Gaia Morelli - Perimetro Cibernetico

1. R
AVVOCATO GAIA MORELLI| 3 DICEMBRE 2019 | LEGAL HACKERS ROMA |

2. “In this digital age, we're experiencing
the weaponization of everything.”
― JAMES SCOTT, SENIOR FELLOW, INSTITUTE FOR CRITICAL INFRASTRUCTURE

3. IL DOMINIO CIBERNETICO
ECOSISTEMA DEL CYBERSPAZIO
- LO SPAZIO CIBERNETICO E’ UN NUOVO DOMINIO OPERATIVO DI
NATURA ARTIFICIALE
- AMBIENTE VIRTUALE, PRIVO DI CONFINI FISICI, UNO SPAZIO
INDEFINITO NEL CUI AMBITO NON PUO’ ESISTERE DIVISIONE
TRA PUBBLICO E PRIVATO, TRA LA SFERA MILITARE E CIVILE
- LO SPAZIO VIRTUALE DOVE OGGI, GRAZIE AL PROGRESSO
TECNOLOGICO OGNI GIORNO SI SCAMBIANO MILIARDI DI
INFORMAZIONI E’ UNO SPAZIO DI COMPETIZIONE ECONOMICA
E GEOPOLITICA
- IL CYBERSPAZIO E’ UN COMPLESSO ECOSISTEMA CHE VIAGGIA
SU TRE LIVELLI
- A) FISICO – INFRASTRUTTURALE
- B) LOGICO-INFORMATIVO
- C) SOCIALE – COGNITIVO

4. Non esiste “un settore in questo momento – anche
molto lontano, come l'agricoltura o altri – che non si
poggi pesantemente sul cyber space”
VULNERABILITA’

5. La minaccia proveniente dallo spazio cibernetico può riguardare infrastrutture
critiche vitali di un Paese (trasporti, energia, sanità, etc.).
Critical Infrastructures are systems and assets, whether physical or virtual, so vital
for a state that the incapacity or destruction of such systems and assets would have
a debilitating impact on security, national economic security, national public health
or safety, or any combination of those matters.
US PATRIOT ACTS 2001
INFRASTRUTTURE CRITICHE

6. Costruire lo spazio cibernetico nazionale non è tuttavia
sufficiente. È essenziale proteggerlo dall’incursione di
terzi malintenzionati, per impedire che diventi una terra
di nessuno dove è difficile imporre il rispetto della legge e
dei valori costitutivi dello stato di diritto. Oggi lo spazio
cibernetico è un mare reso pericoloso dalla pirateria.”
DOCUMENTO CONCLUSIVO DELL’INDAGINE
CONOSCITIVA SULLA SICUREZZA E LA DIFESA NELLO
SPAZIO CIBERNETICO
20.12.2017

7. LE MINACCE ALLA SICUREZZA NAZIONALE
Potenziale attacco ai processi democratici: es. elezioni o banche dati PA
Inquinamento opinione pubblica con fake news
sabotaggio a distanza di macchine e dispositivi (centrali elettriche, dicembre nucleari, dighe,
torri di controllo aeroportuali, sistemi di navigazione aerea, nonché fabbriche
altamente automatizzate, che impieghino robot interconnessi, etc.).
Attacchi ad assetti critici nazionali possono produrre danni materiali ad esempio attraverso la
paralisi o l’alterazione di sistemi che regolano il trasporto civile o le reti energetiche o dei
sistemi di comando e controllo militari.
Es. malware “Energetic Bear”, che qualche anno fa colpì più di un migliaio di aziende statunitensi
ed europee attive in campo energetico con l’obiettivo di compromettere il corretto
funzionamento di centrali elettriche, reti di distribuzione del gas e turbine eoliche.

