Nasce l'ACN - Agenzia per la Cybersicurezza Nazionale. Il 10 giugno scorso, il Consiglio dei ministri ha dato il via libera al decreto-legge istitutivo della nuova agenzia per la sicurezza nazionale nello spazio cibernetico.

Si tratta di un'Agenzia con personalità giuridica di diritto pubblico con una propria autonomia regolamentare, patrimoniale, organizzativa, amministrativa, contabile e finanziaria secondo i limiti previsti dal decreto-legge. E' stata creata al di fuori dell'Intelligence e sotto il diretto controllo del Copasir.

L'ACN Agenzia per la Cybersicurezza Nazionale avrà un pool di 300 dipendenti che, entro il 2027, potrebbero salire a 800. Questa super squadra opererà in prima linea con militari e uomini dei servizi segreti: 50 consulenti e 7 sedi, fino a 34 dirigenti di cui 10 di livello da direzione generale.

Per la tutela della cybersicurezza nazionale ed in base alle attività svolte in tandem con il Sistema di informazione per la sicurezza della Repubblica, i regolamenti del decreto possono attuare disposizioni in deroga alle norme vigenti.

Al premier Draghi sono affidate in via esclusiva l'alta direzione e la responsabilità generale delle politiche di cybersicurezza. Sono attribuite al presidente del Cdm l'adozione della strategia nazionale di cybersecurity in accordo con il Comitato interministeriale per la cybersicurezza, nonché la nomina e revoca del direttore e vicedirettore generale dell'Agenzia ACN.

Il premier assegna le direttive emanando qualsiasi necessaria disposizione per l'organizzazione e funzionamento dell'Agenzia, informando il presidente del Copasir preventivamente sulle nomine. Viene informato costantemente dall'Autorità delegata riguardo alle modalità di esercizio delle funzioni delegate. In qualsiasi momento, può assumere l'esercizio di tutte o alcune di queste funzioni.

L'istituzione dell'Agenzia ACN è necessaria considerando la vulnerabilità agli attacchi hacker delle reti, servizi informatici, sistemi informativi e comunicazioni elettroniche di soggetti pubblici e privati. La necessità è anche un'altra: raccordare la normativa con analoghe iniziative europee.

Come è strutturata l'Agenzia per la Cybersicurezza Nazionale?

Quali sono le funzioni e gli obiettivi dell'ACN?

ACN - Agenzia per la Cybersicurezza Nazionale: le funzioni del Comitato interministeriale

L'art. 4 del decreto-legge ha istituito presso la Presidenza del Consiglio dei ministri il CICSCIC (Comitato interministeriale per la cybersicurezza). Questo Comitato ha funzioni di consulenza, proposta e deliberazione vigilanza in tema di politiche di cybersecurity anche per la tutela della sicurezza nazionale nello spazio cyber.

Ecco, in dettaglio, quali sono le funzioni del CICSCIC:

• proposta al Presidente del Consiglio dei ministri degli indirizzi generali da perseguire in tema di politiche di cybersicurezza nazionale;
• supporto all'adozione delle necessarie iniziative per sostenere una collaborazione efficace tra le istituzioni e gli operatori privati interessati alla cybersecurity a livello sia nazionale sia internazionale;
• supporto alla condivisione di informazioni e all'adozione delle migliori pratiche e misure a favore della cybersecurity e dello sviluppo tecnologico, scientifico e industriale in tema di cybersicurezza;
• parere sul bilancio preventivo e consuntivo dell'ACN;
• alta sorveglianza sull'attuazione della strategia nazionale di cybersecurity.

L'alta direzione e responsabilità generale delle politiche di cybersecurity sono attribuite al presidente del Consiglio, che annualmente dovrà trasmettere al Parlamento una relazione sull'attività dell'Agenzia.

Comitato interministeriale per la cybersicurezza: da chi è composto

Presieduto dal premier Draghi, il Comitato interministeriale per la cybersicurezza è costituito dall'Autorità delegata che può essere istituita dai seguenti ministeri:

• Interno;
• Affari esteri e della cooperazione internazionale;
• Giustizia;
• Difesa;
• Economia e Finanze;
• Sviluppo economico;
• Transizione ecologica;
• Università e Ricerca;
• Delegato per l’innovazione tecnologica e transizione digitale.

