Incidente informatico in una PA: le 24 e le 72 ore non vogliono dire la stessa cosa
Tre regimi di notifica che convivono — L. 90/2024, NIS2 e perimetro cibernetico — con destinatari, adempimenti e sanzioni diversi. E il passaggio delle competenze cyber da AgID ad ACN
Un incidente informatico in una pubblica amministrazione può far scattare più obblighi di notifica contemporaneamente, verso destinatari diversi, con termini che si assomigliano ma non coincidono. La materia è recente, stratificata e molto presente nei bandi degli ultimi due anni. Ecco come si tiene in ordine.
Prima di tutto: chi comanda oggi sulla sicurezza ICT
Fino al 2021 la sicurezza informatica delle PA era materia di AgID, in forza degli artt. 14-bis e 51 del CAD. Dal 2021 il D.L. 82/2021 istituisce l'Agenzia per la cybersicurezza nazionale (ACN) e le trasferisce tutte le funzioni cyber già di AgID, incluse l'adozione delle linee guida con regole tecniche di cybersicurezza.
1. È un trasferimento di funzione, non un'abrogazione di atti: gli atti AgID già adottati restano in vigore, cambia chi li aggiorna.
2. Il CAD non è stato novellato: l'art. 51 c. 1-bis nomina ancora letteralmente AgID e il CERT-PA.
3. AgID non è uscita di scena: conserva tutto il resto del Codice — documento informatico, SPID, accessibilità, interoperabilità, open data.
I tre regimi, a confronto
| L. 90/2024 | NIS2 (D.Lgs. 138/2024) | Perimetro (D.L. 105/2019) | |
|---|---|---|---|
| A chi si notifica | ACN | CSIRT Italia | ACN |
| Cosa fa scattare l'obbligo | Incidente della tassonomia adottata con determinazione ACN | Incidente significativo (art. 25 c. 4) | Incidente sui sistemi inseriti nell'elenco |
| Primo adempimento (24h) | Segnalazione | Pre-notifica | Segnalazione |
| Secondo adempimento (72h) | Notifica completa | Notifica | Notifica |
| Seguiti | — | Relazione intermedia su richiesta · relazione finale entro 1 mese · relazione mensile se l'incidente è ancora in corso | — |
| Sanzione | 25.000-125.000 € solo alla reiterazione nel quinquennio | Fino a 10 mln € o 2% del fatturato; per le PA 25.000-125.000 € | 25.000-125.000 € in caso di reiterata inosservanza |
Quando un incidente è "significativo" secondo la NIS2
L'art. 25 c. 4 richiede una sola delle due condizioni:
- ha causato o è in grado di causare una grave perturbazione operativa dei servizi oppure perdite finanziarie per il soggetto interessato;
- ha avuto o è idoneo a provocare ripercussioni su altre persone fisiche o giuridiche, causando perdite materiali o immateriali considerevoli.
Sono alternative, non cumulative: basta una. I distrattori tipicamente le presentano come requisiti congiunti.
Il contenuto cresce a ogni passaggio
| Fase | Cosa deve contenere |
|---|---|
| Pre-notifica (24 h) | Ove possibile, se l'incidente possa ritenersi frutto di atti illegittimi o malevoli o avere impatto transfrontaliero |
| Notifica (72 h) | Aggiornamento della pre-notifica, valutazione iniziale di gravità e impatto e, ove disponibili, gli indicatori di compromissione |
| Relazione finale (1 mese) | Descrizione dettagliata, causa originale della minaccia, misure di attenuazione adottate e in corso, e — ove noto — l'impatto transfrontaliero |
Una deroga da ricordare: i prestatori di servizi fiduciari notificano entro 24 ore, non 72 (art. 25 c. 6). Sono quelli che erogano firme, sigilli, marche temporali e servizi di recapito certificato — la loro compromissione ha effetti a catena su tutta la catena della fiducia digitale.
Le tutele per chi notifica
La legge si preoccupa che l'obbligo non diventi un disincentivo:
- la notifica non espone a maggiore responsabilità rispetto a quella derivante dall'incidente stesso (art. 25 c. 3);
- il CSIRT Italia risponde, ove possibile entro 24 ore dalla pre-notifica, con un riscontro iniziale e, su richiesta, orientamenti o consulenza sulle misure tecniche di mitigazione;
- se si sospetta il carattere criminale dell'incidente, il CSIRT fornisce orientamenti sulla segnalazione all'organo centrale del Ministero dell'Interno per la sicurezza dei servizi di telecomunicazione;
- le notifiche volontarie, fuori dai casi obbligatori, sono ammesse (art. 26 NIS2; art. 1 c. 4 L. 90/2024).
