Legge 90/2024: ambito e finalità
La crescente frequenza degli attacchi informatici ha trasformato la cybersicurezza da questione prevalentemente tecnica a elemento essenziale dell’organizzazione e della responsabilità degli enti pubblici e privati. Un incidente informatico può infatti determinare l’interruzione di servizi essenziali, la perdita o l’indisponibilità dei dati, l’accesso abusivo ai sistemi, responsabilità verso terzi e l’applicazione di sanzioni amministrative o penali.
In questo contesto si inserisce la Legge 28 giugno 2024, n. 90, entrata in vigore il 17 luglio 2024 e rubricata “Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici”. Il testo della legge è pubblicato in Gazzetta Ufficiale.
La legge interviene su due piani tra loro collegati: da una parte rafforza la capacità delle pubbliche amministrazioni e degli enti interessati di prevenire e gestire gli incidenti informatici; dall’altra modifica il Codice penale, il Codice di procedura penale e il Decreto legislativo n. 231/2001, rendendo più incisivo il contrasto ai reati informatici.
Finalità e struttura della Legge n. 90/2024
La Legge n. 90/2024 è composta da due distinti capi.
Il Capo I disciplina il rafforzamento della cybersicurezza nazionale e della resilienza delle pubbliche amministrazioni. Contiene, tra l’altro:
- gli obblighi di segnalazione e notifica degli incidenti informatici;
- gli interventi conseguenti alle segnalazioni dell’Agenzia per la cybersicurezza nazionale;
- l’organizzazione interna degli enti in materia di sicurezza informatica;
- l’individuazione del referente per la cybersicurezza;
- le funzioni dell’ACN in materia di crittografia;
- la sicurezza dei contratti pubblici relativi a beni e servizi informatici;
- alcune disposizioni riguardanti la resilienza operativa digitale del settore finanziario.
Il Capo II contiene invece disposizioni dirette alla prevenzione e al contrasto dei reati informatici. La legge modifica diverse fattispecie di reato, rafforza gli strumenti investigativi e disciplina il coordinamento tra autorità giudiziaria, forze di polizia e Agenzia per la cybersicurezza nazionale.
La cybersicurezza viene pertanto considerata come un sistema integrato di prevenzione, gestione dell’incidente, collaborazione istituzionale e repressione delle condotte criminali.
Quali soggetti sono interessati dagli obblighi di notifica
L’articolo 1 della Legge n. 90/2024 individua espressamente i soggetti tenuti a segnalare e notificare determinate tipologie di incidenti informatici.
Rientrano nell’ambito di applicazione:
- le pubbliche amministrazioni centrali individuate ai sensi dell’articolo 1, comma 3, della Legge n. 196/2009;
- le Regioni e le Province autonome di Trento e Bolzano;
- le Città metropolitane;
- i Comuni con popolazione superiore a 100.000 abitanti;
- i Comuni capoluogo di Regione, indipendentemente dalla popolazione;
- le società di trasporto pubblico urbano con un bacino di utenza non inferiore a 100.000 abitanti;
- le società di trasporto pubblico extraurbano operanti nell’ambito delle Città metropolitane;
- le aziende sanitarie locali;
- determinate società in house che forniscono servizi informatici, servizi di trasporto, servizi relativi alle acque reflue o servizi di gestione dei rifiuti.
La legge prevede specifiche esclusioni per alcuni soggetti già sottoposti a particolari discipline di sicurezza nazionale e per gli organi dello Stato competenti in materia di prevenzione e repressione dei reati, ordine pubblico, difesa, sicurezza militare e attività di informazione per la sicurezza.
L’ambito soggettivo deve essere verificato con attenzione, poiché lo stesso ente potrebbe essere contemporaneamente interessato dalla Legge n. 90/2024, dalla normativa NIS2, dalla disciplina del Perimetro di sicurezza nazionale cibernetica o da altre disposizioni settoriali.
Segnalazione entro 24 ore e notifica completa entro 72 ore
Uno degli aspetti più rilevanti della legge riguarda i tempi entro i quali l’incidente informatico deve essere comunicato all’Agenzia per la cybersicurezza nazionale.
L’articolo 1 della legge distingue due adempimenti:
- una segnalazione iniziale, da effettuare senza ritardo e comunque entro 24 ore;
- una notifica completa, da trasmettere entro 72 ore.
