Nella pubblica amministrazione la sicurezza informatica è regolata da norme e indicazioni di più autorità. Una guida per orientarsi e capire cosa cambia nel lavoro quotidiano di funzionari e impiegati.
Chi lavora in un Comune, in una Regione, in un'azienda sanitaria o in un ministero sente parlare spesso di AgID, ACN, misure minime, cloud qualificato, NIS2. Sono riferimenti che riguardano soprattutto chi dirige e chi gestisce i sistemi, ma hanno effetti concreti anche sul lavoro di ogni giorno. Ecco una mappa per orientarsi.
AgID, l'Agenzia per l'Italia Digitale, coordina la trasformazione digitale della pubblica amministrazione. Elabora il Piano triennale per l'informatica nella PA ed emana linee guida su servizi digitali, documenti informatici, interoperabilità, accessibilità e altro.
ACN, l'Agenzia per la Cybersicurezza Nazionale, istituita nel 2021, è l'autorità nazionale per la cybersicurezza. Presso l'ACN opera il CSIRT Italia, che riceve le notifiche degli incidenti e pubblica avvisi sulle vulnerabilità. L'ACN è anche autorità competente per la NIS2 e per il Perimetro di sicurezza nazionale cibernetica.
Nel tempo alcune competenze sulla sicurezza sono passate da AgID ad ACN, ad esempio quelle sulla qualificazione dei servizi cloud per la PA.
Misure minime di sicurezza ICT. Introdotte da AgID con la circolare 2/2017, indicano i controlli di base che ogni amministrazione deve applicare ai propri sistemi.
Legge 90/2024. Per molte amministrazioni, tra cui Comuni con più di 100.000 abitanti, capoluoghi di Regione e aziende sanitarie, ha introdotto l'obbligo di segnalare gli incidenti all'ACN entro 24 ore e notificarli entro 72, di intervenire sulle vulnerabilità segnalate dall'Agenzia, di istituire una struttura per la cybersicurezza e di nominare un referente.
NIS2. Il decreto 138/2024 include tra i soggetti coinvolti le pubbliche amministrazioni centrali e altre amministrazioni individuate, con obblighi su misure di sicurezza, notifica degli incidenti e responsabilità dei vertici.
Cloud qualificato. Le amministrazioni devono usare servizi cloud che rispettano i requisiti stabiliti a livello nazionale, oggi di competenza dell'ACN.
GDPR. Vale per tutte le amministrazioni, che trattano grandi quantità di dati dei cittadini e devono nominare un responsabile della protezione dei dati.
Per funzionari e impiegati, queste norme si traducono in regole pratiche che è utile conoscere:
Ogni amministrazione dovrebbe avere riferimenti chiari: il servizio informatico, il responsabile per la transizione al digitale, il responsabile della protezione dei dati e, dove previsto, il referente per la cybersicurezza. Se non sai chi sono nel tuo ente, chiedilo: sono le persone da contattare in caso di dubbio o di incidente.
Le norme sulla sicurezza della PA possono sembrare lontane dalla scrivania, ma si reggono sulle abitudini di chi ci lavora. Conoscere le regole principali aiuta a capire perché esistono, e a fare la propria parte.
Dal 2017 le pubbliche amministrazioni devono applicare un insieme di controlli di sicurezza informatica definiti da AgID. Cosa prevedono, come sono organizzati e perché restano un riferimento utile.
Dalla Regione Lazio nel 2021 all'attacco al fornitore Westpole nel 2023, i ransomware hanno fermato servizi essenziali ai cittadini. Le lezioni utili per chi guida un ente pubblico.
Le misure di sicurezza di base devono essere operative e dimostrabili, e l'Agenzia per la Cybersicurezza Nazionale può passare alle verifiche. Cosa significa per chi guida un'organizzazione.