Dal 6 Maggio 2020, il nuovo organo CSIRT si inserisce nel quadro europeo della direttiva NIS emanata dal Parlamento Europeo, che prevede la creazione di CSIRT nazionali in tutti gli stati membri.

L’organismo, istituito presso il Dipartimento delle Informazioni per la Sicurezza (DIS) in attuazione del DPCM 8 agosto 2019, ha la funzione di raccogliere le segnalazioni e supportare i segnalanti nella gestione degli eventi di sicurezza. Il CSIRT Italia è composto da esperti di cyber security e lavora in collaborazione con il Nucleo per la Sicurezza Cibernetica (NSC) e con il punto di contatto unico NIS, completando il contesto previsto della direttiva UE 2016/1148.

La norma, invece, viene applicata agli Operatori di Servizi Essenziali (OSE) e ai Fornitori di Servizi Digitali (FSD) che, nel nostro paese, sono, rispettivamente:

• Operatori del settore dell’energia, dei trasporti, dell’ambito bancario, della sanità, delle acque potabili, dei mercati finanziari e delle infrastrutture digitali;
• Fornitori di servizi digitali come e-commerce, motori di ricerca e cloud computing.

Le funzioni sono, quindi, quelle di:

• monitoraggio degli incidenti a livello nazionale;
• emissione di preallarmi, allerte, annunci e divulgazione di informazioni alle parti interessate in merito a rischi e incidenti;
• intervento in caso di incidente;
• analisi dinamica dei rischi e degli incidenti;
• sensibilizzazione situazionale;
• partecipazione alla rete dei CSIRT.

Il CSIRT stabilisce relazioni di cooperazione con il settore privato.

Nell’ambito delle pubbliche amministrazioni, invece, il CERT-PA si è trasformato in CERT-AgID. La struttura si occupa, per conto di Agenzia per l’Italia Digitale (AgID), di mantenere e sviluppare servizi di sicurezza preventivi e attività di accompagnamento utili alle PA.

Sono, inoltre, in via di attivazione Computer Emergency Response Team (CERT) regionali con l’obiettivo di facilitare le attività di prevenzione e monitoraggio del CERT-PA, agendo come unità locali in grado di esercitare un controllo più diretto sul territorio e gestire tutti quegli incidenti di cyber security con impatto decentralizzato.

Per le aziende pubbliche e private, quindi, specialmente quelle direttamente soggette alla norma, è necessario maturare la cultura della cyber security attraverso l’attivazione di un team specializzato in analisi del rischio e nella risposta agli incidenti di sicurezza informatica.

Importante l’aspetto delle notifiche di incidenti, che prevede sanzioni in caso di mancato adempimento, come pure per la mancata adozione di misure di sicurezza preventive. Inoltre, si attende l’applicazione, ormai prossima, del Regolamento (UE) 2019/881, meglio conosciuto come “Cybersecurity Act”.

Area Sicurezza Informatica – Luca Di Nicola