Entrambi i termini decorrono dal momento in cui il soggetto interessato viene a conoscenza dell’incidente sulla base delle evidenze disponibili.
La formulazione della norma è importante. Non è necessario attendere di conoscere tutte le cause, gli effetti o l’estensione dell’attacco prima di effettuare la prima segnalazione. La comunicazione entro 24 ore ha carattere preliminare e serve a informare tempestivamente l’ACN dell’esistenza di un incidente riconducibile alle tipologie individuate dalla tassonomia applicabile.
La successiva notifica, da completare entro 72 ore, deve contenere tutti gli elementi informativi disponibili in quel momento.
Le comunicazioni devono essere effettuate attraverso le procedure messe a disposizione sul sito istituzionale dell’Agenzia per la cybersicurezza nazionale.
Il rispetto di termini così brevi presuppone che l’ente abbia già predisposto:
- un sistema di rilevamento degli incidenti;
- una procedura interna di classificazione dell’evento;
- una catena di comunicazione e responsabilità;
- l’individuazione dei soggetti autorizzati alla notifica;
- un sistema di conservazione delle evidenze informatiche;
- un piano di risposta agli incidenti.
In assenza di procedure preventive, il rischio è che le prime ore vengano utilizzate per stabilire chi debba assumere le decisioni, con conseguente ritardo nella segnalazione.
La tassonomia degli incidenti informatici
Non ogni anomalia o malfunzionamento informatico determina automaticamente l’obbligo di notifica previsto dalla Legge n. 90/2024.
L’obbligo riguarda gli incidenti che abbiano un impatto su reti, sistemi informativi o servizi informatici e che siano riconducibili alle tipologie individuate nella tassonomia adottata mediante determinazione tecnica del direttore generale dell’Agenzia per la cybersicurezza nazionale.
La tassonomia svolge quindi una funzione essenziale: consente di distinguere gli eventi che devono obbligatoriamente essere notificati dagli incidenti minori o non riconducibili alle categorie normativamente rilevanti.
L’ente deve però essere concretamente in grado di effettuare questa valutazione. È opportuno integrare la tassonomia ACN all’interno del piano di risposta agli incidenti, associando a ciascuna tipologia:
- i soggetti che devono essere informati;
- le verifiche tecniche da svolgere;
- il livello di gravità;
- i termini applicabili;
- il contenuto minimo della segnalazione;
- le eventuali ulteriori autorità da coinvolgere.
Rimane possibile effettuare notifiche volontarie anche al di fuori dei casi espressamente contemplati dalla tassonomia, quando ciò sia utile per la prevenzione o la gestione dell’incidente.
Interventi sulle vulnerabilità segnalate dall’ACN
L’articolo 2 della Legge n. 90/2024 disciplina il caso in cui l’Agenzia per la cybersicurezza nazionale segnali puntualmente a un soggetto interessato l’esistenza di una specifica vulnerabilità.
In tale ipotesi, gli interventi risolutivi indicati dall’Agenzia devono essere adottati senza ritardo e, comunque, entro 15 giorni dalla comunicazione.
Il termine può assumere particolare rilievo nel caso di vulnerabilità critiche, software non aggiornati, configurazioni insicure o componenti tecnologiche esposte a possibili attacchi.
Se esigenze tecniche o organizzative impediscono di intervenire entro il termine, tali circostanze devono essere motivate e tempestivamente comunicate all’ACN. Non è quindi sufficiente documentare internamente la difficoltà: occorre instaurare una comunicazione formale con l’Agenzia.
La disposizione attribuisce un preciso valore giuridico alla gestione degli aggiornamenti di sicurezza. Il mancato aggiornamento di un sistema non costituisce più soltanto una carenza tecnica, ma può integrare la violazione di un obbligo normativo quando l’intervento sia stato espressamente richiesto dall’autorità competente.
Struttura interna e referente per la cybersicurezza
L’articolo 8 impone ai soggetti interessati di individuare, ove non sia già presente, una struttura deputata alla cybersicurezza.
