Cybersecurity nella Diplomazia Digitale: Protezione degli Interessi Nazionali e Nuove Sfide nella Governance Globale

Premessa

Negli ultimi anni, la cybersecurity è emersa come uno dei temi più critici e rilevanti nell’ambito della governance e della gestione pubblica. La crescente digitalizzazione ha portato con sé nuove sfide in ambito cybersecurity, con impatti rilevanti sulla tutela dei diritti nazionali e internazionali. A questo proposito, la cybersecurity è diventato uno strumento fondamentale per la diplomazia digitale, per garantire una tutela maggiore contro le minacce informatiche, che possono compromettere la stabilità degli interessi nazionali in un panorama internazionale.

Con l’aumento vertiginoso delle minacce informatiche e la crescente digitalizzazione dei servizi pubblici, le amministrazioni si trovano a dover affrontare sfide nella salvaguardia dei dati sensibili, nella protezione delle infrastrutture critiche e nella tutela della sovranità digitale.

La complessità del panorama normativo, che include regolamenti come il GDPR e la direttiva NIS, richiede una riflessione approfondita su come le normative esistenti possano adattarsi per rispondere efficacemente a queste sfide.

Il diritto amministrativo, in questo contesto, gioca un ruolo fondamentale nell’adozione di misure di sicurezza informatica e nella definizione delle responsabilità delle pubbliche amministrazioni. Esplorare il rapporto tra cybersecurity e diritto amministrativo non solo permette di comprendere le lacune normative attuali, ma offre anche l’opportunità di sviluppare approcci migliori e più sostenibili per la protezione dei dati e la gestione dei rischi informatici. Questo approccio consente di ridurre le barriere geopolitiche e facilitare la cooperazione internazionale tra gli Stati.

In questo contesto, la cybersecurity non rappresenta soltanto una sfida di natura tecnica, ma costituisce una componente essenziale della tutela degli interessi nazionali. Gli Stati sono chiamati a garantire la sicurezza delle proprie risorse digitali, che comprendono tanto le comunicazioni governative e diplomatiche quanto le infrastrutture critiche, come le reti energetiche e le piattaforme di comunicazione.

La protezione dei dati e delle comunicazioni diplomatiche è essenziale per preservare l’integrità delle relazioni internazionali e per evitare la compromissione dei processi negoziali. Inoltre, la protezione contro gli attacchi informatici ha implicazioni dirette per la sicurezza nazionale, in quanto gli attacchi cibernetici possono mirare a destabilizzare l’economia, la politica e la società di un Paese.

In tale ottica, molti Paesi hanno sviluppato politiche e strategie nazionali per la cybersicurezza, creando agenzie governative specializzate nella protezione delle infrastrutture digitali e nella gestione delle minacce cibernetiche. Alcuni Stati hanno anche istituito leggi specifiche per monitorare e sanzionare le attività di cyber-spionaggio e di attacchi cibernetici perpetrati da entità esterne.

Questa pubblicazione si propone di analizzare il quadro normativo vigente, identificare le principali criticità e proporre linee guida per un’efficace integrazione della cybersecurity nel diritto amministrativo, garantendo così un futuro più sicuro per le istituzioni pubbliche e i cittadini.

1. Decreto Legge 105/2019 e Legge n. 90 del 2024

La legge sulla sicurezza cibernetica 105/2019, che implementa a livello nazionale il Regolamento (UE) 2016/679 (GDPR), è stata introdotta a fronte delle necessità di realizzare infrastrutture tecnologiche, idonee ad affrontare situazioni di emergenza in ambito cibernetico, predisponendo organi, tali da garantire una valutazione delle misure di sicurezza adottate a livello internazionale.

Il decreto legge stabilisce che il perimetro di sicurezza nazionale cibernetica trova applicazione nei casi in cui dalla prestazione di un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato, possa derivare un pregiudizio per la sicurezza nazionale.

Tali prestazioni possono essere svolte dalle amministrazioni pubbliche, enti e operatori pubblici e privati, che presentano i seguenti criteri:

1) il soggetto esercita una funzione essenziale dello Stato, ovvero assicura un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato;
2) l’esercizio di tale funzione o la prestazione di tale servizio dipende da reti, sistemi informativi e servizi informatici;
2-bis) l’individuazione avviene sulla base di un criterio di gradualità, tenendo conto dell’entità del pregiudizio per la sicurezza nazionale che, in relazione alle specificità dei diversi settori di attività, può derivare dal malfunzionamento, dall’interruzione, anche parziali, ovvero dall’utilizzo improprio delle reti, dei sistemi informativi e dei servizi informatici predetti.[2]

Inoltre, l’articolo 3 definisce le procedure secondo cui i soggetti notificano incidenti aventi impatto su reti, sistemi informativi e servizi informatici al Gruppo di intervento per la sicurezza informatica in caso di incidente italiano. Quest’ultimo inoltra tali notifiche, tempestivamente al Dipartimento delle informazioni per la sicurezza anche per le attività demandate al Nucleo per la sicurezza cibernetica, il quale assicura la trasmissione delle notifiche così ricevute all’organo del Ministero dell’interno per la sicurezza e la regolarità dei servizi di telecomunicazione, nonché alla Presidenza del Consiglio dei ministri, se provenienti da un soggetto pubblico o da un soggetto di cui all’articolo 29 del decreto legislativo 7 marzo 2005, n. 82[3], ovvero al Ministero dello sviluppo economico, se effettuate da un soggetto privato.

Il decreto-legge n. 105 del 2019 è volto a garantire un elevato livello di sicurezza per le reti, i sistemi informativi e i servizi digitali delle amministrazioni pubbliche, nonché degli enti e operatori nazionali, sia pubblici che privati. A tal fine, introduce un perimetro di sicurezza nazionale cibernetica e prevede misure specifiche per ridurre i rischi e garantire adeguati standard di protezione.

Durante l’esame in prima lettura alla Camera, oltre alle modifiche apportate al testo, sono state inserite nuove disposizioni relative all’esercizio dei poteri speciali del Governo.

In particolare, l’istituzione del perimetro di sicurezza nazionale cibernetica è demandata a un decreto del Presidente del Consiglio dei ministri (DPCM), da adottare su proposta del Comitato interministeriale per la sicurezza della Repubblica (CISR), previo parere delle competenti Commissioni parlamentari, entro quattro mesi dall’entrata in vigore della legge di conversione.