Le funzioni di segretario del Comitato spettano al direttore generale dell'Agenzia ACN, che ha la rappresentanza legale dell'Agenzia. È il diretto referente del Presidente del Consiglio dei ministri e dell’Autorità delegata, ove istituita.

Il direttore e vicedirettore generale restano in carica per la durata massima di 4 anni: l'incarico è rinnovabile a seguito di successivi provvedimenti e può avere una durata massima di ulteriori 4 anni.

Per il ruolo di direttore generale dell'Agenzia, il favorito è Roberto Baldoni, professore di ingegneria informatica alla Sapienza di Roma e vicedirettore generale del DIS (Dipartimento delle Informazioni per la Sicurezza). Circola un altro nome: quello della direttrice della Polizia Postale, Nunzia Ciardi.

Tutte le funzioni dell'ACN - Agenzia per la Cybersicurezza Nazionale

Vediamo, in concreto, cosa fa, quali sono tutte le funzioni dell'ACN Agenzia per la Cybersicurezza Nazionale.

In primis, c'è la prevenzione, monitoraggio, rilevamento, analisi e risposta per far fronte agli attacchi informatici ed agli incidenti di sicurezza informatica anche mediante il CSIRT (Computer Security Incident Response Team) italiano e l’avvio operativo del Centro di valutazione e certificazione nazionale.

L'Agenzia funzionerà da interlocutore unico nazionale per i soggetti pubblici e privati in tema di misure di sicurezza ed attività ispettive nel contesto del perimetro di sicurezza nazionale cibernetica (reti, sistemi informativi, reti di comunicazione elettronica).

Rappresenta l'Autorità nazionale competente ed il punto di riferimento per la sicurezza delle reti e dei sistemi informativi: accerta le violazioni e sanziona i trasgressori.

Riportiamo, in sintesi, le funzioni essenziali dell'ACN:

• predispone la strategia nazionale di cybersicurezza;
• supporta il Nucleo per la sicurezza cibernetica;
• garantisce il coordinamento tra i soggetti pubblici coinvolti;
• promuove l'implementazione di azioni comuni per garantire resilienza cibernetica nello sviluppo della digitalizzazione, sistema produttivo e PA. Punta all'autonomia nazionale ed europea riguardo ai prodotti e processi informatici strategici allo scopo di tutelare gli interessi nazionali nel settore;
• è l'Autorità nazionale di certificazione della cybersecurity. Promuove la formazione, crescita professionale e qualificazione delle risorse umane nell'ambito della sicurezza cibernetica;
• esprime pareri non vincolanti su iniziative regolamentari e legislative in materia di cybersicurezza;
• collabora con il Garante della Privacy anche in riferimento alla violazione dei dati personali;
• cura i rapporti comunitari e internazionali con organismi, enti ed istituzioni competenti;
• sostiene e coordina la partecipazione dell'Italia ad iniziative e progetti europei ed internazionali;
• rappresenta il Centro nazionale di coordinamento che si interfaccia con il Centro europeo di competenza per la cybersicurezza in ambito tecnologico, industriale e di ricerca.

Il Nucleo NSC

Un apposito regolamento definisce l'organizzazione ed il funzionamento dell'Agenzia per la Cybersicurezza Nazionale. In particolare, ne prevede l'articolazione sino a 7 uffici al massimo di tipo dirigenziale generale e fino a massimo di 30 articolazioni di tipo dirigenziale non generale in base alle risorse disponibili.

Presso l'ACN viene costituito, in modo permanente, il Nucleo per la sicurezza cibernetica (NSC) che supporta il presidente del Cdm per la prevenzione e preparazione ad eventuali situazioni di crisi e per attivare procedure di allerta.

L'NSC parteciperà ai sistemi europei di gestione della crisi in collegamento con organismi simili di altri Stati, dell'UE o della Nato e di altre organizzazioni internazionali.