La comunicazione verso l'esterno
Sentito il CSIRT Italia, se opportuno e possibile, i soggetti essenziali e importanti comunicano senza ingiustificato ritardo ai destinatari dei propri servizi gli incidenti significativi che possono ripercuotersi negativamente sulla fornitura, e le misure correttive che i destinatari possono adottare a fronte di una minaccia significativa. ACN, a sua volta, può informare il pubblico se ciò serve a evitare ulteriori incidenti o è nell'interesse pubblico.
I perimetri non coincidono
Questa è la parte più insidiosa, perché intuitivamente ci si aspetta che i due regimi principali coprano gli stessi soggetti. Non è così.
| L. 90/2024 | NIS2 | |
|---|---|---|
| PA centrali | sì | sì (organi costituzionali, PCM e Ministeri, Agenzie fiscali, Autorità indipendenti) |
| Regioni e Province autonome | sì | sì |
| Città metropolitane | sì | sì |
| Comuni | oltre 100.000 abitanti + capoluoghi di regione | oltre 100.000 abitanti + capoluoghi di regione |
| Aziende sanitarie locali | sì | sì |
| Società di trasporto pubblico | sì, con soglie di bacino | non in quanto tali |
| Enti e istituzioni di ricerca | no | sì |
Le esclusioni completano il quadro: la L. 90/2024 non si applica ai soggetti del perimetro cibernetico né a quelli NIS, e nemmeno agli organi di polizia, difesa e intelligence. Il D.Lgs. 138/2024 non si applica alle reti e ai sistemi già inseriti nell'elenco del perimetro, i cui obblighi sono considerati almeno equivalenti. È un sistema costruito per evitare sovrapposizioni, non per moltiplicarle.
Gli adempimenti organizzativi
Oltre alla notifica, l'art. 8 della L. 90/2024 impone alle PA destinatarie di individuare — anche tra le strutture esistenti, senza nuovi oneri — una struttura per la sicurezza delle informazioni, che cura politiche e procedure, il piano di gestione del rischio informatico, il documento su ruoli e organizzazione, il piano programmatico, gli interventi di potenziamento, l'attuazione delle linee guida ACN e il monitoraggio continuo di minacce e vulnerabilità.
Il quadro in quattro strati
Per orientarsi conviene vedere la materia come una stratificazione cronologica in cui nulla è stato abrogato:
- Il Codice — artt. 14-bis e 51 CAD: potere di emanare regole e standard di sicurezza, obbligo di custodire i documenti informatici riducendo al minimo i rischi di distruzione, perdita e accesso non autorizzato;
- Le misure minime — Circolare AgID 2/2017: una checklist chiusa di controlli ABSC su tre livelli (minimo, standard, alto), con modulo di implementazione firmato;
- L'architettura — D.L. 82/2021: istituisce ACN e le trasferisce le funzioni cyber;
- Gli obblighi nuovi — L. 90/2024 e NIS2: struttura e referente per la cybersicurezza, notifica di incidente, gestione del rischio, sanzioni.
È il capitolo più recente dell'amministrazione digitale, e proprio per questo discrimina: chi ha studiato su materiale anteriore al 2024 non può conoscere né la NIS2 né la L. 90.
Prova i quesiti di informatica o riprendi il quadro dal decalogo del Codice dell'amministrazione digitale.
Fonti. D.Lgs. 4 settembre 2024 n. 138 (recepimento direttiva NIS2): artt. 25, 26 e 33. L. 28 giugno 2024 n. 90 (disposizioni in materia di rafforzamento della cybersicurezza nazionale): artt. 1, 3 e 8. D.L. 14 giugno 2021 n. 82, art. 7 c. 1 lett. m). D.L. 21 settembre 2019 n. 105 (perimetro di sicurezza nazionale cibernetica). D.Lgs. 7 marzo 2005 n. 82 (CAD), artt. 14-bis, 51 e 71. Circolare AgID n. 2 del 18 aprile 2017 (misure minime di sicurezza ICT).