Entro dieci mesi dalla conversione in legge, un ulteriore DPCM stabilirà le procedure per la notifica degli incidenti informatici che coinvolgono reti, sistemi e servizi rientranti nel perimetro di sicurezza nazionale, nonché le misure di protezione da adottare. Questi decreti saranno aggiornati almeno ogni due anni con la stessa procedura prevista per la loro adozione.

Un regolamento, anch’esso da adottare con DPCM entro dieci mesi, definirà le modalità con cui amministrazioni pubbliche, enti e operatori nazionali inclusi nel perimetro dovranno gestire l’acquisto di beni, sistemi e servizi ICT destinati a reti e infrastrutture critiche. Tale regolamento individuerà le categorie di beni rilevanti, sulla base di criteri tecnici definiti da un ulteriore decreto del Presidente del Consiglio dei ministri.

Il decreto attribuisce specifici compiti al Centro di valutazione e certificazione nazionale (CVCN) riguardo all’approvvigionamento di prodotti e servizi ICT destinati a infrastrutture critiche. Inoltre, stabilisce obblighi per operatori di servizi essenziali, fornitori di servizi digitali e imprese di telecomunicazioni rientranti nel perimetro di sicurezza nazionale.

È previsto, inoltre, che il Presidente del Consiglio, su deliberazione del CISR, possa disporre la disattivazione, totale o parziale, di apparati o prodotti utilizzati in reti e sistemi strategici. Entro 30 giorni, dovrà informare il Comitato parlamentare per la sicurezza della Repubblica (Copasir) sulle misure adottate.

Il coordinamento dell’attuazione del decreto è affidato al Presidente del Consiglio dei ministri, con il supporto del Dipartimento delle informazioni per la sicurezza (DIS), che garantisce il raccordo tra le autorità competenti e i soggetti coinvolti. Il Presidente del Consiglio riferirà periodicamente alle Camere sull’attuazione delle misure previste.

Viene inoltre istituito un Centro di valutazione (CEVA) presso il Ministero dell’Interno, accreditato presso il CVCN, che – analogamente al centro già presente presso il Ministero della Difesa – dovrà adottare specifiche metodologie di verifica e test. Con DPCM verranno definiti gli obblighi informativi tra questi centri e il CVCN.

Il decreto introduce un sistema sanzionatorio per le violazioni degli obblighi previsti, individuando le autorità competenti per l’accertamento delle infrazioni e l’irrogazione delle sanzioni. Queste autorità sono inoltre chiamate a coordinarsi con il DIS e con l’organo del Ministero dell’Interno preposto alla sicurezza delle telecomunicazioni.

Il provvedimento prevede l’assunzione di un massimo di 77 unità di personale per il CVCN, di cui 67 per l’area terza e 10 per l’area seconda, per garantire le necessarie competenze professionali. Inoltre, la Presidenza del Consiglio potrà assumere fino a dieci unità di personale non dirigenziale per attività di digitalizzazione, attraverso concorsi pubblici.

Sono previste disposizioni per armonizzare il decreto-legge con la normativa sui poteri speciali del Governo nei servizi di comunicazione 5G e nei settori ad alta intensità tecnologica (cd. golden power).

Un profilo che merita attenzione riguarda l’esercizio dei poteri da parte del Gruppo di Coordinamento e del Consiglio dei ministri

Un aspetto discusso è stato quello del tasso di sindacabilità giurisdizionale delle decisioni.

Questo tema non è banale, soprattutto se si considera che, in altri ordinamenti, l’esercizio di poteri simili ai nostri golden powers è caratterizzato da una discrezionalità quasi illimitata. È quanto accade nel modello statunitense, come dimostrato dalle decisioni giurisprudenziali in alcuni casi relativi all’esercizio di tale potere. Un esempio significativo è rappresentato dalla sentenza della Corte distrettuale della Columbia, che ha esaminato l’impugnazione dell’executive order con cui il Presidente Obama bloccò l’investimento e l’acquisizione da parte della società cinese Ralls Corporation in quattro aziende americane. In quella sede, il giudice, nel respingere le richieste, ha sottolineato la sostanziale insindacabilità giurisdizionale delle decisioni presidenziali, non riconoscendo alla Ralls alcun interesse meritevole di protezione. Il principio affermato è che “nessuno può vantare un diritto acquisito a condurre commercio estero con gli Stati Uniti”, indicando che non esiste una posizione soggettiva protetta in questo ambito, se non sotto il profilo della correttezza procedimentale. Questo tipo di approccio, tuttavia, non si applica al sistema italiano, né ad altri ordinamenti europei.

Infatti, l’esercizio dei poteri da parte del Gruppo di Coordinamento e del Consiglio dei Ministri non si configura come un’attività politica in senso tecnico, cioè come attività libera nella scelta dei fini. La legge stabilisce infatti i presupposti per l’esercizio di tale potere.

Si tratta di un’attività amministrativa soggetta al principio di proporzionalità, come stabilito dalla giurisprudenza della Corte di Giustizia dell’Unione Europea. Tuttavia, l’esercizio di questi poteri implica un’alta discrezionalità, disciplinata da concetti come “minaccia di grave pregiudizio per gli interessi essenziali”[4], che sono ancora più indeterminati rispetto ad altri settori, come quello dell’antitrust.

Pertanto, l’esercizio dei golden powers implica valutazioni che non sono frutto solo di una discrezionalità tecnica, ma anche di una discrezionalità amministrativa, che coinvolge gli interessi primari dello Stato.

Questo porta al tema degli spazi di sindacabilità delle decisioni. La rimediabilità delle decisioni è fuori discussione e, sotto questo aspetto, l’Italia si differenzia dagli Stati Uniti, così come la Francia e la Germania, dove, invece, l’esercizio dei golden powers è sottoposto al controllo giurisdizionale da parte del giudice amministrativo, che ha competenza anche sul merito delle decisioni. Le decisioni del Consiglio dei Ministri, quindi, sono indubbiamente contestabili davanti alla giustizia amministrativa, anche per quanto riguarda il rispetto dei principi di proporzionalità e obiettività derivanti dal diritto europeo.

Tale impostazione è ulteriormente confermata dal regolamento UE n. 452/2019, che ammette esplicitamente il ricorso contro gli atti degli Stati membri riguardanti il controllo degli investimenti esteri diretti. In questo contesto, è importante sottolineare che, per quanto riguarda la possibilità di non esercitare i golden powers, la legge attribuisce al Gruppo di Coordinamento il potere di chiudere il procedimento senza passaggio in Consiglio dei Ministri, sempre che vi sia unanimità nelle posizioni e si decida di non esercitare tali poteri.

