AGI - Più strumenti alle Pubbliche amministrazioni per prevenire e contrastare gli attacchi informatici e limitarne il più possibile i danni, nuove misure sulle competenze dell'Agenzia per la cybersecurity nazionale, ma anche modifiche al codice penale e al codice di procedura penale per rendere più stringente la lotta contro i reati commessi attraverso la rete. Il Senato ha approvato in via definitiva il ddl sulla cybersecurity.Il testo si snoda in 24 articoli. Queste alcune delle nuove misure introdotte.
Aumenti di pena per reati come l'accesso abusivo a un sistema informatico (se commesso da un pubblico ufficiale la reclusione va da due a dieci anni); il danneggiamento di informazioni, dati e programmi informatici (reclusione da due a sei anni e, se aggravata, da tre a otto anni). Al codice penale viene aggiunta (articolo 629) una nuova previsione con la disciplina in tema di estorsione realizzata attraverso la "consumazione di reati informatici". Chiunque "costringe taluno a fare o a omettere qualche cosa, procurando a se' o ad altri un ingiusto profitto con altrui danno, e' punito con la reclusione da sei a dodici anni e con la multa da euro 5.000 a euro 10.000. La pena è della reclusione da otto a ventidue anni e della multa da euro 6.000 a euro 18.000, se concorre taluna delle circostanze indicate nel terzo comma dell'articolo 628 nonché nel caso in cui il fatto sia commesso nei confronti di persona incapace per eta' o per infermita'".
Del Comitato interministeriale per la sicurezza della Repubblica (CISR) sarà parte anche il ministro delle Imprese e del Made in Italy, il ministro dell'Ambiente e della sicurezza energetica, il ministro dell'Agricoltura, della sovranità alimentare e delle foreste, il ministro delle Infrastrutture e dei trasporti e il ministro dell'Università e della ricerca. Attualemnte il Cisr è presieduto dal presidente del Consiglio dei ministri e composto dall'Autorità delegata, ove istituita, dal ministro degli Affari esteri, dal ministro dell'Interno, dal ministro della Difesa, dal ministro della Giustizia, dal ministro dell'Economia e delle finanze, dal ministro dello Sviluppo economico e dal ministro della Transizione ecologica. Il comitato ha funzioni di consulenza, proposta e deliberazione sugli indirizzi e sulle finalità generali della politica dell'informazione per la sicurezza.
Per "garantire un'adeguata tutela e protezione dai rischi di accesso abusivo ai dati contenuti in sistemi informativi delle pubbliche amministrazioni, l'accesso alle banche dati pubbliche da parte di addetti tecnici e degli incaricati del trattamento" avviene "previo utilizzo di specifici sistemi di autenticazione informatica basati sull'utilizzo combinato di almeno due differenti tecnologie di autenticazione, una delle quali deve essere basata sull'elaborazione di caratteristiche biometriche". Gli addetti tecnici vanno individuati come "gli operatori tecnici aventi funzioni di amministratori di sistema, di rete o di archivio di dati". L'accesso alle banche dati pubbliche e' consentito "nei soli casi legati a indifferibili interventi relativi a malfunzionamenti, guasti, installazioni hardware e software, aggiornamento e riconfigurazione dei sistemi, che possano determinare la necessita' di accesso informatico ai sistemi informatici anche in assenza di due differenti tecnologie di autenticazione o in assenza di autenticazione biometrica per operazioni che comportano la presenza fisica dell'addetto che procede all'intervento in prossimità del sistema di elaborazione".
Coloro che "hanno ricoperto la carica di direttore generale e di vicedirettore generale del Dis e di direttore e di vicedirettore di Aise o di Aisi, ovvero abbiano svolto incarichi dirigenziali di prima fascia di preposizione a strutture organizzative di livello dirigenziale generale non possono, salvo autorizzazione del presidente del Consiglio dei ministri o dell'Autorita' Delegata ove istituita, nei tre anni successivi alla cessazione dell'incarico svolgere attività lavorativa, professionale, o consulenziale, ovvero ricoprire cariche presso soggetti esteri, pubblici o privati".
L'Agenzia per la cybersicurezza nazionale (Acn) provvederà alla "raccolta, all'elaborazione e alla classificazione dei dati relativi alle notifiche di incidenti ricevute dai soggetti che a ciò siano tenuti" dalla legge. Dei dati vene data contezza nella relazione sull'attività svolta dall'Agenzia nell'anno precedente "quali dati ufficiali di riferimento degli attacchi informatici portati ai soggetti che operano nei settori rilevanti per gli interessi nazionali nel campo della cybersicurezza". Viene istituito per le Pubbliche amministrazioni, "indicate nell'articolo 1, comma 1, ove non sia già' presente, la struttura preposta alle attività di cybersicurezza".
L'articolo 10 del ddl stabilisce di valorizzare l'utilizzo della crittografia quale strumento di difesa cibernetica e istituisce il Centro nazionale di crittografia presso l'Agenzia per la Cybersicurezza nazionale.
Il ddl estende la disciplina delle intercettazioni previste per i fatti di criminalità organizzata ai reati informatici rimessi al coordinamento del procuratore nazionale Antimafia e Antiterrorismo e con l'articolo 21 del testo modifica il procedimento di applicazione delle speciali misure di protezione per i testimoni di giustizia e per gli altri protetti, prevedendo che la Commissione centrale debba chiedere il parere al procuratore nazionale Antimafia e Antiterrorismo sulla proposta di ammissione alle speciali misure. Viene quindi regolato il rapporto tra l'Agenzia di cybersicurezza nazionale, il procuratore nazionale Antimafia e Antiterrorismo, la Polizia giudiziaria e il pubblico ministero.