Legge 90/2024: chi è il referente per la cybersicurezza
La Legge 90/2024 ha chiesto a molte pubbliche amministrazioni di indicare un referente per la cybersicurezza. In più di un ente quel nome è servito a riempire una casella, mentre la norma chiede una figura con competenze precise e un ruolo operativo.
Il riferimento è l'articolo 8 della Legge 28 giugno 2024, n. 90. Riguarda le amministrazioni individuate all'articolo 1 della stessa legge, fra cui le regioni, le città metropolitane, i comuni con più di 100.000 abitanti, i capoluoghi di regione e le aziende sanitarie locali. Ciascuna deve individuare una struttura che si occupi di cybersicurezza, che può essere collocata anche presso l'ufficio del responsabile per la transizione digitale.
Presso quella struttura opera il referente. La legge non lo tratta come un incarico di rappresentanza: il referente va individuato in ragione di specifiche e comprovate professionalità e competenze in materia di cybersicurezza. "Comprovate" ha una conseguenza concreta, perché in caso di verifica l'ente deve poter mostrare da dove vengono quelle competenze.
Il secondo aspetto riguarda il rapporto con l'Agenzia per la Cybersicurezza Nazionale. Il nominativo del referente viene comunicato all'ACN e il referente diventa il punto di contatto unico dell'amministrazione con l'Agenzia. Quando un incidente va segnalato nei tempi previsti all'articolo 1, quindi, la comunicazione passa da lui.
Questo punto si vede poco sulla carta e pesa molto nei fatti. Se il referente non conosce i sistemi dell'ente, o non ha un canale diretto con chi li gestisce, il punto di contatto unico diventa un collo di bottiglia proprio nelle ore in cui servono informazioni rapide e decisioni.
Per le amministrazioni che rientrano anche nel perimetro del D.Lgs. 138/2024, i due quadri si sovrappongono. Ruoli, canali di comunicazione e responsabilità vanno letti insieme, perché una nomina fatta guardando una sola delle due norme rischia di lasciare scoperta l'altra.
Nella vostra amministrazione il referente per la cybersicurezza ha davvero accesso alle informazioni che dovrebbe trasmettere all'ACN?