Un caso recente di rilevanza è stato trattato dal TAR Lazio[5], che ha esaminato un ricorso riguardante l’acquisizione da parte di un operatore cinese (Syngenta) di una holding italiana (Verisem), con partecipazioni in aziende del settore agroalimentare.

L’operazione era stata ostacolata dal Consiglio dei Ministri, che aveva preso una decisione contraria rispetto alla proposta del Gruppo di Coordinamento, il quale aveva suggerito di autorizzare l’acquisizione con delle prescrizioni. Il TAR Lazio ha affermato che le decisioni relative ai golden powers sono “scelte di alta amministrazione” e quindi sindacabili dal giudice amministrativo, sebbene il sindacato giurisdizionale sia limitato ai casi di manifesta illogicità delle decisioni. Si tratta, infatti, di provvedimenti che implicano una discrezionalità elevata, sia tecnica che amministrativa; questo non esclude il controllo giurisdizionale, ma implica che esso si concentri sulla legittimità procedimentale e sulla congruenza delle misure adottate.

Il TAR Lazio, inoltre, ha ritenuto legittima la decisione del Consiglio dei Ministri, sottolineando che il decreto di veto conteneva una giustificazione razionale per l’impossibilità di adottare misure meno gravose, considerando che l’effettivo proprietario della società acquirente era il Governo cinese e che l’attuazione di misure di enforcement efficaci sarebbe stata complessa in caso di inottemperanza alle prescrizioni. Questo passaggio è significativo perché mette in luce come la proporzionalità delle misure adottate in relazione all’esercizio dei golden powers non debba limitarsi a una valutazione astratta dell’idoneità delle prescrizioni, ma debba anche tenere conto della loro effettiva attuabilità e monitoraggio da parte dell’amministrazione.

In sintesi, la sentenza del TAR Lazio non costituisce un cambiamento radicale nelle modalità di sindacato giurisdizionale, ma solleva questioni rilevanti in merito alla proporzionalità delle misure adottate nel contesto dei golden powers, mettendo in evidenza come le decisioni debbano essere giustificate in relazione alla loro effettiva applicabilità e capacità di proteggere gli interessi strategici dello Stato.

Infine, l’articolo 4-bis del decreto modifica il decreto-legge n. 21 del 2012 in materia di poteri speciali nei settori della difesa, sicurezza nazionale, energia, trasporti e comunicazioni.

Tra le principali novità:

• estensione dei termini per l’esercizio dei poteri speciali e rafforzamento delle informative da parte delle imprese detentrici di asset strategici;
• ampliamento dell’ambito di applicazione di alcuni poteri speciali;
• modifica e integrazione degli obblighi di notifica connessi all’esercizio dei poteri speciali;
• revisione della disciplina relativa al 5G per garantire un procedimento simmetrico rispetto agli altri settori strategici;
• ridefinizione del concetto di “soggetto esterno all’Unione europea” e precisazione dei criteri per valutare l’impatto di investimenti esteri sulla sicurezza nazionale.

In Italia, per garantire la sicurezza cibernetica a livello nazionale, è stata istituita con il decreto legge 14 giugno 2021, n.82, l’Agenzia per la Cybersicurezza Nazionale, ente pubblico non economico, con autonomia organizzativa, funzionale, patrimoniale e contabile, dotata di personalità giuridica di diritto pubblico e sottoposta alla vigilanza del Presidente del Consiglio dei ministri.

L’Agenzia ha il compito di garantire la sicurezza cibernetica a livello nazionale, svolgendo attività di prevenzione, monitoraggio, gestione degli incidenti e coordinamento delle operazioni di risposta agli attacchi informatici, con particolare attenzione alle infrastrutture critiche e ai servizi essenziali per la sicurezza nazionale.

L’Agenzia si occupa di: progettare, sviluppare e attuare politiche nazionali in materia di cybersicurezza, in coerenza con gli obiettivi strategici europei; coordinare gli interventi di protezione delle reti, dei sistemi informativi e delle comunicazioni elettroniche di soggetti pubblici e privati; monitorare costantemente le minacce cibernetiche e fornire supporto tecnico e operativo agli enti coinvolti nella protezione delle infrastrutture strategiche; promuovere attività di sensibilizzazione, formazione e aggiornamento sulle tematiche di cybersicurezza per le pubbliche amministrazioni, le imprese e i cittadini;

supportare la gestione delle crisi informatiche, anche in situazioni di emergenza, e collaborare con le istituzioni internazionali per contrastare le minacce globali.

Opera in stretta collaborazione con le altre autorità competenti, come l’Autorità per la Privacy e le Forze dell’Ordine, e può avvalersi di esperti e risorse provenienti anche dal settore privato per implementare misure preventive e reattive più efficaci.

L’Agenzia, in conformità con le disposizioni europee e internazionali, coordina le azioni di difesa cibernetica e facilita il trasferimento di informazioni rilevanti sulle minacce e vulnerabilità tra i vari soggetti nazionali ed internazionali, al fine di rafforzare la sicurezza del Paese.

A febbraio 2025, l’Agenzia ha pubblicato il nuovo Operational Summary redatto dal Servizio Operazioni e gestione delle crisi cibernetiche:

• A febbraio 2025 si è registrato un aumento del numero di eventi mentre il numero di incidenti è rimasto sostanzialmente nella media del semestre. I settori con il maggior numero di hashtag #vittime registrate sono stati: Pubblica amministrazione locale, Pubblica amministrazione centrale e Energia. L’aumento degli eventi nel settore della Pubblica Amministrazione Centrale è riconducibile agli attacchi DDoS.
• Nel mese di febbraio, l’Italia ha registrato un’intensificazione delle attività di hacktivismo, caratterizzate da attacchi hashtag #DDoS ed alcuni hashtag #defacement contro soggetti pubblici e privati. Le operazioni, riconducibili a gruppi con finalità politico-ideologiche, hanno visto il coinvolgimento di diversi collettivi filorussi e di altri attori legati principalmente alla causa palestinese.
• e campagne offensive sono state indirizzate contro siti web della pubblica amministrazione, nonché di aziende operanti nei settori dei trasporti e dei servizi finanziari. Tali azioni sono state impiegate come mezzo per ottenere visibilità mediatica e amplificare il messaggio propagandistico delle rivendicazioni. A conferma di ciò, dei 181 attacchi DDoS rilevati nel periodo, solo il 3% ha determinato disservizi, che si sono rivelati comunque di carattere temporaneo (tipicamente circa un’ora di irraggiungibilità della risorsa attaccata).
• Tra le attività riconducibili a gruppi hacktivisti, sono state osservate operazioni di defacement di alcuni siti web. Le azioni, finalizzate unicamente alla diffusione di messaggi propagandistici, hanno prodotto impatti limitati, colpendo prevalentemente siti web di piccole realtà aziendali, in maggioranza nel settore tecnologico, caratterizzate da livelli di protezione ridotti.
• L’aumento dei numeri relativi al hashtag #ransomware è dovuto, invece, ad un solo attacco che ha compromesso la disponibilità dei sistemi informatici di un’azienda del settore energetico e la conseguente erogazione dei servizi ai suoi clienti, determinando così disservizi su altri operatori del settore.[6]

Ritornando alla normativa sulla cybersicurezza, quest’ultima ha subito significative evoluzioni negli ultimi anni, culminando nell’adozione della Legge 28 Giugno 2024, n.90.

