DECRETO-LEGGE 14 giugno 2021, n. 82

Architettura nazionale della cybersicurezza

Il decreto ridefinisce l’assetto istituzionale italiano per proteggere reti, sistemi informativi, servizi informatici e comunicazioni elettroniche dalle minacce informatiche e rafforzare la resilienza nazionale nello spazio cibernetico. La disciplina coordina le competenze statali e istituisce l’Agenzia per la cybersicurezza nazionale, il Comitato interministeriale per la cybersicurezza (CIC) e il Nucleo per la cybersicurezza.

Definizioni e ambito

La cybersicurezza comprende le attività necessarie a proteggere reti, sistemi, servizi informatici e comunicazioni elettroniche, assicurandone disponibilità, confidenzialità, integrità e resilienza, anche a tutela della sicurezza e dell’interesse nazionale nello spazio cibernetico. Restano ferme le attribuzioni previste dalla legge n. 124/2007 e gli obblighi derivanti da trattati internazionali.

La resilienza nazionale nello spazio cibernetico consiste nelle attività volte a prevenire un pregiudizio per la sicurezza nazionale. Il testo richiama inoltre il decreto-legge n. 105/2019 sul perimetro di sicurezza nazionale cibernetica e definisce il decreto legislativo NIS come quello di recepimento della direttiva (UE) 2022/2555; la strategia nazionale è quella prevista dal medesimo decreto legislativo.

Direzione politica e deleghe

Al Presidente del Consiglio dei ministri spettano in via esclusiva l’alta direzione e la responsabilità generale delle politiche di cybersicurezza, l’adozione della strategia nazionale — sentito il CIC — e la nomina e revoca del direttore generale e del vice direttore generale dell’Agenzia, previa deliberazione del Consiglio dei ministri. Il Presidente impartisce direttive e adotta le disposizioni necessarie all’organizzazione e al funzionamento dell’Agenzia; informa preventivamente il COPASIR e le Commissioni parlamentari competenti delle nomine.

Il Presidente può delegare all’Autorità prevista dalla legge n. 124/2007, ove istituita, le funzioni non riservategli in via esclusiva. Rimane costantemente informato sull’esercizio delle funzioni delegate e può avocarne in qualsiasi momento, in tutto o in parte, l’esercizio. L’Autorità delegata partecipa, per tali funzioni, alle riunioni del Comitato interministeriale per la transizione digitale.

Comitato interministeriale per la cybersicurezza

Il CIC è istituito presso la Presidenza del Consiglio con funzioni di consulenza, proposta e vigilanza. Propone gli indirizzi generali nazionali, esercita l’alta sorveglianza sull’attuazione della strategia e promuove la collaborazione nazionale e internazionale tra istituzioni e operatori privati, la condivisione delle informazioni e le migliori pratiche, anche in funzione dello sviluppo industriale, tecnologico e scientifico. Esprime inoltre il parere sui bilanci preventivo e consuntivo dell’Agenzia.

È presieduto dal Presidente del Consiglio e composto dall’Autorità delegata, ove istituita, e dai ministri indicati nel testo, tra cui quelli degli affari esteri, dell’interno, della giustizia, della difesa, dell’economia, dello sviluppo economico, della transizione ecologica, dell’università e ricerca, dell’innovazione tecnologica e delle infrastrutture. Il direttore generale dell’Agenzia svolge le funzioni di segretario. Il Presidente può invitare alle sedute, senza diritto di voto, altri componenti del Governo e autorità civili o militari. Il CIC assume anche le funzioni attribuite al CISR dal decreto-legge sul perimetro cibernetico e dai relativi atti attuativi, salvo le funzioni espressamente eccettuate dal testo.

Agenzia: status, organi e organizzazione

L’Agenzia per la cybersicurezza nazionale è istituita con sede a Roma a tutela degli interessi nazionali. È una persona giuridica di diritto pubblico, dotata di autonomia regolamentare, amministrativa, patrimoniale, organizzativa, contabile e finanziaria nei limiti del decreto. Il Presidente del Consiglio e l’Autorità delegata se ne avvalgono per l’esercizio delle rispettive competenze.

Il direttore generale è scelto tra le categorie indicate dall’articolo 18, comma 2, della legge n. 400/1988 e deve avere documentata esperienza di elevato livello nella gestione di processi di innovazione. Direttore e vice direttore restano in carica al massimo quattro anni, con rinnovi successivi fino a una durata complessiva massima di ulteriori quattro anni. Se provengono da pubbliche amministrazioni, sono collocati fuori ruolo, in comando o in posizione analoga. Il direttore è referente del Presidente del Consiglio e dell’Autorità delegata, sovraordinato al personale e legale rappresentante dell’Agenzia. Può essere audito dal COPASIR.