A tale struttura sono attribuiti compiti relativi:
- allo sviluppo delle politiche e delle procedure di sicurezza;
- all’analisi preventiva e al rilevamento delle minacce;
- alla predisposizione del piano di gestione del rischio informatico;
- alla definizione dei ruoli e dell’organizzazione interna;
- alla programmazione della sicurezza di dati, sistemi e infrastrutture;
- all’adozione delle linee guida emanate dall’ACN;
- al monitoraggio continuo delle minacce e delle vulnerabilità;
- all’aggiornamento di sicurezza dei sistemi.
Presso questa struttura opera il referente per la cybersicurezza, che deve possedere specifiche e comprovate competenze professionali in materia.
Il referente svolge anche la funzione di punto di contatto unico tra l’amministrazione e l’Agenzia per la cybersicurezza nazionale. Il suo nominativo deve essere comunicato all’ACN secondo le modalità stabilite dall’Agenzia.
La legge consente, in presenza dei relativi requisiti, di individuare la struttura e il referente nell’Ufficio e nel responsabile per la transizione al digitale. I compiti possono inoltre essere esercitati in forma associata nei casi previsti dal Codice dell’amministrazione digitale.
La nomina del referente non trasferisce automaticamente su quest’ultimo ogni responsabilità. Gli organi di vertice, i dirigenti e i responsabili dei singoli servizi devono continuare a esercitare i rispettivi poteri di organizzazione, controllo e spesa. Il referente costituisce un presidio tecnico-organizzativo, ma non sostituisce la responsabilità gestionale dell’amministrazione.
Sanzioni, controlli e responsabilità dei dirigenti
In caso di mancata o tardiva notifica, l’ACN comunica al soggetto interessato l’accertamento dell’inosservanza e lo informa delle conseguenze derivanti da un’eventuale reiterazione.
Nei 12 mesi successivi all’accertamento del ritardo o dell’omissione, l’Agenzia può disporre ispezioni finalizzate anche a verificare l’attuazione degli interventi necessari per rafforzare la resilienza dell’ente.
In caso di reiterata inosservanza nell’arco di cinque anni, è prevista una sanzione amministrativa pecuniaria compresa tra 25.000 e 125.000 euro.
La legge precisa inoltre che la violazione degli obblighi può costituire causa di responsabilità disciplinare e amministrativo-contabile per i funzionari e i dirigenti responsabili.
Non si tratta di una responsabilità personale automatica. Occorre verificare, nel singolo caso:
- quali funzioni fossero state attribuite al dirigente o al funzionario;
- se fossero disponibili risorse e poteri adeguati;
- se l’omissione fosse concretamente evitabile;
- se esistessero procedure interne;
- se il responsabile avesse tempestivamente segnalato criticità e carenze;
- quale rapporto causale sussista tra la condotta e il danno arrecato all’ente.
Proprio per tale ragione è essenziale che le responsabilità interne siano formalmente individuate e che le attività svolte vengano documentate.
La sicurezza nei contratti pubblici informatici
L’articolo 14 della legge interviene sui contratti pubblici relativi a beni e servizi informatici impiegati in contesti connessi alla tutela degli interessi nazionali strategici.
La disciplina attribuisce rilievo agli elementi essenziali di cybersicurezza, intesi come criteri e regole tecniche diretti a garantire la riservatezza, l’integrità e la disponibilità dei dati.
Le stazioni appaltanti devono tenere conto di tali elementi nella valutazione qualitativa delle offerte. Quando viene utilizzato il criterio del minor prezzo, gli elementi di sicurezza devono essere inseriti tra i requisiti minimi dell’offerta nei casi previsti dalla disciplina applicabile.
La cybersicurezza entra così nella fase di scelta del contraente e non può essere considerata esclusivamente durante l’esecuzione del contratto.
Anche al di fuori dei casi strettamente disciplinati dall’articolo 14, i contratti con fornitori tecnologici dovrebbero regolare almeno:
- gli standard di sicurezza richiesti;
- gli obblighi di aggiornamento e correzione delle vulnerabilità;
- i tempi di comunicazione degli incidenti;
- la gestione degli accessi amministrativi;
- la conservazione dei log;
- il ricorso a subfornitori;
- gli audit e le verifiche;
- la continuità operativa;
- la restituzione o cancellazione dei dati alla cessazione del rapporto;
- la collaborazione del fornitore durante le notifiche alle autorità.
Un contratto informatico privo di tali clausole può rendere difficile rispettare i termini di 24 e 72 ore, soprattutto quando le informazioni sull’incidente sono materialmente detenute dal fornitore.