La legge introduce misure per rafforzare la cybersicurezza nazionale e contrastare i reati informatici a tutela degli interessi nazionali strategici.  In particolare, si fa riferimento a modifiche legislative che riguardano l’articolo 7 della legge 12 agosto 1962, n. 1311, che introduce verifiche sul rispetto delle prescrizioni di sicurezza negli accessi alle banche dati presso gli uffici giudiziari. Inoltre, l’articolo 24 stabilisce disposizioni finanziarie, specificando che non devono derivare nuovi oneri a carico della finanza pubblica e che i proventi delle sanzioni confluiscono nelle entrate dell’Agenzia per la cybersicurezza nazionale. Altri articoli, come l’articolo 1, delineano gli obblighi di notifica di incidenti per le pubbliche amministrazioni e le aziende sanitarie locali, mentre l’articolo 14 tratta della disciplina dei contratti pubblici di beni e servizi informatici. Infine, l’articolo 16 apporta modifiche al codice penale riguardanti le pene per reati informatici, aumentando le sanzioni per comportamenti illeciti legati alla cybersicurezza.

Nonostante la Legge n. 90 del 28 Giugno 2024 cerca di colmare le lacune nell’ambito della protezione dei dati personali e contrastare i reati che possano compromettere la tutela dei dati sensibili, sono emerse alcune minacce ai diritti fondamentali e alla regolarità del processo.

A tal proposito, la Giunta dell’Unione e l’Osservatorio “Scienza, processo e intelligenza artificiale” hanno evidenziato, alle Commissioni Affari Costituzionali e Giustizia della Camera dei deputati, come tra le innovazioni presentate dal testo di legge, sia rilevante l’espunto il divieto di prevalenza e/o equivalenza, ex art. 69 c.p., delle circostanze attenuanti rispetto alle varie aggravanti di nuovo conio.

La Giunta e dell’Osservatorio “Scienza, processo e intelligenza artificiale” ribadiscono l’illegittimità costituzionale come affermato dalla Corte Costituzionale.[7]

In particolare, sono i seguenti i punti maggiormente criticati:

alcuni dei punti più duramente stigmatizzati. In particolare:

1. Gli articoli 16, 17 e 19 vedono l’introduzione di nuove ipotesi di reato e nuove circostanze aggravanti che paiono davvero inadeguate a fornire una risposta efficace alle esigenze di sicurezza oggetto della nuova Legge. Identica valutazione può essere svolta per le nuove cornici edittali previste per i reati già esistenti, fortemente inasprite, per le nuove ipotesi di confisca obbligatoria (art. 16, c. 1, lett. a) e per l’inasprimento delle sanzioni pecuniarie e l’allargamento delle sanzioni interdittive ex d.lgs. 231/2001 (art. 20);
2. Permane l’implementazione del catalogo dei reati informatici suscettibili di intercettazione telematica (art. 19);
3. In caso di accertamenti tecnici non ripetibili per i delitti di cui all’art. 371-bis, comma 4-bis c.p.p. (come novellato proprio dal provvedimento de quo), viene introdotta la facoltà per l’Agenzia per la Cybersicurezza nazionale, di assistere al conferimento dell’incarico e partecipare agli accertamenti, anche quando si procede nelle forme dell’incidente probatorio (art. 22 co. 4-bis.4).[8]

• Il regolamento (UE) 2016/679 (GDPR) e la direttiva NIS

Nel contesto della crescente digitalizzazione della società, la protezione dei dati personali e la sicurezza delle reti e dei sistemi informatici sono diventati temi centrali per l’Unione Europea. Due strumenti normativi fondamentali in questo ambito sono il Regolamento (UE) 2016/679 (GDPR) e la Direttiva NIS, entrambi volti a garantire la sicurezza e la tutela delle informazioni nel panorama digitale europeo.

Il GDPR è entrato in vigore il 25 maggio 2018, sostituendo la precedente Direttiva 95/46/CE. Il suo scopo principale è garantire una maggiore protezione dei dati personali dei cittadini dell’UE e armonizzare la normativa tra gli Stati membri, stabilendo regole chiare e vincolanti per tutti i soggetti che trattano tali dati.

I principi fondamentali del GDPR includono:

• Liceità, correttezza e trasparenza nel trattamento dei dati.
• Limitazione della finalità, ovvero i dati devono essere raccolti per scopi specifici e legittimi.
• Minimizzazione dei dati, trattando solo le informazioni strettamente necessarie.
• Accuratezza e aggiornamento dei dati.
• Limitazione della conservazione, evitando la conservazione oltre il tempo necessario.
• Integrità e riservatezza, garantendo adeguata protezione dei dati da accessi non autorizzati.

Uno degli aspetti innovativi del GDPR è il principio di accountability, che impone alle aziende di dimostrare la conformità alle norme, attraverso misure come la nomina di un Responsabile della Protezione dei Dati (DPO) e la conduzione di valutazioni d’impatto sulla protezione dei dati (DPIA).

Le sanzioni previste per la violazione del GDPR sono particolarmente severe, arrivando fino al 4% del fatturato annuo globale o 20 milioni di euro, garantendo così un forte incentivo al rispetto della normativa.

La Direttiva NIS e la Sicurezza delle Reti e dei Sistemi Informatici accanto alla protezione dei dati personali, la sicurezza delle reti e dei sistemi informatici è un altro elemento essenziale per la stabilità e la resilienza dell’ecosistema digitale europeo. A tal fine, l’UE ha adottato la Direttiva NIS (Network and Information Security), entrata in vigore nel 2016 e recepita dagli Stati membri entro il 2018.