L’organizzazione è disciplinata da un regolamento adottato con DPCM, di concerto con il Ministro dell’economia e delle finanze, previo parere delle Commissioni parlamentari competenti e, per i profili di competenza, del COPASIR, sentito il CIC. Il termine previsto è di 120 giorni dall’entrata in vigore della legge di conversione. Il regolamento disciplina anche le funzioni del direttore e del vice direttore, il Collegio dei revisori dei conti e l’eventuale istituzione di sedi secondarie.

I limiti organizzativi sono stati incrementati: dal 1° gennaio 2024 il numero massimo degli uffici dirigenziali generali è rideterminato in dodici e dal 1° gennaio 2025 quello delle articolazioni dirigenziali non generali in quaranta, nei limiti delle risorse destinate al personale. Nelle more dell’adeguamento regolamentare, il direttore generale può attivare le articolazioni previste e definirne funzioni e compiti. Il testo indica inoltre, per la prima applicazione, una dotazione organica complessiva di 300 unità: fino a 8 dirigenti generali, 24 dirigenti non generali e 268 unità non dirigenziali.

Competenze dell’Agenzia

L’Agenzia è Autorità nazionale per la cybersicurezza e coordina i soggetti pubblici competenti, nel rispetto delle attribuzioni delle altre amministrazioni e di quelle del Ministro dell’interno quale autorità nazionale di pubblica sicurezza. Promuove azioni comuni per la sicurezza e resilienza cibernetica, la digitalizzazione del Paese e l’autonomia nazionale ed europea in prodotti e processi informatici strategici. Per i sistemi relativi a informazioni classificate restano ferme le competenze e le regole previste dalla legge n. 124/2007.

Predispone la strategia nazionale e supporta il funzionamento del Nucleo. È Autorità nazionale competente NIS e punto di contatto unico NIS, Autorità nazionale di gestione delle crisi informatiche e CSIRT nazionale, denominato CSIRT Italia. È inoltre Autorità nazionale di certificazione ai sensi del regolamento (UE) 2019/881: assume le funzioni già spettanti al Ministero dello sviluppo economico, comprese quelle di accertamento delle violazioni e irrogazione delle sanzioni; accredita le strutture specializzate dei Ministeri della difesa e dell’interno come organismi di valutazione della conformità e delega loro il rilascio del certificato europeo di sicurezza cibernetica. È anche autorità competente per i compiti previsti dal regolamento delegato (UE) 2024/1366.

Assume le funzioni in materia di cybersicurezza precedentemente attribuite al Ministero dello sviluppo economico, alla Presidenza del Consiglio, al Dipartimento delle informazioni per la sicurezza (DIS) e all’Agenzia per l’Italia digitale, nei limiti specificati dal decreto. Ciò comprende le funzioni sul perimetro di sicurezza nazionale cibernetica, le ispezioni e verifiche, l’accertamento delle violazioni e le sanzioni, la sicurezza e integrità delle comunicazioni elettroniche, la disciplina NIS e le funzioni tecniche previste dal Codice dell’amministrazione digitale. Sono fatte salve le eccezioni indicate per specifiche competenze e per il regolamento sul perimetro. Le funzioni trasferite dal DIS sono state trasferite all’Agenzia dal 16 settembre 2021, secondo il DPCM richiamato nel testo. Il Centro di valutazione e certificazione nazionale è trasferito dal Ministero dello sviluppo economico all’Agenzia.

L’Agenzia sviluppa capacità di prevenzione, monitoraggio, rilevamento, analisi e risposta agli incidenti e agli attacchi, anche tramite CSIRT Italia e partenariati pubblico-privati. Può analizzare gli incidenti e sostenere il contenimento e il ripristino dei sistemi compromessi, in collaborazione con i soggetti colpiti. La mancata collaborazione può essere valutata ai fini delle sanzioni previste dal decreto sul perimetro, per i soggetti ivi individuati, per i soggetti essenziali e importanti NIS e per i soggetti indicati dal Codice delle comunicazioni elettroniche. Sono esclusi gli organi dello Stato preposti a funzioni di polizia, ordine e sicurezza pubblica, difesa e sicurezza militare, nonché gli organismi di informazione per la sicurezza.

Raccoglie, elabora e classifica i dati delle notifiche di incidente dovute in base alla normativa vigente; i dati sono pubblicati come riferimenti ufficiali sugli attacchi ai soggetti operanti in settori rilevanti per gli interessi nazionali, nell’ambito della relazione prevista dal decreto. Partecipa a esercitazioni nazionali e internazionali e cura l’aggiornamento e la coerenza del quadro giuridico nazionale, esprimendo pareri non vincolanti sulle iniziative legislative e regolamentari in materia.