8. Direttiva2008/114/CE sull’identificazione e designazione delle Infrastrutture Critiche Europee e sulla verifica della
necessità di migliorare la loro protezione, attuata in italia con D.Lgs 11 aprile 2011, n 61, prime definizioni di
Infrastruttura Critica e dei Soggetti ricompresi
Gennaio 2013, Decreto Monti (DPCM 24 gennaio 2013), si definiscono le molteplici competenze di settore tra i
diversi attori istituzionali delineando la governance nazionale in materia di cyber security
Febbraio 2017 Direttiva in materia protezione cibernetica e sicurezza informatica nazionali” (cd.“Decreto
Gentiloni”) ove si assicura un maggiore coordinamento tra le diverse strutture istituzionali previste nel nuovo
quadro strategico
 maggio 2018 con il D.Lgs. 65/2018 di recepimento della Direttiva 2016/1148 (c.d. “Direttiva NIS”) sono stati
delineati ulteriori interventi di rafforzamento del sistema di sicurezza cibernetica del Paese gli OSE (operatori di
servizi essenziali.
Aprile 2019 Regolamento (UE) 2019/881 d Cybersecurity Act introduce una certificazione europea della sicurezza
cibernetica di hardware e software trasponendo in campo informatico gli stringenti standard già applicati alla
sicurezza fisica dei beni prodotti nella UE. Responsabile delle certificazioni è l’Agenzia europea per la sicurezza delle
reti e dell’informazione (European Network and Information Security Agency, ENISA).

9.  13 Novembre 2019: approvato il Decreto Legge che istituisce il "Perimetro Nazionale della Sicurezza
Cibernetica" (Decreto-legge 105 del 2019)
Nel perimetro saranno presenti tutte le Pubbliche Amministrazioni e tutte le aziende privati che offrono servizi
strategici (telefonia, trasporti ferroviari, fornitura di elettricità ecc).
Gli enti saranno identificati da un Decreto della Presidenza del Consiglio su indicazioni del CISR (Comitato
Interministeriale per la Sicurezza della Repubblica).
I criteri di inclusione nel perimetro sono i seguenti:
◦ il soggetto esercita una funzione essenziale dello Stato;
◦ l'esercizio di tale funzione o la prestazione di tale servizio dipende da reti, sistemi informativi e servizi informatici;
l'interruzione del normale servizio può rappresentare un problema per la sicurezza nazionale.

10. .
LA PRESIDENZA DEL CONSIGLIO DEI MINISTRI E IL MISE INOLTRANO GLI ELENCHI
DIS Dipartimento delle informazioni per la sicurezza, anche per le attivita' di prevenzione, preparazione e gestione di crisi cibernetiche affidate
al Nucleo per la sicurezza cibernetica, nonche' all'organo del Ministero dell'interno per la sicurezza e la regolarita' dei servizi di
telecomunicazione
ENTRO 6 MESI I SOGGETTI INCLUSI NEL PERIMETRO CIBERNETICO
TRASMETTONO TALI ELENCHI, RISPETTIVAMENTE, ALLA PRESIDENZA DEL CONSIGLIO DEI MINISTRI E AL MINISTERO DELLO SVILUPPO
ECONOMICO
ENTRO 4 MESI SONO DEFINITI I CRITERI CON I QUALI I SOGGETTI INCLUSI NEL PERIMETRO PREDISPONGONO E AGGIORNANO CON
CADENZA ALMENO ANNUALE UN ELENCO DELLE RETI, DEI SISTEMI INFORMATIVI E DEI SERVIZI INFORMATICI
sono definiti , sulla base di un'analisi del rischio e di un criterio di
gradualita' che tenga conto delle specificita' dei diversi settori di
attivita',
all'elaborazione di tali criteri provvede, adottando opportuni moduli
organizzativi, l'organismo tecnico di supporto al CISR, integrato con un
rappresentante della Presidenza del Consiglio dei ministri

11. ENTRO 10 MESI SEMPRE CON DPCM VERRANNO INDIVIDUATE LE
PROCEDURE DI NOTIFICA DEGLI INCIDENTI AVENTI IMPATTO SU
RETI, SISTEMI INFORMATIVI E SERVIZI INFORMATICI
Violazione di
sicurezza
Comunicazione al CSIRT
Computer Security Incident Response Team
Gruppo di intervento per la sicurezza
informatica in caso di incidente
Comunicazione al
DIS
Ministero dell'interno
Presidenza del Consiglio dei Ministri
(se da soggetto pubblico o certificatore
accreditato)
Mise
(se da soggetto privato del perimetro
cibernetico)