La Direttiva NIS impone obblighi di sicurezza a due categorie di soggetti:

• Operatori di Servizi Essenziali (OSE): aziende che operano in settori critici come energia, trasporti, sanità e fornitura di acqua potabile.
• Fornitori di Servizi Digitali (FSD): aziende che forniscono servizi online essenziali come marketplace, motori di ricerca e servizi di cloud computing.

Questi soggetti devono adottare misure tecniche e organizzative adeguate a prevenire e mitigare incidenti di sicurezza, nonché notificare alle autorità competenti eventuali violazioni.

Un elemento chiave della Direttiva NIS è la cooperazione tra gli Stati membri attraverso il Gruppo di Cooperazione NIS, che promuove lo scambio di informazioni e best practices per migliorare la sicurezza informatica a livello europeo.

Il GDPR e la Direttiva NIS rappresentano due pilastri fondamentali nella strategia dell’Unione Europea per garantire la sicurezza digitale. Mentre il GDPR protegge i dati personali degli individui, la Direttiva NIS mira a rafforzare la resilienza delle infrastrutture critiche contro attacchi informatici e incidenti di sicurezza. Entrambe le normative impongono obblighi stringenti a enti pubblici e privati, promuovendo una maggiore consapevolezza e responsabilità nella gestione delle informazioni digitali.

Un’altra connessione tra il GDPR e la Diretta riguarda incidenti che comportano una violazione dei dati personali. Infatti la direttiva NIS 2, che è stata adottata per rafforzare la sicurezza delle reti e dei sistemi informativi in tutta l’UE, si interseca con il GDPR, che disciplina la protezione dei dati personali. In particolare, quando si verifica un incidente che comporta una violazione dei dati personali, è essenziale che le autorità competenti e le autorità di controllo in materia di protezione dei dati collaborino strettamente. L’articolo 31, paragrafo 3 della Diretta stabilisce che, in caso di incidente che comporti una violazione dei dati personali, le autorità competenti (responsabili della sicurezza delle reti e dei sistemi) devono cooperare con le autorità di controllo in materia di protezione dei dati, come richiesto dal GDPR. Ciò implica che quando un incidente di sicurezza riguarda dati personali, c’è un obbligo di collaborazione tra gli organismi responsabili della sicurezza informatica e quelli della protezione dei dati. Una disciplina dettagliata è contenuta nell’articolo 35 della NIS, il quale stabilisce che nell’ambito di attività di vigilanza o di esecuzione, se le autorità competenti scoprono che un incidente di sicurezza potrebbe comportare una violazione dei dati personali, devono informare senza indebito ritardo le autorità di controllo competenti (quelle designate per la protezione dei dati personali) come previsto dagli articoli 55 e 56 del GDPR. In altre parole, la NIS 2 non solo stabilisce l’obbligo di notificare l’incidente, ma lo fa anche in stretta connessione con le disposizioni del GDPR, che regolano la notifica delle violazioni di dati personali.

In questo contesto si inserisce il GDPR. L’articolo 33 stabilisce che, qualora si verifichi una violazione dei dati personali, questa deve essere notificata all’autorità di protezione dei dati senza indebito ritardo, e comunque entro 72 ore dal momento in cui se ne è venuti a conoscenza. L’informazione tempestiva alle autorità competenti, come stabilito dalla NIS 2, facilita il rispetto degli obblighi di notifica e assicura che le misure correttive possano essere adottate rapidamente.

La stretta collaborazione tra le autorità competenti in materia di sicurezza e quelle di protezione dei dati è cruciale per una gestione efficace degli incidenti di sicurezza, specialmente quando questi riguardano dati personali. Ciò garantisce una risposta coordinata e un monitoraggio più efficiente dell’incidente.

Nell’era della trasformazione digitale, il rispetto di queste normative non solo tutela i diritti dei cittadini, ma contribuisce anche a rafforzare la fiducia nelle tecnologie e nei servizi digitali, elementi essenziali per la crescita economica e la sicurezza dell’Unione Europea.

• Il ruolo del Diritto Internazionale nella Cybersecurity

A livello internazionale, la questione della cybersecurity e della protezione degli interessi nazionali è regolata da trattati, convenzioni e normative multilaterali. Organizzazioni come le Nazioni Unite e l’Unione Europea hanno adottato risoluzioni e iniziative per sviluppare un quadro giuridico comune che favorisca la cooperazione tra Stati nella difesa contro le minacce cibernetiche. Ad esempio, la Convenzione di Budapest sulla criminalità informatica stabilisce norme internazionali per la cooperazione nella lotta contro il crimine informatico.

La Convenzione di Budapest, adottata dal Consiglio d’Europa nel 2001, è il primo trattato internazionale volto a contrastare la criminalità informatica attraverso un’armonizzazione delle legislazioni nazionali e una cooperazione transnazionale. Lo scopo del Consiglio d’Europa è quello di predisporre una politica comune in campo penale per perseguire reati commessi con le reti informatiche e informazioni acquisite in formato elettronico. Risulterebbe un deterrente per azioni dirette contro la segretezza, l’integrità e la disponibilità dei sistemi informatici.

La Convenzione sulla criminalità informatica, i suoi protocolli addizionali e la decisione (UE) 2023/436 rappresentano un impegno internazionale a fronteggiare i crimini informatici e a migliorare la cooperazione tra Stati nella lotta alla criminalità che utilizza la tecnologia. La convenzione fornisce una base giuridica per la criminalizzazione di comportamenti come l’accesso illegale ai sistemi informatici, la manipolazione dei dati, la frode informatica e la diffusione di contenuti illeciti, come il materiale pedopornografico. Essa include anche poteri procedurali per raccogliere prove elettroniche e una piattaforma per la cooperazione internazionale tra le parti, che condividono esperienze e informazioni.

In particolare, i due protocolli addizionali ampliano il campo di applicazione della convenzione:

• Il primo protocollo addizionale si concentra sulla criminalizzazione della diffusione di materiale razzista e xenofobo tramite i sistemi informatici. Esso mira a garantire una protezione maggiore alle vittime e a rafforzare la cooperazione internazionale contro i crimini d’odio online.
• Il secondo protocollo addizionale si concentra sulla difficoltà di raccogliere prove elettroniche in contesti transnazionali. Offre nuove basi giuridiche per richiedere informazioni a prestatori di servizi in giurisdizioni straniere e per rafforzare la cooperazione tra i governi, anche in situazioni di emergenza. Questo protocollo ha l’obiettivo di facilitare l’accesso alle informazioni sugli abbonati e sui dati del traffico, accelerando la cooperazione investigativa tra Stati.

