento del P.N.N.R.
Si tratta di uno dei sette investimenti della Digitalizzazione della P.A., primo asse di intervento della componente 1 “Digitalizzazione, innovazione e sicurezza nella PA, e ha ad oggetto un investimento di circa 620 milioni di euro, di cui 241 per la creazione di un’infrastruttura per la cybersecurity.
Quest’infrastruttura è l’Agenzia per la Cybersicurezza nazionale, istituita dal decreto legge n. 82/2021, in vigore dal 15 giugno scorso.
Il decreto legge definisce cybersicurezza “l’insieme delle attività necessarie per proteggere dalle minacce informatiche reti, sistemi informativi, servizi informatici e comunicazioni elettroniche, assicurandone la disponibilità, la confidenzialità e l’integrità, e garantendone altresì la resilienza”.
L’Agenzia per la cybersecurity nazionale, con sede a Roma, è istituita a tutela degli interessi nazionali nel campo della cybersecurity, per la tutela della sicurezza nazionale nello spazio cibernetico.
La sua organizzazione è demandata a un regolamento apposito, da adottare entro centoventi giorni dalla data di entrata in vigore della legge di conversione del D.L. 82/2021, istitutivo dell’Agenzia.
In sostanza, il decreto 82/21 è entrato in vigore il 15 giugno 2021, e dovrà essere convertito in legge entro e non oltre il 15 agosto, pena la perdita di efficacia; il regolamento organizzativo dell’Agenzia, grosso modo, dovrebbe vedere la luce entro il mese di ottobre di quest’anno.
L’Agenzia potrà avere un numero massimo di 8 (otto) uffici di livello dirigenziale generale e un numero massimo di 30 (trenta) articolazioni di livello dirigenziale non generale.
Gli organi dell’Agenzia sono il direttore generale e il Collegio dei revisori dei conti.
Il Direttore generale è nominato tra magistrati delle giurisdizioni superiori amministrative o contabili, avvocati dello stato, dirigenti generali dello stato, professori universitari di ruolo o soggetti estranei alla Pubblica Amministrazione.
Il compito di nominare e revocare il direttore generale e il vice direttore generale spetta esclusivamente al Presidente del Consiglio dei Ministri, che non può delegare ad alcuno quest’attività.
L’incarico di Direttore Generale o di Vice Direttore Generale ha una durata massima di 4 (quattro) anni, rinnovabili per ulteriori 4 (quattro) anni.
Con apposito D.P.C.M. saranno nominati il rappresentante nazionale dell’Agenzia, nonché il suo sostituto, in seno al Consiglio di direzione del Centro europeo di competenza per la cybersecurity nell’ambito industriale, tecnologico e della ricerca.
Al Presidente del Consiglio dei Ministri spetta, sempre in via esclusiva e non delegabile, la direzione e responsabilità delle politiche di cybersecurity al fine di tutelare la sicurezza nazionale nello spazio cibernetico, nonché l’adozione della strategia nazionale di cybersecurity.
Che cosa farà, in concreto, l’Agenzia per la cybersicurezza nazionale?
Si occuperà di intraprendere ogni azione diretta ad assicurare la sicurezza e la resilienza cibernetica, predisporre la strategia nazionale di cybersecurity, supportare il Nucleo per la cybersicurezza, rilasciare le certificazioni della cybersicurezza.
L’Agenzia è Autorità nazionale e punto di contatto unico in materia di sicurezza delle reti e dei sistemi informativi, per le finalità di cui al d.lgs. NIS.
L’Agenzia, quale Autorità nazionale di certificazione della cybersicurezza, assumerà tutte le funzioni in materia già attribuite al MiSE, sia con riferimento alle certificazioni che alla cybersecurity.
Ogni funzione attribuita al Presidente del Consiglio dei Ministri dal decreto perimetro, così come ogni funzione in materia di cybersecurity già attribuita all’Agenzia per l’Italia digitale, passa, automaticamente, all’Agenzia.
L’Agenzia dovrà sviluppare capacità nazionali di prevenzione, monitoraggio, rilevamento, analisi e risposta, per prevenire e gestire gli incidenti di sicurezza informatica e gli attacchi informatici, partecipando alle esercitazioni nazionali e internazionali di simulazione di eventi di natura cibernetica, al fine di innalzare la resilienza del Paese.
Ma cos’è la resilienza cibernetica?
Si tratta della capacità di un’organizzazione di continuare a svolgere la propria attività, anticipando e adattandosi alle minacce cibernetiche attraverso la comprensione, il contenimento e il recupero dagli incidenti cibernetici.
L’agenzia avrà il compito, fondamentale, di curare e promuovere la definizione e il mantenimento di un quadro giuridico nazionale aggiornato e coerente in materia di cybersecurity, esprimendo, a tal fine pareri non vincolanti sulle iniziative legislative o regolamentari in materia.
Naturalmente, compito dell’Agenzia sarà quello di coordinare la cooperazione internazionale in materia di cybersecurity, di concerto con il Ministero degli affari esteri e della cooperazione internazionale.
L’agenzia avrà inoltre il compito di comunicare in maniera efficace e promuovere la cultura della cybersecurity nel nostro paese, costituendo o partecipando a partenariati pubblico-privato, promuovendo la formazione tecnico-professionale tramite borse di studio, di dottorato, assegni di ricerca.
Tra l’Agenzia per la cybersecurity e il Garante privacy, nelle materie di rispettiva competenza, vige un rapporto consultivo, anche in relazione agli incidenti che possono comportare violazione di dati personali.