Sviluppo tecnologico, cooperazione e formazione

L’Agenzia promuove standard, linee guida e raccomandazioni per la sicurezza informatica, valuta la sicurezza dei sistemi crittografici e diffonde l’uso della crittografia, anche in relazione alla blockchain. Favorisce la collaborazione con università e centri di ricerca per lo sviluppo di algoritmi proprietari e di capacità crittografiche nazionali. A tal fine istituisce, senza nuovi o maggiori oneri per la finanza pubblica, il Centro nazionale di crittografia, competente per gli aspetti crittografici in ambito non classificato; restano ferme le competenze degli organismi previsti dalla legge n. 124/2007 per le informazioni classificate.

Provvede alla qualificazione dei servizi cloud per la pubblica amministrazione e promuove iniziative per valorizzare l’intelligenza artificiale come risorsa per la cybersicurezza. Sostiene ricerca, trasferimento tecnologico, sviluppo industriale e scientifico, formazione e reclutamento di personale specializzato, anche mediante progetti, borse di studio, dottorati e assegni di ricerca. Può predisporre formazione specifica per giovani aderenti al servizio civile, il cui servizio è comunque riconosciuto a tutti gli effetti come servizio civile.

Coordina, d’intesa con il Ministero degli affari esteri, la cooperazione internazionale e i rapporti con gli organismi europei e internazionali, assicurando il raccordo con le amministrazioni titolari di competenze specifiche. Può stipulare accordi bilaterali e multilaterali, promuovere la partecipazione italiana a programmi e iniziative e concludere accordi con privati e partenariati pubblico-privati. Può partecipare, previa autorizzazione del Presidente del Consiglio, a consorzi, fondazioni o società con soggetti italiani o dell’Unione europea; la partecipazione con soggetti di Paesi NATO o extraeuropei è subordinata all’interesse nazionale, all’autorizzazione e, per i Paesi extraeuropei, agli accordi di cooperazione o partenariato previsti dal testo. L’Agenzia è inoltre designata Centro nazionale di coordinamento ai sensi del regolamento (UE) 2021/887 e Autorità di vigilanza del mercato e punto di contatto unico ai sensi del regolamento (UE) 2024/1689 e della legge n. 132/2025.

Presso l’Agenzia opera un Comitato tecnico-scientifico consultivo e propositivo, presieduto dal direttore generale o da un dirigente delegato e composto da personale dell’Agenzia e rappresentanti qualificati dell’industria, della ricerca, dell’accademia e delle associazioni del settore. I componenti sono designati con DPCM; la partecipazione non dà diritto a compensi, gettoni o rimborsi. Il testo prevede inoltre la nomina, con DPCM, del rappresentante italiano e del sostituto nel Consiglio di direzione del Centro europeo di competenza per la cybersicurezza.

Nucleo per la cybersicurezza e gestione delle crisi

Presso l’Agenzia è costituito stabilmente il Nucleo per la cybersicurezza, che supporta il Presidente del Consiglio nella prevenzione e preparazione alle crisi e nell’attivazione delle procedure di allertamento. È presieduto dal direttore generale dell’Agenzia o dal vice direttore delegato e include rappresentanti del DIS, AISE, AISI, dei ministeri presenti nel CIC, della protezione civile e dell’AgID, oltre al Consigliere militare del Presidente del Consiglio. Per le informazioni classificate partecipa anche un rappresentante dell’Ufficio centrale per la segretezza. Il Nucleo può coinvolgere, in funzione degli argomenti, altre amministrazioni, università, enti di ricerca e operatori privati; può riunirsi in composizione ristretta e, per questioni di particolare rilevanza, con rappresentanti della Direzione nazionale antimafia e antiterrorismo, della Banca d’Italia o di operatori del perimetro. Ai componenti non spettano compensi, gettoni o rimborsi.

Il Nucleo può proporre iniziative nazionali e internazionali, pianificare la risposta alle crisi secondo le direttive del Presidente del Consiglio, elaborare procedure interministeriali raccordate con la difesa civile e la protezione civile e coordinare esercitazioni. Promuove la condivisione di informazioni e gli allarmi, acquisisce comunicazioni su violazioni o tentativi significativi e riceve da CSIRT Italia le notifiche di incidente. Se gli eventi non possono essere fronteggiati ordinariamente dalle singole amministrazioni e richiedono decisioni coordinate, informa tempestivamente il Presidente del Consiglio o l’Autorità delegata e attiva il raccordo interministeriale.