La decisione (UE) 2023/436 permette agli Stati membri dell’Unione Europea di ratificare il secondo protocollo addizionale nell’interesse dell’Unione stessa. Essa stabilisce che gli Stati membri devono adottare riserve, dichiarazioni e comunicazioni specifiche per garantire la compatibilità del protocollo con il diritto dell’UE. Non tutti gli Stati membri sono vincolati da questa decisione: la Danimarca e l’Irlanda, infatti, non hanno partecipato alla sua adozione e non sono soggetti alla sua applicazione.

Questi strumenti internazionali rappresentano uno sforzo condiviso per affrontare le sfide poste dalla criminalità informatica e migliorare la cooperazione tra le nazioni, aumentando la protezione dei cittadini e la sicurezza del ciberspazio a livello globale.

Rilevante è il contributo di Bruce Schneier nella sua opera “Data and Goliath: The Hidden Battles to Collect Your Data and Control Your World”.

Questo testo mette in evidenza un tema fondamentale nella nostra vita quotidiana moderna: la sorveglianza tramite i dispositivi che usiamo senza nemmeno pensarci, come il cellulare. In modo quasi impercettibile, stiamo costantemente generando e condividendo dati sulla nostra posizione, abitudini e interazioni. In effetti, il cellulare è diventato una sorta di “finestra” sul nostro mondo personale, registrando dove andiamo, con chi ci troviamo e cosa facciamo.

Il punto che sottolinea l’autore è che questi dati, pur essendo utilizzati per migliorare i servizi (come le mappe o le app di navigazione), sono anche una risorsa molto ambita e possono essere sfruttati per fini molto più controversi, come la sorveglianza da parte di governi, forze dell’ordine, aziende e persino criminali. L’analisi dei dati sulla posizione, infatti, non è limitata alle forze dell’ordine per risolvere crimini, ma è anche usata per fare pubblicità mirate, tracciare comportamenti e vendere informazioni a terzi.

Ciò che colpisce è come questo processo avvenga in modo tanto naturale e invisibile, tanto che non ci pensiamo mai a cosa accade con i nostri dati mentre li utilizziamo. Non siamo nemmeno pienamente consapevoli di quanto sia prezioso il nostro comportamento “digitale”, che viene trasformato in un profilo dettagliato che può essere usato per molti scopi.

La storia di Target è un esempio paradigmatico di come le aziende sfruttano i nostri comportamenti di consumo per fare previsioni e personalizzare la pubblicità in modo sempre più mirato. Il caso di Target, in cui una donna incinta è stata identificata dai suoi acquisti prima ancora che lei stessa fosse consapevole della gravidanza, illustra la potenza dei dati nella previsione dei comportamenti umani, anche quando non siamo consapevoli di esserne il soggetto.

Questa pratica di analizzare enormi quantità di dati, sia per vendere pubblicità che per altri scopi, come la progettazione di prodotti migliori o il miglioramento delle politiche pubbliche, è ciò che viene chiamato data mining. Esso è essenziale in molti settori, dai social network come Facebook e Twitter, fino alla ricerca medica e alle aziende automobilistiche. Tuttavia, la vera potenza dei big data risiede nella capacità di acquisire informazioni da una massa di dati apparentemente insignificanti.

Come accennato nel testo, l’informazione derivata dal data mining non è sempre quella che pensavamo di raccogliere in origine. Le aziende, i governi e persino le istituzioni accademiche traggono valore dalle inferenze che possono fare sui nostri comportamenti, preferenze e attività. Ad esempio, se un’azienda ha accesso ai tuoi dati di posizione, può facilmente dedurre dove ti piace mangiare, dove lavori o dove vivi. Se analizzano le tue comunicazioni online, possono determinare chi sono i tuoi amici o cosa ti interessa.

Queste informazioni, apparentemente innocue, diventano estremamente potenti e, a volte, anche preoccupanti quando le compagnie iniziano a usarle per indirizzarci con una pubblicità sempre più personalizzata. Come nel caso di Target, non sempre siamo consapevoli di quanto accuratamente questi sistemi possano prevedere le nostre scelte o addirittura anticipare i nostri comportamenti.

Il concetto di “salvare tutto e trovare un uso per tutto” è una promessa che sembra infinita: più dati raccogliamo, più possibilità ci sono di trarre conclusioni sorprendenti e potenzialmente utili. Ma ciò solleva anche importanti questioni etiche e di privacy. Quando i nostri dati vengono trattati in questo modo, chi ha il controllo su di essi? Siamo davvero consapevoli del valore che stiamo generando e dei rischi che ne derivano? Cosa succede quando i dati vengono usati in modo improprio o senza il nostro consenso esplicito?

Tuttavia, la frequenza degli interventi di cybersecurity è in crescita a livello europeo. Tali incidenti rappresentano una grave minaccia al sistema di informazione e creano danni rilevanti alle infrastrutture critiche.

Si prendi alla guerra di aggressione della Russia nei confronti dell’Ucraina. Tali aggressioni incidono sul sistema di informazione e spesso coinvolgono servizi pubblici locali, ostacolando l’attività economica, generando perdite finanziare, non solo locale ma sugli altri sistemi democratici dell’Unione.

Tali incidenti non sono circoscritti a una determinata area geografica ma si verificano contemporaneamente in numerosi paesi.

Pertanto, occorre una cooperazione tra gli Stati, sostenendo la diplomazia digitale e consolidando il livello di cibersicurezza come raccomandato in diverse proposte della Conferenza sul futuro dell’Europa.

L’Unione ha adottato una serie di misure per accrescere la stabilità delle infrastrutture critiche, come il regolamento (UE) 2019/881[9], le direttive 2013/4/UE[10] e la raccomandazione (UE) 2017/1584 della Commissione[11].

Per migliorare la solidarietà degli Stati dell’Unione, il Consiglio ha adottato due atti legislativi che fanno parte del Regolamento sulla cibersolitarietà il 2 dicembre 2024.

Il presente regolamento apporta delle modifiche al regolamento (UE) 2021/694, aggiungendo nuovi obiettivi che mirano a garantire l’integrità e l’affidabilità del mercato europeo digitale. Tale sistema europeo supporterebbe gli Stati membri, le istituzioni contro le minacce informatiche, attenuandone l’effetto. Il regolamento si prefigge di regolamentare diversamente la partecipazione dei soggetti giuridici stabiliti nell’Unione ma controllati da paesi terzi, in quanto la partecipazione di tali soggetti porterebbe vantaggi superiori rispetto ai rischi per la sicurezza.

