Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Il percorso normativo italiano verso l’istituzionalizzazione della figura dell’esperto informatico al servizio dello Stato ha subito una accelerazione decisiva con il decreto legge 82 del 2020 convertito nella legge 109 del 2021 . Questo intervento ha ridefinito l’architettura nazionale di cybersicurezza istituendo l’Agenzia per la Cybersicurezza Nazionale ovvero l’autorità incaricata di garantire la capacità di tenuta dello spazio digitale e la protezione degli interessi strategici del Paese.
L’ACN non si limita a compiti di vigilanza ma opera attivamente nel reclutamento di eccellenze tecnologiche attraverso procedure selettive mirate a colmare il divario tra le esigenze della pubblica amministrazione e le competenze del mercato.
Nel corso del 2025 l’Agenzia ha bandito concorsi per novanta esperti con orientamento tecnico-scientifico suddivisi in dieci aree di specializzazione che spaziano dalla crittografia ai sistemi di intelligenza artificiale fino all’analisi della minaccia cyber e alla sicurezza delle infrastrutture critiche. Per accedere a tali ruoli lo Stato richiede determinati requisiti quali il possesso di una laurea magistrale con votazione minima di centocinque su centodieci e una esperienza professionale almeno biennale nel settore di competenza.
Un ulteriore pilastro della strategia nazionale è rappresentato dalla legge 28 giugno 2024 n. 90 che ha introdotto disposizioni urgenti per rafforzare la sicurezza delle reti e dei sistemi informativi. Questa normativa impone a una vasta platea di soggetti pubblici e privati l’obbligo di segnalare ogni incidente informatico con impatto significativo entro ventiquattro ore garantendo all’Agenzia una capacità di reazione tempestiva coordinata dal centro nazionale di monitoraggio e risposta CSIRT Italia.
La legge interviene anche sul Codice penale introducendo il reato di estorsione informatica all’articolo 629 comma 3 per colpire in modo specifico la diffusione di ransomware e la richiesta di riscatti digitali. Sul fronte tecnologico la norma promuove l’autonomia industriale italiana prevedendo criteri di premialità nelle gare pubbliche per l’acquisto di beni e servizi ICT che garantiscano standard elevati di cybersicurezza e siano riconducibili a paesi alleati o affini.
Tale approccio mira a ridurre la dipendenza da tecnologie straniere potenzialmente vulnerabili o soggette a influenze geopolitiche ostili.
La frontiera più avanzata del reclutamento statale di esperti informatici è delineata dal disegno di legge presentato nel settembre 2025 su iniziativa dell’onorevole Nino Minardo. La proposta mira a modificare il codice dell’ordinamento militare per riconoscere il dominio cibernetico come un ambiente operativo a sé stante equiparandolo ai comparti tradizionali di terra mare e aria.
L’innovazione principale consiste nella creazione di un vero e proprio esercito di hacker composto non solo da personale in divisa ma anche da tecnici civili esterni altamente qualificati. Il Ministero della Difesa potrà avvalersi di questi professionisti per condurre operazioni digitali sia difensive che offensive anche in tempo di pace allo scopo di proteggere le infrastrutture critiche e contrastare minacce ibride o campagne di disinformazione.
Questa apertura rappresenta una novità assoluta nel panorama nazionale poiché consente l’integrazione di competenze tecniche di alto livello sotto un coordinamento istituzionale rigoroso garantendo la supervisione della Difesa in sinergia con l’Agenzia per la Cybersicurezza Nazionale.
Sotto il profilo strettamente penalistico la legittimazione delle attività poste in essere dagli esperti al servizio dello Stato trova il suo fondamento nell’articolo 17 della legge 124 del 2007 che disciplina le garanzie funzionali per il comparto intelligence.
La norma prevede una causa di giustificazione speciale che rende non punibili condotte previste dalla legge come reato a condizione che siano autorizzate indispensabili e proporzionate al raggiungimento di obiettivi istituzionali non altrimenti perseguibili. Tale scriminante assume un rilievo centrale per chi opera nel dominio cyber poiché autorizza attività di infiltrazione o monitoraggio che potrebbero configurare fattispecie quali l’accesso abusivo a sistema informatico o la detenzione di codici malevoli.
Fondamentale è l’estensione di questa tutela ai collaboratori esterni che agiscono in concorso con i dipendenti dei servizi di informazione per la sicurezza purché il loro impiego sia dettato da eccezionali necessità e regolarmente autorizzato dal Presidente del Consiglio dei Ministri. La legge pone tuttavia limiti invalicabili escludendo dalla scriminante condotte che mettano in pericolo la vita o l’integrità fisica delle persone o che violino diritti fondamentali indisponibili.
L’evoluzione più recente del dibattito normativo riguarda la protezione giuridica dei ricercatori indipendenti e degli hacker etici attraverso il disegno di legge presentato nell’aprile 2025 noto come DDL Basso.
La proposta introduce una clausola di porto sicuro ovvero un regime di esenzione dalla responsabilità penale per coloro che segnalano vulnerabilità informatiche in buona fede seguendo le modalità della divulgazione responsabile o Coordinated Vulnerability Disclosure. L’obiettivo è trasformare la scoperta di falle di sicurezza da un potenziale rischio giudiziario in una risorsa strategica per lo Stato permettendo all’ACN di intervenire prima che le vulnerabilità vengano sfruttate da attori criminali.
Questo indirizzo normativo si accompagna a misure di contrasto al modello economico del cybercrime quali il divieto del pagamento dei riscatti per le estorsioni informatiche e l’introduzione di un illecito autonomo per la creazione di piattaforme Ransomware-as-a-Service. In questo quadro lo Stato non si limita a reclutare esperti ma cerca di costruire una alleanza sistemica con l’intera comunità tecnica per innalzare il livello di sicurezza cibernetica della nazione.