Il rafforzamento dei reati informatici
Il Capo II della Legge n. 90/2024 modifica numerose disposizioni del Codice penale.
Gli interventi riguardano, tra gli altri:
- l’accesso abusivo a un sistema informatico o telematico;
- la detenzione e diffusione abusiva di codici o strumenti di accesso;
- l’intercettazione o l’interruzione illecita di comunicazioni informatiche;
- il danneggiamento di dati, programmi e sistemi;
- le condotte dirette a rendere inservibili sistemi informatici di pubblico interesse;
- la produzione, detenzione o diffusione di strumenti destinati al danneggiamento dei sistemi;
- le estorsioni realizzate mediante attacchi informatici;
- determinate truffe commesse a distanza mediante strumenti idonei a ostacolare l’identificazione dell’autore.
Particolarmente significativa è l’introduzione, nell’articolo 629 del Codice penale, di una specifica ipotesi di estorsione commessa mediante condotte informatiche o attraverso la minaccia di porle in essere.
La disposizione è destinata a ricomprendere, ricorrendone tutti gli elementi costitutivi, condotte riconducibili agli attacchi ransomware: l’autore rende indisponibili dati o sistemi e pretende il pagamento di una somma per ripristinarli o per evitare la diffusione delle informazioni sottratte.
Per tale fattispecie sono previste la reclusione da sei a dodici anni e la multa da 5.000 a 10.000 euro. In presenza delle circostanze aggravanti richiamate dalla norma, la pena può essere più elevata.
La legge introduce anche circostanze attenuanti per i fatti di lieve entità e per chi si adoperi concretamente per evitare conseguenze ulteriori, collaborando con l’autorità nella raccolta delle prove o nel recupero dei proventi e degli strumenti del reato.
Responsabilità degli enti ai sensi del Decreto legislativo n. 231/2001
La Legge n. 90/2024 modifica anche l’articolo 24-bis del Decreto legislativo n. 231/2001, relativo alla responsabilità amministrativa degli enti per i delitti informatici e il trattamento illecito di dati.
Per diversi reati informatici la sanzione pecuniaria applicabile all’ente è stata elevata da un minimo di 200 a un massimo di 700 quote.
In relazione alla nuova ipotesi di estorsione informatica prevista dall’articolo 629, terzo comma, del Codice penale, è prevista una sanzione da 300 a 800 quote, oltre a sanzioni interdittive di durata non inferiore a due anni.
Le imprese devono pertanto verificare se il proprio modello organizzativo contempli adeguatamente i rischi informatici. La valutazione dovrebbe riguardare non soltanto la possibilità che l’ente subisca un attacco, ma anche il rischio che strumenti, credenziali, infrastrutture o dati aziendali siano utilizzati per commettere reati nell’interesse o a vantaggio dell’organizzazione.
Un modello organizzativo aggiornato dovrebbe prevedere controlli sugli accessi, separazione delle funzioni, procedure per gli amministratori di sistema, tracciabilità delle operazioni, gestione dei privilegi e canali di segnalazione delle anomalie.
Coordinamento tra ACN e autorità giudiziaria
La legge rafforza il coordinamento tra l’Agenzia per la cybersicurezza nazionale, l’autorità giudiziaria e gli organi del Ministero dell’interno competenti in materia di sicurezza delle telecomunicazioni.
Il personale di CSIRT Italia, nello svolgimento delle proprie funzioni, assume la qualifica di pubblico ufficiale. Sono inoltre regolate la trasmissione delle notizie riguardanti gli attacchi e la collaborazione tra ACN e pubblico ministero.
L’obiettivo è conciliare due esigenze:
- contenere l’incidente e ripristinare la sicurezza dei sistemi;
- preservare le fonti di prova e consentire lo svolgimento delle indagini penali.
Durante la gestione di un attacco, quindi, non devono essere cancellati indiscriminatamente log, file, comunicazioni o configurazioni. Gli interventi tecnici devono essere documentati e, quando necessario, coordinati con le autorità competenti per evitare l’alterazione delle evidenze digitali.
Rapporti con la normativa NIS2 e con il GDPR
La Legge n. 90/2024 deve essere coordinata con il Decreto legislativo 4 settembre 2024, n. 138, attraverso il quale è stata recepita in Italia la direttiva europea NIS2.