L’articolo 4 “Poli informatici nazionali” stabilisce che qualora decida di partecipare al sistema europeo di allerta per la cibersicurezza, uno Stato membro designa o, se del caso, istituisce un polo informatico nazionale. Il polo informatico nazionale è un soggetto unico che agisce sotto l’autorità di uno Stato membro. Può trattarsi di un CSIRT o, se del caso, di un’autorità nazionale di gestione delle crisi informatiche o di un’altra autorità competente designata o istituita a norma dell’articolo 8, paragrafo 1, della direttiva (UE) 2022/2555, o di un altro soggetto. Il polo informatico nazionale:

a) ha la capacità di fungere da punto di riferimento e da porta di accesso ad altre organizzazioni pubbliche e private a livello nazionale per la raccolta e l’analisi di informazioni sulle minacce e sugli incidenti informatici e per contribuire a un polo informatico transfrontaliero di cui all’articolo 5;

b) è in grado di rilevare, aggregare e analizzare dati e informazioni relativi alle minacce e agli incidenti informatici, come le analisi sulle minacce informatiche, utilizzando in particolare tecnologie all’avanguardia, al fine di prevenire gli incidenti.

Inoltre, qualora almeno tre Stati membri siano impegnati a garantire che i rispettivi poli informatici nazionali collaborino per coordinare le loro attività di rilevamento e di monitoraggio delle minacce informatiche, tali Stati membri possono istituire un consorzio ospitante ai fini del presente regolamento. Un consorzio ospitante è composto da almeno tre Stati membri partecipanti che abbiano concordato di stabilire e sostenere l’acquisizione di strumenti, infrastrutture o servizi per un polo informatico transfrontaliero.[12]

La creazione di poli informatici transfrontalieri e la rete di CSIRT è uno strumento che permette ai paesi di perseguire i principi che condividono e che hanno informato la creazione dell’Unione, vale a dire la democrazia, lo Stato di diritto, l’universalità e indivisibilità dei diritti umani e delle libertà fondamentali, il rispetto della dignità umana, i principi di uguaglianza e solidarietà e il rispetto dei principi della Carta delle Nazioni Unite e del diritto internazionale, e che non pregiudicano gli interessi essenziali dell’Unione o dei suoi Stati membri in materia di sicurezza. Tali principi non potrebbero essere perseguiti dai singoli Stati, ma possono essere conseguiti meglio a livello di Unione, quest’ultima può intervenire in base al principio di sussidiarietà sancito dall’articolo 5 del trattato sull’Unione europea.

• Il caso Space X

​

Il caso riguardante SpaceX e le trattative con il governo italiano per un possibile contratto da 1,5 miliardi di euro ha suscitato ampio interesse e discussione sia a livello nazionale che internazionale.

Nel gennaio 2025, sono emerse notizie secondo cui il governo italiano, in particolare sotto la leadership della premier Giorgia Meloni, stava negoziando un accordo con SpaceX, l’azienda fondata da Elon Musk. Questo accordo prevederebbe la fornitura di servizi di telecomunicazioni sicure, con l’intento di supportare le infrastrutture nazionali, comprese quelle militari, in materia di comunicazioni criptate. Secondo le informazioni trapelate, l’accordo sarebbe stato del valore di 1,5 miliardi di euro e avrebbe coinvolto principalmente Starlink, la divisione di SpaceX che offre servizi di internet satellitare.

Le trattative sono state influenzate dalla visita ufficiale di Giorgia Meloni negli Stati Uniti, dove ha incontrato Donald Trump, ex presidente degli Stati Uniti e alleato di Musk. La visita ha dato slancio alle discussioni e ha favorito l’accelerazione dei negoziati tra l’Italia e SpaceX. Tuttavia, la presenza di Musk, un imprenditore molto noto e controverso, e la sua relazione con Trump, hanno sollevato interrogativi e preoccupazioni politiche in Italia, soprattutto in relazione alla sicurezza nazionale e al rischio di dipendere da un’entità privata straniera per servizi di importanza strategica.

Il governo italiano ha rapidamente smentito che un contratto fosse stato finalizzato. Palazzo Chigi, la sede del governo, ha chiarito che si trattava solo di discussioni preliminari e che non erano stati firmati accordi definitivi con SpaceX. Nonostante ciò, la notizia ha alimentato il dibattito pubblico, con molte voci politiche che chiedevano maggiore trasparenza sui dettagli delle trattative.

L’idea di affidare un contratto strategico di telecomunicazioni a una compagnia privata straniera ha suscitato un ampio dibattito politico in Italia. I partiti di opposizione, tra cui il Partito Democratico e i Cinque Stelle, hanno sollevato preoccupazioni sulla sicurezza nazionale e hanno chiesto chiarimenti sul fatto che il governo stesse considerando un accordo con una compagnia legata a un imprenditore americano influente come Musk, che potrebbe avere potenziali conflitti di interesse.

Alcuni analisti politici hanno anche evidenziato la delicatezza del momento, dato che le dinamiche geopolitiche legate alla sicurezza delle telecomunicazioni sono sempre più influenzate da potenze globali come gli Stati Uniti, la Cina e la Russia. Il rischio di delegare servizi critici a un’entità esterna, soprattutto con i legami politici tra Musk e Trump, ha sollevato ulteriori perplessità.

Il contratto previsto con SpaceX avrebbe dovuto concentrarsi su una serie di tecnologie legate alla sicurezza nazionale, comprese le comunicazioni satellitari. Tuttavia, a causa delle polemiche interne e delle preoccupazioni geopolitiche, le trattative hanno subito un rallentamento. A marzo 2025, il ministro della Difesa italiano, Guido Crosetto, ha dichiarato che le discussioni con Starlink, la divisione di SpaceX, sono state sospese a causa di “tensioni politiche e dichiarazioni pubbliche”. Non sono stati forniti dettagli specifici su quali dichiarazioni avessero causato questo impasse, ma l’atteggiamento di Musk e le sue posizioni pubbliche su temi politici hanno probabilmente contribuito a queste difficoltà.

SpaceX, attraverso il suo servizio Starlink, ha dimostrato di essere un attore fondamentale nel campo delle telecomunicazioni satellitari, specialmente per le aree più remote o in situazioni di emergenza. La capacità di Starlink di fornire connessioni internet in tempo reale anche in scenari di guerra o disastro ha attirato l’attenzione di numerosi governi, tra cui quello italiano. Tuttavia, il controllo da parte di una compagnia privata di queste infrastrutture critiche ha sollevato interrogativi sulla possibilità che una potenza straniera possa influenzare le comunicazioni sensibili.

