Il perimetro della sicurezza cibernetica nazionale.

Come sappiamo, il COPASIR (Comitato Parlamentare per la Sicurezza della Repubblica) si vale del servizio informativo e del comparto intelligence. Questi sono formati dal DIS (Dipartimento informazioni per la sicurezza) e dalle due agenzie AISI (Agenzia informazioni e sicurezza interna) e AISE (Agenzia informazioni e sicurezza esterna). Fra le minacce che devono fronteggiare, quella cibernetica cresce a un ritmo maggiore delle altre, pertanto sta entrando con forza nell’ampio alveo delle considerazioni sulla sicurezza nazionale. La storia giuridica e normativa che ha condotto agli attuali parametri di difesa contro tale minaccia si è articolata in modo sorprendentemente rapido negli ultimi decenni. Con “rapido” mi riferisco al susseguirsi ravvicinato di provvedimenti, in confronto ad altri settori; se però dovessi valutare da cittadino “esperto” della materia la prontezza del governo, direi che c’è ancora molta strada da fare.

Partiamo dal gennaio 2013, quando un decreto del governo Monti ha adeguato la nostra struttura alle esigenze della Commissione europea, secondo le quali tutti i paesi membri dovevano dotarsi di una prima architettura per la sicurezza cibernetica.  Questo decreto affidò la responsabilità al Consigliere militare del Presidente del consiglio. Nel corso del governo Renzi del 2015, è avvenuto un forte potenziamento dell’architettura nazionale e, di pari passo, in ambito europeo è stata elaborata la NIS 2016, riportante l’obbligo di requisiti minimi di sicurezza cibernetica per i servizi essenziali, relativamente alla protezione delle informazioni e dei dati strategici. Qualche mese fa è stata approvata la NIS2, che prosegue la stessa linea richiedendo i medesimi requisiti a un numero più grande di operatori, per esempio bancari, dei trasporti, dell’energia, ampliando così il perimetro di sicurezza. Spesso la NIS viene definita la prima vera linea di difesa comune europea in campo cibernetico: non ci siamo ancora arrivati ma forse l’obiettivo è effettivamente a portata. Nel 2018 si registra un decreto del governo Gentiloni, con il quale si trasferisce la competenza sopra menzionata dal Consigliere militare del Presidente del consiglio al DIS; in pratica, si è trattato di ampliare il comparto di intelligence per la sicurezza affidando ad esso anche la difesa cibernetica. Viene costituita la NSC (nucleo di sicurezza cibernetica), un tavolo di lavoro più alto rispetto alla Presidenza del consiglio, dove si cerca di dare una risposta alle crisi nazionali e dove convergono tutte le criticità del sistema-Paese. Perveniamo infine ai governi Conte, sotto i quali si elabora una normativa molto innovativa che introduce il perimetro di sicurezza nazionale cibernetica. Quasi come se si potesse tracciare con la matita un perimetro di enti la cui tutela non è negoziabile, come gli ospedali e la mobilità, questa norma ci pone capofila nel settore in ambito europeo e anche NATO. Vi è l’obbligo per tutte le strutture comprese di seguire regole più ferree e sottostare a determinate procedure ogni volta che si evidenzia un qualche attacco cibernetico, riuscito o imminente.

Un aspetto fondamentale che non abbiamo ancora adeguatamente preso in considerazione è l’educazione sulla sicurezza cibernetica, che dovrebbe essere estesa ai privati e agli uffici pubblici, poiché senza attenzione da parte dei cittadini non ci può essere perimetro sicuro, dal momento che tutti noi siamo potenziali punti deboli.

Estratto della lectio di Angelo Tofalo (già Senatore e sottosegretario di Stato alla Difesa e componente COPASIR), Master In Intelligence economica. IASSP 2023 – Tutor dell’Istituto

A cura di: Andrea Maneghel