12. MISURE DI SICUREZZA
VOLTE A GARANTIRE ELEVATI LIVELLI DI SICUREZZA DELLE RETI, DEI SISTEMI
INFORMATIVI E DEI SERVIZI INFORMATICI
il Ministero dello sviluppo
economico
la Presidenza del Consiglio dei
ministri, d'intesa
con il Ministero della difesa, il
Ministero dell'interno, il
Ministero dell'economia e delle
finanze e il Dipartimento delle
informazioni per la sicurezza
ALLA STRUTTURA ORGANIZZATIVA PREPOSTA ALLA GESTIONE DELLA SICUREZZA, ALLE POLITICHE DI SICUREZZA E ALLA GESTIONE
DEL RISCHIO
MITIGAZIONE E PREVENZIONE DEGLI INCIDENTI
PROTEZIONE DEI DATI
MONITORAGGIO, TEST E CONTROLLO
FORMAZIONE E CONSAPEVOLEZZA
GESTIONE OPERATIVA IVI COMPRESA LA CONTINUITA’ DEL SERVIZIO
LL'AFFIDAMENTO DI FORNITURE DI BENI, SISTEMI E SERVIZI DI INFORMATION AND COMMUNICATION TECHNOLOGY (ICT

13. AFFIDAMENTO
DI FORNITURE BENI E SERVIZI ICT DESTINATI AD ESSERE IMPIEGATI
NELLE RETI, SUI SISTEMI INFORMATIVI E PER L’ESPLETAMENTO DI
SERVIZI INFORMATICI INDIVIDUATI NELL’ELENCO TRASMESSO DALLA
PRESIDENZA E DAL MISE
PROCEDURE MODALITA’ E TERMINI SARANNO INDIVIDUATI CON REGOLAMENTO DCPM ENTRO
10 MESI
COMMITTENTI sono tenuti a dare comunicazione NOTFICA al Centro di valutazione e certificazione
nazionale (CVCN), istituito presso il Ministero dello sviluppo economico
IN 45 GIORNI ( PROGRABILI DI 15 ) IL CVCN PUO’ EFFETTUARE VERIFICHE
PRELIMINARI DA COMPIERE ANCHE IN COLLABORAZIONE CON I
SOGGETTI INCLUSI NEL PERIMETRO CIBERNETICO

14. I COMPITI DEL CVCN
CENTRO DI VALUTAZIONE E CERTIFICAZIONE
NAZIONALE
a) contribuisce all'elaborazione delle misure di sicurezza per l'affidamento di forniture di beni, sistemi e
servizi ICT;
b) , definisce le metodologie di verifica e di test preliminari in caso di affidamento, si potrà avvalere
anche di laboratori dallo stesso accreditati
c) elabora e adotta, previo conforme avviso dell'organismo tecnico di supporto al CISR, schemi di
certificazione cibernetica, tenendo conto degli standard definiti a livello internazionale e dell'Unione
europea, laddove, per ragioni di sicurezza nazionale, gli schemi di certificazione esistenti non siano
ritenuti adeguati alle esigenze di tutela del perimetro di sicurezza nazionale cibernetica

15. IL SISTEMA SANZIONATORIO
VIENE INSERITO UN ARTICOLATO SISTEMA SANZIONATORIO
PER I CASI DI VIOLAZIONE DEGLI OBBLIGHI PREVISTI
LE SANZIONI VENGONO IRROGATE DALLA PRESIDENZA DEL CONSIGLIO PER I SOGGETTI
PUBBLICI, DAL MINISTERO DELLO SVILUPPO ECONOMICO SE I TRASGRESSORI SONO PRIVATI.
VIENE INTRODOTTA UNA NUOVA FATTISPECIE DI
RESPONSABILITA PENALE EX ART. 231/2011