Al momento, non sono stati siglati accordi definitivi tra SpaceX e l’Italia, e le trattative continuano a essere in fase di stallo. La situazione politica in Italia potrebbe evolvere, influenzando la possibilità di un accordo con Musk. Tuttavia, le preoccupazioni legate alla sicurezza nazionale e la relazione geopolitica con gli Stati Uniti rimangono aspetti centrali nelle discussioni future. Le polemiche politiche continuano a crescere, e ci si aspetta che nuove informazioni emergano nei prossimi mesi.[13][14]

Conclusioni

L’analisi condotta evidenzia come la cybersecurity sia ormai un elemento imprescindibile della diplomazia digitale, assumendo un ruolo strategico nella protezione degli interessi nazionali e nella definizione degli equilibri geopolitici globali. La crescente digitalizzazione e la proliferazione delle minacce informatiche hanno reso necessaria una risposta coordinata tra governi, organizzazioni internazionali e attori privati, per garantire la sicurezza delle infrastrutture critiche e la tutela della sovranità digitale.

Tuttavia, permangono nodi irrisolti che richiedono un approccio più incisivo. La frammentazione normativa tra diversi ordinamenti giuridici e la difficoltà di definire standard condivisi a livello internazionale ostacolano la creazione di un quadro regolamentare efficace. Inoltre, la competizione tra Stati per il dominio tecnologico genera tensioni che rischiano di compromettere gli sforzi di cooperazione multilaterale.

Per affrontare queste sfide, è fondamentale promuovere un maggiore dialogo tra le istituzioni e una più stretta collaborazione tra pubblico e privato. L’adozione di strategie comuni, lo sviluppo di capacità di difesa informatica avanzate e la creazione di meccanismi di risposta congiunti rappresentano passi cruciali per garantire un cyberspazio più sicuro e stabile.

In definitiva, la cybersecurity non può più essere considerata un semplice strumento tecnico, ma deve essere pienamente integrata nelle politiche di sicurezza nazionale e nelle strategie diplomatiche internazionali. Solo attraverso un approccio olistico e proattivo sarà possibile affrontare con successo le sfide emergenti, preservando la stabilità, la sicurezza e i principi democratici nella governance globale del digitale.

Bibliografia

Federalismi.it, Golden power: mercato e protezione degli interessi nazionali, di Roberto Garofoli Presidente di Sezione del Consiglio di Stato

“Le nuove disposizioni in materia di cybersicurezza – Luci e ombre della Legge 90/2024”. Roma, 17 luglio 2024. La Giunta. L’Osservatorio “Scienza, processo e intelligenza artificiale”.

“Data and Goliath: The Hidden Battles to Collect Your Data and Control Your World” di Bruce Schneier.

“National Security and Double Government” di Michael J. Glennon.

---

[2] Articolo 1 comma 2 Decreto Legge 105/2019

[3] Comma 1.I soggetti che intendono fornire servizi fiduciari qualificati o svolgere l’attività di gestore di posta elettronica certificata presentano all’AgID domanda di qualificazione, secondo le modalità fissate dalle Linee guida. 

Comma 2. ((Ai fini della qualificazione, i soggetti di cui al comma 1 devono possedere i requisiti di cui all’articolo 24 del Regolamento (UE) 23 luglio 2014, n. 910/2014, disporre di requisiti di onorabilità, affidabilità, tecnologici e organizzativi compatibili con la disciplina europea, nonché di garanzie assicurative adeguate rispetto all’attività svolta. Con decreto del Presidente del Consiglio dei ministri, o del Ministro delegato per l’innovazione tecnologica e la digitalizzazione, sentita l’AgID, nel rispetto della disciplina europea, sono definiti i predetti requisiti in relazione alla specifica attività che i soggetti di cui al comma 1 intendono svolgere.)). Il predetto decreto determina altresì i criteri per la fissazione delle tariffe dovute all’AgID per lo svolgimento delle predette attività, nonché i requisiti e le condizioni per lo svolgimento delle attività di cui al comma 1 da parte di amministrazioni pubbliche.

[4] L’articolo 1 del decreto legge n. 21 del 2012, come da ultimo modificato dall’articolo 24 del decreto-legge n. 21 del 2022, fissa il requisito per l’esercizio dei poteri speciali nei comparti della sicurezza e della difesa: la sussistenza di una minaccia di grave pregiudizio per gli interessi essenziali della difesa e della sicurezza nazionale.

[5] sezione I, 13 aprile 2022, nn. 4486 e 4488

[6] Operational Summary febbraio 2025 Servizio Operazioni e gestione delle crisi cyber, Agenzia per la Cybersicurezza Nazionale.

[7] Sentenza 201/2023.La Corte costituzionale dichiara l’illegittimità costituzionale dell’art. 69, quarto comma, del codice penale, nella parte in cui prevede il divieto di prevalenza della circostanza attenuante di cui all’art. 74, comma 7, del d.P.R. 9 ottobre 1990, n. 309 (Testo unico delle leggi in materia di disciplina degli stupefacenti e sostanze psicotrope, prevenzione, cura e riabilitazione dei relativi stati di tossicodipendenza), sulla recidiva di cui all’art. 99, quarto comma, cod. pen.

[8] “Le nuove disposizioni in materia di cybersicurezza – Luci e ombre della Legge 90/2024”. Roma, 17 luglio 2024. La Giunta.L’Osservatorio “Scienza, processo e intelligenza artificiale”.

[9] REGOLAMENTO (UE) 2019/881 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 17 aprile 2019 relativo all’ENISA, l’Agenzia dell’Unione europea per la cibersicurezza, e alla certificazione della cibersicurezza per le tecnologie dell’informazione e della comunicazione, e che abroga il regolamento (UE) n. 526/2013 («regolamento sulla cibersicurezza»)

[10] DIRETTIVA 2013/4/UE DELLA COMMISSIONE del 14 febbraio 2013 recante modifica della direttiva 98/8/CE del Parlamento europeo e del Consiglio al fine di iscrivere il cloruro di didecildimetilammonio come principio attivo nell’allegato I della direttiva

[11] Raccomandazione (UE) 2017/1584 della Commissione, del 13 settembre 2017, relativa alla risposta coordinata agli incidenti e alle crisi di cibersicurezza su vasta scala

[12] Articolo 5 Poli informatici transfrontalieri PE-CONS 94/24, REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO

[13] Financial Times, “Giorgia Meloni in hot water over government talks with Elon Musk’s SpaceX”

[14] La Repubblica, “Per SpaceX contratto da 1,5 miliardi. Accordo con Musk frutto della visita di Meloni a Trump”

Scarica il PDF