Nelle crisi cibernetiche, il Nucleo è integrato, secondo necessità, da rappresentanti autorizzati a impegnare il Ministero della salute e il Dipartimento dei Vigili del fuoco, del soccorso pubblico e della difesa civile; possono partecipare altre amministrazioni, enti e soggetti interessati. Il Nucleo coordina le attività di reazione e stabilizzazione, mantiene informato il Presidente del Consiglio con aggiornamenti sulla situazione, coordina l’attuazione interministeriale delle sue determinazioni, raccoglie i dati, elabora rapporti e informazioni e partecipa ai meccanismi europei e ai collegamenti internazionali di gestione delle crisi. Se il CISR è convocato dal Presidente del Consiglio per la gestione di tali crisi, partecipano anche il Ministro delegato per l’innovazione tecnologica e il direttore generale dell’Agenzia.

Risorse, contabilità e contratti

Lo stanziamento annuale dell’Agenzia è determinato con la legge di bilancio sulla base del fabbisogno annuo definito dal Presidente del Consiglio e previamente comunicato al COPASIR. Le entrate comprendono dotazioni e contributi ordinari, corrispettivi per servizi, proventi da proprietà industriale e prodotti dell’ingegno, altri proventi patrimoniali e di gestione, contributi dell’Unione europea e di organismi internazionali, proventi delle sanzioni e ogni altra entrata.

Il regolamento di contabilità è adottato con DPCM, di concerto con il Ministro dell’economia e delle finanze, su proposta del direttore generale, previo parere del COPASIR e sentito il CIC, entro 120 giorni dall’entrata in vigore della legge di conversione. Il bilancio preventivo e quello consuntivo sono adottati dal direttore generale, approvati con DPCM previo parere del CIC e sottoposti al controllo della Corte dei conti. Il consuntivo e la relazione della Corte sono trasmessi alle Commissioni parlamentari competenti e al COPASIR.

Un ulteriore regolamento, da adottare entro lo stesso termine di 120 giorni, disciplina le procedure per gli appalti di lavori, beni e servizi destinati alle attività di tutela della sicurezza nazionale nello spazio cibernetico. Il regolamento è adottato con DPCM su proposta del direttore generale, previo parere del COPASIR e sentito il CIC; resta ferma la disciplina richiamata dell’articolo 162 del decreto legislativo n. 50/2016.

Personale

Un apposito regolamento disciplina reclutamento, ordinamento, rapporto d’impiego e trattamento economico e previdenziale del personale, anche in deroga alle disposizioni vigenti indicate dal decreto. Per il personale appartenente al ruolo dell’Agenzia è previsto un trattamento economico pari a quello dei dipendenti della Banca d’Italia; l’equiparazione economica e previdenziale considera le anzianità maturate dopo l’inquadramento nei ruoli dell’Agenzia.

Il regolamento può prevedere assunzioni a tempo indeterminato mediante concorso e assunzioni a tempo determinato con contratti di diritto privato per persone con alta e particolare specializzazione, da selezionare con procedure adeguate, per attività indispensabili o progetti a termine. È ammesso un contingente di non oltre 50 esperti, provenienti da pubbliche amministrazioni — escluso il personale docente, educativo, amministrativo, tecnico e ausiliario delle istituzioni scolastiche — oppure dal settore privato, purché dotati di elevate competenze in cybersicurezza, tecnologie digitali e trasformazione tecnologica. Il regolamento disciplina inoltre la percentuale massima di personale a tempo determinato, l’impiego di personale della Difesa, le incompatibilità, le progressioni di carriera, la negoziazione con le rappresentanze del personale, la proprietà intellettuale dei dipendenti e le cause di cessazione o risoluzione del rapporto.

Per le assunzioni non dirigenziali a tempo indeterminato può essere riservato fino al 50 per cento dei posti a titolari di rapporti a tempo determinato presso l’Agenzia e a personale proveniente dalle società a controllo pubblico richiamate dal testo, purché in possesso dei requisiti di inquadramento e con almeno due anni di servizio continuativo presso l’Agenzia alla data di pubblicazione del bando. Il testo consente inoltre assunzioni a tempo determinato di professori universitari di ruolo e ricercatori universitari confermati secondo la disciplina richiamata del DPR n. 382/1980.

Rapporti con il Garante per la protezione dei dati personali

Nel rispetto delle competenze del Garante, l’Agenzia lo consulta e collabora con esso per le finalità del decreto, anche in relazione agli incidenti che comportano violazioni di dati personali. Le due istituzioni possono stipulare protocolli d’intenti per definire le modalità di collaborazione, utilizzando le risorse disponibili e senza nuovi o maggiori oneri per la finanza pubblica.