Le due normative non coincidono. La Legge n. 90/2024 contiene specifici obblighi rivolti soprattutto a determinate amministrazioni ed enti pubblici, oltre alle disposizioni penali e organizzative. La disciplina NIS2 riguarda invece i soggetti essenziali e importanti operanti nei settori individuati dal Decreto legislativo n. 138/2024.
Un soggetto potrebbe rientrare in entrambe le discipline. In questo caso deve effettuare una mappatura degli obblighi applicabili, evitando di presumere che l’adempimento previsto da una normativa assorba automaticamente quello richiesto dall’altra.
Se l’incidente comporta anche una violazione di dati personali, deve essere valutata separatamente l’applicazione degli articoli 33 e 34 del Regolamento UE 2016/679. La notifica dell’incidente all’ACN e la notifica della violazione dei dati personali al Garante rispondono infatti a presupposti e finalità differenti.
Lo stesso evento potrebbe quindi richiedere più comunicazioni, con destinatari, contenuti e termini diversi.
Cosa devono fare concretamente gli enti interessati
Per rispettare la Legge n. 90/2024 non è sufficiente nominare formalmente un referente. È necessario costruire un sistema organizzativo effettivamente operativo.
Gli enti dovrebbero:
- verificare la propria inclusione nell’ambito di applicazione della legge;
- individuare la struttura e il referente per la cybersicurezza;
- comunicare il referente all’Agenzia per la cybersicurezza nazionale;
- adottare un piano di gestione del rischio informatico;
- predisporre una procedura per la segnalazione entro 24 ore e la notifica completa entro 72 ore;
- integrare la tassonomia ACN nelle procedure interne;
- individuare preventivamente dirigenti, tecnici, consulenti e fornitori da coinvolgere;
- disciplinare contrattualmente gli obblighi dei fornitori informatici;
- conservare correttamente log ed evidenze digitali;
- aggiornare periodicamente software, dispositivi e credenziali;
- organizzare simulazioni di incidenti informatici;
- coordinare gli adempimenti con NIS2, GDPR e Decreto legislativo n. 231/2001.
La documentazione riveste una funzione decisiva. In caso di incidente o ispezione, l’ente deve essere in grado di dimostrare non soltanto l’esistenza formale delle procedure, ma anche la loro concreta applicazione.
Assistenza legale in materia di cybersicurezza a Palermo
La gestione della cybersicurezza richiede il coordinamento tra competenze tecniche, organizzative e giuridiche.
L’assistenza legale può riguardare la verifica della normativa applicabile, la redazione delle procedure interne, l’adeguamento dei contratti informatici, il coordinamento con la disciplina sulla protezione dei dati personali e la gestione delle responsabilità successive a un incidente.
Lo Studio Legale Guarnera, con sede a Palermo, presta assistenza a professionisti, imprese ed enti nella valutazione degli obblighi normativi e contrattuali connessi alla sicurezza informatica e alla gestione degli incidenti.
Per richiedere una valutazione del proprio caso è possibile consultare la pagina Contatti.
Articolo aggiornato a settembre 2026. Il contenuto ha carattere informativo e non sostituisce una consulenza legale riferita al caso concreto, contattaci per maggiori informazioni
Per ulteriori approfondimenti in materia di cybersecurity, intelligenza artificiale, privacy, protezione dei dati personali, sicurezza informatica, nuove tecnologie e profili giuridici connessi all’attività di intelligence e cyber intelligence, puoi consultare la sezione dedicata all’informatica e alla privacy dello Studio Legale Guarnera, dove sono raccolte guide, aggiornamenti normativi e analisi sulle principali questioni legate alla trasformazione digitale, alla tutela dei dati, all’utilizzo dei sistemi di intelligenza artificiale, alla sicurezza delle reti e alle responsabilità derivanti dall’impiego delle tecnologie digitali
Per approfondire le aree di attività e i servizi di assistenza legale e consulenza professionale, visita il sito dello Studio Legale Guarnera, punto di riferimento per cittadini, famiglie, imprese e condomìni che necessitano di supporto e tutela nelle principali materie giuridiche.
Per la valutazione degli obblighi applicabili consulta il servizio di assistenza legale in privacy e diritto digitale a Palermo.
Autore: Avv. Davide Guarnera. Studio Legale Guarnera, Palermo.
