Legge 28 giugno 2024, n. 90
Legge 90/2024 sulla cybersicurezza: gli adempimenti per Comuni ed enti pubblici
La legge sul rafforzamento della cybersicurezza nazionale impone ad alcune amministrazioni di segnalare e notificare gli incidenti all'ACN, di istituire una struttura per la cybersicurezza con un referente, di curare la crittografia e di tenere conto della sicurezza negli appalti ICT. AuditManagement trasforma il testo in un registro di adempimenti verificabili.
- 29
- adempimenti verificabili
- 24 · 72 ore
- segnalazione e notifica all'ACN
- 15 giorni
- per attuare le segnalazioni dell'ACN
- €0
- per le Pubbliche Amministrazioni
Chi è obbligato
L'art. 1, comma 1, elenca le amministrazioni centrali, le regioni, le città metropolitane, i Comuni con più di 100.000 abitanti e i capoluoghi di regione, le società di trasporto pubblico, le aziende sanitarie e le relative società in house. Per la grande maggioranza dei Comuni l'obbligo diretto non c'è: resta però il caso delle società partecipate, e il valore della legge come riferimento di buona pratica.
Non tutta la legge genera adempimenti
Molti articoli modificano il codice penale o disciplinano l'ACN. Gli adempimenti per un ente stanno in pochi articoli: notifica degli incidenti (art. 1), attuazione delle segnalazioni dell'ACN (art. 2), struttura e referente per la cybersicurezza con i documenti richiesti (art. 8), crittografia (art. 9), contratti pubblici di beni e servizi informatici (art. 14). Contare tutti gli articoli abbasserebbe di suo il punteggio dell'ente: il registro di AuditManagement contiene solo ciò che è verificabile.
I termini della notifica
- segnalazione entro 24 ore dal momento in cui si è venuti a conoscenza dell'incidente;
- notifica completa entro 72 ore dallo stesso momento;
- attuazione degli interventi segnalati dall'ACN entro 15 giorni dalla comunicazione, salvo differimento motivato e comunicato prima della scadenza.
Le scadenze si calcolano, non si scrivono: l'applicazione le ricava dall'istante della conoscenza e segnala quando il termine sta per scadere.
Struttura e referente per la cybersicurezza
L'art. 8 chiede di individuare una struttura con compiti precisi e un referente con competenze documentate. Il referente non coincide necessariamente con il Responsabile per la transizione digitale e va motivato, non solo nominato. Gli atti e i documenti richiesti dall'articolo sono distinti fra loro: un unico «documento di sicurezza» che pretende di assolverli tutti è l'errore più comune.
Appalti ICT
L'art. 14 chiede di tenere conto degli elementi di cybersicurezza nei contratti di beni e servizi informatici. Quali lettere si applicano dipende dal criterio di aggiudicazione; con l'offerta economicamente più vantaggiosa, il punteggio economico non può superare il 10%. L'applicazione verifica ogni procedura sul criterio dichiarato.
Come lo gestisce AuditManagement
Nel menu dell'applicazione le sezioni dedicate hanno 12 funzioni. Ecco che cosa fa ciascuna, con le stesse voci che si trovano nell'app.
Legge 90/2024Adempimenti
- Cruscotto Legge 90cruscottoQuadro d'insieme degli obblighi e delle scadenze
- Ambito & ReferenteChi è obbligato, la struttura dell'art. 8 e il referente comunicato all'ACN
- Gap Analysis AdempimentiI 29 adempimenti verificabili dei 7 articoli operativi
- Struttura della LeggeI 2 Capi, i 24 articoli e il testo ufficiale
- CorrispondenzeDove i 29 adempimenti della legge sono già presidiati dalle altre norme
Legge 90/2024Incidenti e Resilienza
- Notifiche degli IncidentiTassonomia ACN e termini di 24 e 72 ore (art. 1)
- Segnalazioni ACNVulnerabilità segnalate e quindici giorni per gli interventi (art. 2)
- Interventi & PianoPiano programmatico e potenziamento delle capacità (art. 8, lett. e-f)
Legge 90/2024Presidi e Verifiche
- Documenti ObbligatoriI quattro documenti dell'art. 8, comma 1
- Crittografia & PasswordVerifica delle soluzioni crittografiche in uso (art. 9)
- Approvvigionamento ICTElementi essenziali di cybersicurezza nelle gare (art. 14)
- Verifiche & IspezioniVerifiche interne e ispezioni ACN (art. 1, comma 5)
Tutte le funzioni sono incluse e gratuite per le Pubbliche Amministrazioni. Vedi l'elenco completo delle funzionalità.
Domande frequenti
Il nostro Comune ha meno di 100.000 abitanti: possiamo ignorare la Legge 90?
L'obbligo diretto non c'è, salvo per le società in house o partecipate che rientrano nell'elenco. Conviene comunque conservare la determinazione dell'ambito e usare la legge come riferimento.
La notifica all'ACN sostituisce quella al Garante privacy?
No. Se l'incidente coinvolge dati personali, la notifica al Garante entro 72 ore (art. 33 GDPR) resta dovuta e separata.