Il Nucleo per la sicurezza cibernetica sarà composto da:

• consigliere militare del premier;
• rappresentanti del Dis, Aise, Aisi e di ognuno dei ministeri rappresentati nel comitato CISR;
• rappresentanti del ministero per l'Innovazione tecnologica e transizione digitale, dell’Università e Protezione Civile.

Possibile coinvolgimento di altre autorità civili e militari

La Legge di Bilancio ha definito lo stanziamento annuale da conferire all'Agenzia ACN. La dotazione è di 530 milioni di euro complessivi fino al 2027 per proteggere l'Italia dal rischio cyber. È in continua crescita, passerà dai 41 milioni del 2022 ai 122 milioni nel 2027. Allo scopo di non dipendere da tecnologie estere (come il 5G), sarà possibile creare strumenti made in Italy e commercializzarli finanziando la stessa ACN.

In base alle necessità che si presenteranno di volta in volta, il premier può rendere partecipi alle sedute del Comitato (anche per loro richiesta e senza diritto di voto) il direttore generale del Dis, altri componenti del Consiglio dei ministri, il direttore dell’Aise e dell’Aisi, altre autorità militari e civili.

Con apposite convenzioni, l'Agenzia potrebbe richiedere la collaborazione di altri organi di Stato, amministrazioni, enti pubblici, forze di polizia per svolgere appieno le sue funzioni istituzionali.

Il Comitato parlamentare per la sicurezza della Repubblica (Copasir) può richiedere l'audizione del direttore generale dell'ACN su questioni che competono al Comitato stesso.

Centro Nazionale per la Sicurezza Cyber all'interno dell'ACN

L'Agenzia ACN opererà sotto la responsabilità del premier Draghi e dell'Autorità delegata per la sicurezza della Repubblica (sottosegretario con delega all'Intelligence, Franco Gabrielli).

"Abbiamo il 93-95% dei server della PA non in condizioni di sicurezza" ha evidenziato Vittorio Colao, ministro per l'Innovazione tecnologica e la Transizione digitale.

Franco Gabrielli riconosce che l'Italia ha una fragilità per deficit di cultura, mancanza di consapevolezza dei rischi cyber. Siamo parecchio in ritardo: bisogna accelerare i tempi per adeguarsi ed implementare una concreta difesa cyber.

La necessità urgente che ha spinto a creare l'Agenzia per la Cybersicurezza Nazionale è ormai evidente e riguarda tutte le realtà, pubbliche e private: PA, sanità, infrastrutture, energia, imprese, cittadini, ecc. La nuova agenzia pubblica potrà interloquire con gli altri soggetti interessati. Permetterà alle agenzie di intelligence di potenziare le proprie capacità di attacco e difesa cyber.

Il regolamento dell'UE riferito alla rete di centri nazionali per il coordinamento della sicurezza cibernetica europea è stato pubblicato l'8 giugno sulla G.U. dell'Unione Europea. Gli Stati membri hanno 6 mesi di tempo per realizzare il proprio centro nazionale e poter fruire dei 5 miliardi di euro previsti nei programmi Orizzonte Europa e Europa Digitale.

L'ACN avrà al suo interno il centro nazionale richiesto dall'UE: coordinerà imprese e mondo accademico.

Concludiamo con le parole di Franco Gabrielli

Franco Gabrielli, per far comprendere l'importanza dell'Agenzia per la Cybersicurezza nazionale, ha usato l'esempio dei furti in appartamento, problema serio e diffuso.

"Tutti sanno che è fondamentale dotare gli appartamenti di buoni sistemi di allarme, porte e finestre correttamente attivati" ha spiegato Gabrielli.

Trasferiamo tutto questo nel mondo cyber.

L'Agenzia ACN è "la sala regia che monitora e verifica il perfetto funzionamento di allarmi, sensori, finestre, porte, tutto ciò che può rendere l'abitazione più resiliente".

Questa sala regia non interferisce con l'attività preventiva o repressiva dei vari operatori della sicurezza, dell'Intelligence e delle forze di pubblica sicurezza.

Francesco Ciano