Il Dis “promuove” il perimetro cibernetico. Gennario Vecchione, intervenendo al congresso del Notariato a Firenze ne ha evidenziato l’utilità, disegnando gli elementi critici, sul fronte cyber, che mettono a rischio gli interessi dell’Italia.
“Le minacce ai nostri interessi nazionali sono molteplici, tra queste certamente la minaccia cibernetica e digitale – ha spiegato – Siamo proiettati verso la digitalizzazione ma serve grande attenzione a non andare troppo avanti senza creare strutture di contrasto dinamico e strutture di protezione”.
In questo senso “il ‘Perimetro di sicurezza cibernetica’ è un fattore di assoluta tutela perché consente a soggetti essenziali per la sicurezza dello Stato, di osservare regole semplici e condivise, che permettono anche di reagire in tempi accettabili ad attacchi informatici”.
“Il rischio zero – ha concluso – in quest’ambito non esiste, ma la capacità del sistema è quello di reagire rapidamente”.
“Anche una grande banca – ha ricordato Vecchione nel suo intervento a Firenze – alcune settimane fa è stata oggetto di un attacco informatico pesante: era molto attrezzata e noi monitoriamo queste strutture vitali per il Paese, ma gli aggressori sono riusciti a superare barriere impensabili fino a poco tempo fa. Sì all’evoluzione digitale, ma attenzione a non disintermediare eccessivamente e a sottrarre il controllo all’essere umano perché le conseguenze sarebbero incalcolabili”.
Il perimetro cibernetico
Il senato ha dato il via libera con 133 sì e 96 astenuti – al decreto Cybersecurity, ossia quello sul cosiddetto Perimetro Cibernetico. Il testo è però passato con una serie di emendamenti e sub-emendamenti per la cui approvazione finale bisognerà attendere l’ok della Camera, dove il decreto torna per la terza lettura (dovrà essere convertito in legge entro il 20 novembre).
Fra gli emendamenti passati, quello del Governo che estende competenze a poteri al Ministero dell’Interno in particolare per le attività di valutazione dei rischi. In dettaglio sono stati approvati gli emendamenti 1.700 del Governo, 1.700/5 a prima firma della senatrice Loredana De Petris (Misto-LeU) identico al 1.700/6 a prima firma del senatore Luigi Augussori (L-SP), 4-bis.600 della relatrice senatrice Maria Laura Mantovani (M5S).
Ma la vera novità riguarda un ordine del giorno che punta all’applicazione del Golden Power non più esclusivamente ai fornitori extra Ue “ma a qualsiasi fornitore”.
Cosa prevede il perimetro cibernetico
Il Perimetro di sicurezza nazionale cibernetica prevede nuovi obblighi per soggetti pubblici e privati che saranno definiti con futuri Dpcm; un Centro di valutazione e certificazione nazionale più forte, con poteri anche sulle forniture Ict; rafforzata la normativa sulla golden power, anche sulla forniture 5G. Questi i punti principali del decreto Cybersecurity approvato in prima lettura dalla Camera e che ora dovrà essere esaminato dal Senato.
Il Perimetro di sicurezza nazionale cibernetica è previsto “al fine di assicurare la sicurezza di reti, sistemi informativi e servizi informatici necessari allo svolgimento di funzioni o alla prestazione di servizi, dalla cui discontinuità possa derivare un pregiudizio alla sicurezza nazionale”. Un dpcm successivo dovrà decidere quali soggetti – pubblici e provati – far rientrare nel perimetro.
Chi farà parte del Perimetro dovrà compilare un elenco delle reti e dei sitemi sensibili. Un altro dpcm dovrà specificare le procedure di segnalazione degli incidenti e le misure di sicurezza che i soggetti del Perimetro dovranno adottare. Tutte le forniture Ict, inoltre, dovranno superare il vaglio del Centro di valutazione e certificazione nazionale (Cvcn).
Le nuove disposizioni sul Perimetro di sicurezza nazionale si applicheranno anche ai servizi di comunicazione elettronica a banda larga basati sulla tecnologia 5G.
Nel dettaglio la nuova normativa si applicherà alle imprese operanti nel 5G già soggette all’obbligo di notifica previsto dalla legge sul golden power. La decisione se esercitare o meno i poteri speciali dovrà essere quindi presa “previa valutazione degli elementi indicanti la presenza di fattori di vulnerabilità che potrebbero compromettere l’integrità e la sicurezza delle reti e dei dati che vi transitano”. Le autorizzazioni già rilasciate potranno essere riviste chiedendo “misure aggiuntive necessarie al fine di assicurare livelli di sicurezza equivalenti” prescrivendo anche, “ove indispensabile al fine di risolvere le vulnerabilità accertate, la sostituzione di apparati o prodotti”.
Il Governo potrà applicare i poteri speciali della golden power non solo sulle reti 5G ma anche sulle forniture ad alta intensità tecnologica funzionali alla loro realizzazione. Previsto quindi un obbligo di notifica entro 10 giorni dalla conclusione di un contratto o di un accordo di fornitura: sulla base della informativa il Governo potrà decidere se esercitare il potere di veto o chiedere l’adempimento di specifiche prescrizioni, che dovranno essere comunicate entro 30 giorni, salvo proroga di altri 20 giorni in caso sia necessario svolgere approfondimenti (la proroga può essere concessa una seconda volta solo in caso di particolari complessità). Decorsi i termini senza nessuna decisione da parte della presidenza del Consiglio i poteri speciali si intendono non esercitati.
