Normativa di riferimento
La normativa sulla Cyber Security per le pubbliche amministrazioni in Italia si basa su diversi riferimenti legislativi e regolamenti europei.
Il principale è il Regolamento UE 2016/679 (GDPR), che disciplina la protezione dei dati personali e impone misure di sicurezza adeguate.
A livello nazionale, il Codice dell’Amministrazione Digitale (CAD, D.Lgs. 82/2005) stabilisce obblighi in materia di sicurezza informatica.
Il Perimetro di Sicurezza Nazionale Cibernetica (D.L. 105/2019) introduce misure per proteggere infrastrutture critiche e sistemi informatici strategici.
L’Agenzia per la Cybersicurezza Nazionale (ACN), istituita nel 2021, coordina la sicurezza cibernetica del Paese e definisce standard per la PA. Inoltre, il Framework Nazionale per la Cybersecurity fornisce linee guida per la gestione del rischio.
Infine, la Direttiva NIS2 (Direttiva UE 2022/2555) impone obblighi più stringenti per la resilienza delle reti e dei sistemi informativi.
In cosa consistono le misure minime di sicurezza
Le misure consistono in controlli di natura tecnologica, organizzativa e procedurale e utili alle Amministrazioni per valutare il proprio livello di sicurezza informatica.
A seconda della complessità del sistema informativo a cui si riferiscono e della realtà organizzativa dell’Amministrazione, le misure minime possono essere implementate in modo graduale seguendo tre livelli di attuazione.
- Minimo: è quello al quale ogni Pubblica Amministrazione, indipendentemente dalla sua natura e dimensione, deve necessariamente essere o rendersi conforme.
- Standard: è il livello, superiore al livello minimo, che ogni amministrazione deve considerare come base di riferimento in termini di sicurezza e rappresenta la maggior parte delle realtà della PA italiana.
- Alto: deve essere adottato dalle organizzazioni maggiormente esposte a rischi (ad esempio per la criticità delle informazioni trattate o dei servizi erogati), ma anche visto come obiettivo di miglioramento da parte di tutte le altre organizzazioni.
Responsabilità della PA
L’adeguamento alle misure minime è a cura del responsabile della struttura per l’organizzazione, l’innovazione e le tecnologie, come indicato nel CAD (art. 17 ) o, in sua assenza, del dirigente designato. Il dirigente responsabile dell’attuazione deve compilare e firmare digitalmente il “Modulo di implementazione” allegato alla Circolare 18 aprile 2017, n. 2/2017.
Secondo la circolare, le misure minime di sicurezza devono essere adottate da parte di tutte le pubbliche Amministrazioni entro il 31 dicembre 2017.
Agenzia per l’Italia digitale (AGID), Misure minime di sicurezza ICT per le pubbliche amministrazioni. Disponibile su https://www.agid.gov.it/it/sicurezza/misure-minime-sicurezza-ict