Nuova legge 90/2024 sulla Cybersicurezza

Cosa Devi Sapere e Come Adeguarti
Il 2 luglio 2024 è stata pubblicata nella Gazzetta Ufficiale la Legge 28 giugno 2024, n. 90, con “Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici” (nota come “Legge sulla Cybersicurezza”).

A chi si rivolge?
Questa legge riguarda:

• Pubbliche amministrazioni centrali
• Città metropolitane 
• Comuni con popolazione superiore a 100.000 abitanti
• Comuni capoluoghi di regione
• Società di trasporto pubblico urbano ed extraurbano con bacino di utenza non inferiore a 100.000 abitanti
• Aziende sanitarie locali
• Società in house degli enti sopra menzionati, fornitrici di servizi informatici, di trasporto, gestione delle acque e dei rifiuti

Cosa prevede?
Dotarsi di una struttura per la cybersicurezza:

• Sviluppare politiche e procedure di sicurezza delle informazioni.
• Aggiornare sistemi di analisi preventiva e gestione del rischio informatico.
• Definire ruoli e organizzazione del sistema di sicurezza delle informazioni.
• Produrre un piano programmatico per la sicurezza di dati, sistemi e infrastrutture.
• Pianificare interventi per la gestione dei rischi informatici.
• Adottare misure previste dalle linee guida dell’Agenzia per la cybersicurezza nazionale.
• Monitorare e valutare continuamente le minacce alla sicurezza e le vulnerabilità dei sistemi.

Istituire un referente per la cybersicurezza: Ogni ente deve nominare un referente dedicato alla gestione della sicurezza informatica.

Segnalare gli incidenti entro 24 ore

Immediati: Per pubbliche amministrazioni centrali, regioni, province autonome e città metropolitane.

Entro 180 giorni: Per gli altri soggetti elencati.

Sanzioni per la mancata osservanza
In caso di inosservanza dell’obbligo di notifica degli incidenti o mancata adozione di interventi di sicurezza segnalati dall’Agenzia, la stessa invierà una comunicazione di avviso. Il reiterato inadempimento nell’arco di 5 anni comporterà una sanzione amministrativa pecuniaria da 25.000 a 125.000 euro. Inoltre, tale violazione può costituire causa di responsabilità disciplinare e amministrativo-contabile per i funzionari e i dirigenti responsabili.

Nuova Fattispecie di Reato: Estorsione Informatica
La legge introduce un nuovo reato legato all’estorsione informatica, punibile con la reclusione da sei a dodici anni e con la multa da 5.000 a 10.000 euro. Questo mira a contrastare principalmente gli attacchi ransomware, limitando i pagamenti dei riscatti richiesti dalle organizzazioni criminali.

Questa legge rappresenta un passo significativo verso il rafforzamento della sicurezza informatica nazionale, proteggendo le infrastrutture critiche e migliorando la resilienza contro le minacce informatiche.

Digimetrica
Dal 2001 cybersecurity al servizio delle aziende
Visita il Profilo Linkedin