16. il mancato adempimento degli obblighi di predisposizione e di aggiornamento dell'elenco delle reti, dei sistemi informativi e dei servizi informatici è punito
con la sanzione amministrativa pecuniaria da euro 200.000 a euro 1.200.000;
il mancato adempimento dell'obbligo di notifica relative agli incidenti con impatto sulle reti nei termini prescritti, è punito con la sanzione amministrativa
pecuniaria da euro 250.000 a euro 1.500.000;
l'inosservanza delle misure predisposte per garantire elevati livelli di sicurezza delle reti dei sistemi informativi e informatici è punita con la sanzione
amministrativa pecuniaria da euro 250.000 a euro 1.500.000;
la mancata comunicazione da parte dei soggetti che intendono procedere all'affidamento di forniture di beni e servizi ITC nei termini prescritti, è punita con la
sanzione amministrativa pecuniaria da euro 300.000 a euro 1.800.000;
l'impiego di prodotti e servizi sulle reti, sui sistemi informativi e per l'espletamento dei servizi informatici di cui al comma 2, lettera b), in violazione delle
condizioni o in assenza del superamento dei test imposti dal CVCN ovvero dai Centri di valutazione, è punito con la sanzione amministrativa pecuniaria da
euro 300.000 a euro 1.800.000;
la mancata collaborazione per l'effettuazione delle attività di test è punita con la sanzione amministrativa pecuniaria da euro 250.000 a euro 1.500.000;
il mancato adempimento delle prescrizioni indicate dal Ministero dello sviluppo economico o dalla Presidenza del Consiglio dei ministri in esito alle attività di
ispezione e verifica è punito con la sanzione amministrativa pecuniaria da euro 250.000 a euro 1.500.000;
il mancato rispetto delle prescrizioni relative alle metodologie di test e di verifica, è punito con la sanzione amministrativa pecuniaria da euro 250.000 a euro
1.500.000;
l'impiego di prodotti e di servizi sulle reti, sui sistemi informativi e per l'espletamento dei servizi informatici in assenza della
comunicazione o del superamento dei test o nel mancato rispetto delle condizioni previste comporta anche l'applicazione
della sanzione amministrativa accessoria della incapacità ad assumere incarichi di direzione, amministrazione e controllo nelle
persone giuridiche e nelle imprese, per un periodo di tre anni a decorrere dalla data di accertamento della violazione.
Sanzioni amministrative

17. NUOVA FATTISPECIE DI REATO
Chiunque,
allo scopo di ostacolare o condizionare l'espletamento dei procedimenti di cui al comma 2,
lettera b) (trasmissione e formazione dei criteri di inclusione nel perimetro e di predisposizione
degli elenchi), o al comma 6, lettera a), o delle attivita' ispettive e di vigilanza previste dal
comma 6, lettera c),
fornisce informazioni, dati o elementi di fatto non rispondenti al vero, rilevanti per la
predisposizione o l'aggiornamento degli elenchi di cui al comma 2, lettera b), o ai fini delle
comunicazioni di cui al comma 6, lettera a), o per lo svolgimento delle attivita' ispettive e di
vigilanza di cui al comma 6), lettera c)
od omette di comunicare entro i termini prescritti i predetti dati, informazioni o elementi di
fatto, e' punito con la reclusione da uno a tre anni [e all'ente, responsabile ai sensi del decreto
legislativo 8 giugno 2001, n. 231, si applica la sanzione pecuniaria fino a quattrocento quote]

18. DISCIPLINA DI RACCORDO CON I
SOGGETTI DELLA NORMATIVA NIS
In ipotesi di sovrapposizione degli operatori dei servizi essenziali già soggetti alla Direttiva NIS,
essi dovranno continuare a ottemperare alle disposizioni previste dalla Direttiva stessa, integrando,
ove previsto le disposizioni individuate dal perimetro di sicurezza nazionale cibernetica.
La responsabilità di attuazione e vigilanza, per quanto riguarda il perimetro, sono condivise dal
Ministero per lo Sviluppo economico (per quanto concerne le attività che coinvolgono attori privati)
e dalla Presidenza del Consiglio (per le attività che coinvolgono il settore pubblico).

19. GRAZIE DELL’ ATTENZIONE
AVV. GAIA MORELLI
I M A G E C R E D I T S E L E N A R O M E N K O V A