DDL Cybersicurezza: le novità previste dal disegno di legge 

Negli ultimi anni l’Italia ha rafforzato l’attenzione verso la sicurezza informatica, dall’approvazione della Legge 90 del 2024, che ha reso cogenti numerosi obblighi per enti pubblici e operatori strategici, fino alla recezione della direttiva europea NIS2 prevista per febbraio 2025.

Il DDL Cybersicurezza rappresenta l’ultimo passaggio volto a consolidare questo percorso, sancendo nuove responsabilità, poteri e strumenti operativi per contrastare le minacce digitali in un Paese sempre più connesso e vulnerabile. 

Il disegno di legge, approvato dal Consiglio dei Ministri e ormai definitivo, delinea un quadro avanzato di misure. Da un lato estende il perimetro di applicazione agli attori essenziali e alle pubbliche amministrazioni, richiedendo strutture interne dedicate e registrazioni ufficiali. Dall’altro, prevede forti sanzioni per la mancata segnalazione degli incidenti, l’introduzione di reati informatici innovativi, maggiore cooperazione con intelligence e una centralità rafforzata per l’Agenzia per la Cybersicurezza Nazionale (ACN). 

Obblighi per PA e aziende con il DDL Cybersicurezza: governance e resilienza 

Il DDL Cybersicurezza punta innanzitutto a innalzare la capacità di risposta delle pubbliche amministrazioni. Le PA sono tenute a dotarsi di strutture interne dedicate alla gestione del rischio di sicurezza informatica, con una chiara assegnazione di responsabilità a figure come il “referente cybersicurezza” e l’obbligo di registrazione sul portale ACN. La registrazione permette a governo e autorità competenti di identificare con precisione i soggetti obbligati e monitorarne lo stato di compliance. 

Questo percorso governance è affiancato da un incremento delle misure di resilienza: ciò significa adottare protocolli, piani di risposta agli incidenti, audit periodici e sistemi di monitoraggio continuo, integrati con il framework europeo NIS2 che entra in vigore nel 2025. 

DDL Cybersicurezza: notifica degli incidenti e sanzioni 

Tra le novità più incisive, il DDL stabilisce l’obbligo di segnalare entro 24 ore la scoperta di un attacco informatico rilevante, con la presentazione di un report completo entro 72 ore. Questo regime di notifica tempestiva impone livelli di reazione e trasparenza mai visti prima.  

Chi non rispetta questi obblighi rischia sanzioni severe, fino a un massimo di 125 000 euro, come previsto per le Pubbliche Amministrazioni non conformi agli obblighi introdotti con il DDL Cybersicurezza. 

Reati informatici, inasprimenti e nuove fattispecie del DDL Cybersicurezza 

Il Disegno di Legge prevede un aggiornamento del codice penale, con pene più severe per reati già previsti come l’accesso abusivo, il danneggiamento di sistemi e l’estorsione informatica, oltre all’introduzione di aggravanti per crimini compiuti tramite malware o con finalità terroristiche.  

Inoltre, l’integrazione di intelligence e autorità giudiziarie nelle procedure di risposta pone le fondamenta per un approccio molto più rigoroso sul piano investigativo e repressivo. 

Il ruolo centrale dell’Agenzia per Cybersicurezza Nazionale 

Il DDL Cybersicurezza rafforza le competenze dell’Agenzia per la Cybersicurezza Nazionale (ACN), che diventa autorità nazionale di riferimento. Essa assume il coordinamento tecnico e operativo, gestisce la certificazione (anche per servizi cloud destinati alla PA) e affianca le PA nel percorso di compliance.  

Il testo di legge ridefinisce anche la composizione e le funzioni del Comitato interministeriale per la cybersicurezza e introduce norme di reclutamento e incompatibilità per il personale ACN. 

Standard nei contratti IT della PA e infrastrutture critiche 

Il DDL Cybersicurezza impone l’inserimento di clausole stringenti nei contratti pubblici di beni e servizi ICT, stabilendo requisiti minimi di sicurezza per tutelare infrastrutture strategiche. Un apposito DPCM, da emanare entro 120 giorni dall’entrata in vigore, definirà poi i dettagli operativi e tecnici.  

Tale disposizione mira a rafforzare la cyber-resilienza dell’intero ecosistema ICT pubblico, in linea con la normativa NIS2. 

DDL Cybersicurezza e integrazione con la normativa NIS2 e le Direttive UE 

La legge nazionale si colloca in un contesto più ampio di recepimento del regolamento eIDAS 2.0 e del pacchetto NIS2 della Commissione Europea. Le nuove misure italiane, infatti, si integrano perfettamente con le direttive europee, in particolare richiedendo la registrazione dei soggetti “essenziali” e “strategici”, la governance interna delle PA e i controlli lungo la supply chain. 

Benefici e impatti per aziende e PA del DDL Cybersicurezza 

Dal punto di vista operativo, l’adozione di queste norme comporta un miglioramento della capacità di prevenzione, riduzione dei tempi di reazione e aumento della trasparenza verso cittadini e stakeholder.  

Le PA potranno contare su criteri uniformi per la selezione di fornitori ICT, con una evidente crescita di sicurezza nelle infrastrutture strategiche. Dal lato privato, le aziende fornitrici di servizi ICT alla PA dovranno adeguarsi a standard minimi o rischiare di essere escluse dai bandi. 

Raccomandazioni operative per la compliance al DDL Cybersicurezza 

Le organizzazioni, che si tratti di amministrazioni pubbliche o imprese rientranti nel perimetro NIS2, dovranno attivare alcune azioni concrete. In particolare, è consigliabile: 

• definire un registro degli incidenti; 

• nominare figure dedicate alla cybersicurezza; 

• redigere dei piani tecnici di risposta; 

• garantire l’aggiornamento dei sistemi.  

Occorrerà inoltre predisporre strutture interne che dialoghino con l’ACN e valutare innesti di competenze tecniche o organizzative. L’abilitazione a bandi pubblici di forniture ICT, inoltre, impone di inserire clausole di sicurezza solide nei contratti. 

Il DDL Cybersicurezza 2025 rappresenta un salto di qualità nella maturazione del sistema italiano in materia di difesa digitale. Rafforza le responsabilità delle istituzioni pubbliche, introduce obblighi puntuali e tempistici nella gestione degli incidenti, inasprisce le sanzioni, aggiorna i reati informatici e conferisce all’ACN un ruolo centrale.  

Il provvedimento si colloca nel solco della strategia nazionale e europea, puntando a un’architettura cibernetica integrata, resiliente e sicura. Tuttavia, per aziende e pubbliche amministrazioni la sfida è concreta: trasformare questi obblighi in processi operativi, sistemi organizzati e culture consapevoli, mantenendo sintonia con evoluzioni normative e aggiornamenti tecnologici.  

Il traguardo, più che un fine, è l’avvio di un percorso continuo di cyber-resilienza e innovazione, in grado di elevare la credibilità e l’efficacia del sistema Italia nel cyberspazio. 

Domande Frequenti