Dolenti note in tema di protezione delle infrastrutture critiche informatizzate…

Per comprendere appieno l’ingarbugliata situazione italiana in tema di protezione delle infrastrutture critiche informatizzate occorre ,necessariamente esaminare ,anzitutto passo passo,l’iter normativo che dette luogo all’art.7 bis della legge n.155 del 2005 di conversione del c.d. decreto antiterrorismo,il decreto legge n.144 del 2005. relativo all’argomento ( 1 )

Questo articolo,è bene dirlo subito, non compariva,in realtà,nel decreto legge originario e spuntò fuori,come un fungo,nel corso dei lavori parlamentati relativi alla conversione del sopracitato decreto legge …mediante una delle consuete operazioni politico-amministrative ,tipiche del mondo politico italiano,,,.

Ciò detto .stando al testo dell’articolo sopracitato, l’iter del procedimento  era il seguente:

1) occorreva un paziente e complesso iter amministrativo per la precisa individuazione delle infrastrutture critiche informatizzate di interesse nazionale 

2) occorreva un apposito decreto ministeriale che elencasse tali strutture e vi apponesse ,per così dire,il sigillo..

3)occorreva un provvedimento amministrativo che creasse una apposita unità operativa..

4) occorreva infine  stipulare con i responsabili delle strutture interessate così individuate, apposite convenzioni…

Certo si trattava di un lungo procedimento…tuttavia necessario per dare legittima veste alla unità in questione…ma il tempo urgeva ed occorreva provvedere in qualche modo, anche addossandosene la relativa responsabilità… 

E così nel corso di vari convegni di studio dedicati alla criminalità informatica ( vedi ad es, gli Atti del Convegno di Varenna del 16 febbraio 2007,raccolti nel volume dal titolo” Reati Informatici e Attività di indagine,,ecc,ed.Experta,Forlì,s.d. ) venne presentato ,evidentemente su autorizzazione dei competenti organi di vertice, da noti e competenti membri della Polizia di Stato,  un nuovo organismo,, denominato C.N.A.I.P.IC, cioè  Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche, di cui   furono  illustrati organigramma e funzioni…

Le perplessità dei cultori di diritto amministrativo ,riluttanti ad ammettere l’esistenza dello stato di necessità nel campo del diritto amministrativo ,a tale annuncio   erano comprensibili…apparentemente non esisteva un provvedimento amministrativo di costituzione dell’organismo ..inoltre  la denominazione della nuova unità sembrava  inappropriata giacchè  tale organismo avrebbe  dovuto avere  la sola competenza ,assolutamente di carattere amministrativo,di protezione delle infrastrutture critiche informatizzate definite di interesse nazionale …e non già  il compito di combattere, in genere ,il crimine informatico…

A tacer d’altro,, si rischiava una sorta di rotta di collisione con altri  organismi ,dedicati proprio al contrasto del crimine informatico ,quali ad es,il GAT  esistente in seno alla Guardia di Finanza e comandato dal mitico colonnello Rapetto…( 2 )

Il C.N.A.I.P.I.C ,tuttavia era privo di fondi e navigava quindi  a vista… ,secondo notizie di stampa ( vedi l’articolo di Talarico nell’Espresso del 26 aprile 2007 ) era stato costretto ,per sopravvivere,   perfino  a ricorrere al buon cuore della Microsoft e della Telecom che,del tutto disinteressatamente, e condividendo evidentemente le ragioni di necessità che avevano determinato la nascita dell’organismo ,avevano fornito  le apparecchiature necessarie per la sala operativa…I fautori dell’ importante iniziativa non erano stati ,però,con le mani in mano e ,giustamente e responsabilmente preoccupati ,forse anche  nel timore di possibili iniziative della Corte dei Conti,avevano preparato un bozza di decreto ministeriale …che rimase  tuttavia ad impolverarsi per anni sulla scrivania dei vari Ministri giacchè, per ragioni ignote,né il Ministro Pisanu,né il suo successore,Amato ,avevano voluto sottoscriverla ..Accadde però una specie di miracolo…  nell’ autunno dello scorso anno,  il Presidente della II Commissione Giustizia della Camera ,Commissione che si occupava    dell’esame del Disegno di Legge n.2807 relativo alla ratifica della Convenzione di Budapest sulla cibercriminalità, ,apprese,nel corso di una audizione di un alto funzionario del Ministero dell’Interno,  della avvenuta costituzione del C.N.A.I.P.I.C e dei compiti dallo stesso svolti  E così nel  corso dei lavori successivi…,tracchete! ..spuntò il consueto “funghetto”…il relatore ed il Presidente della II Commissione presentarono ai componenti,probabilmente del tutto frastornati,un articolo aggiuntivo al testo originario del disegno di legge ( art.10 bis , articolo ,che –sia detto per inciso-c’entrava con la materia come il classico “cavolo a merenda”,) allo scopo di    trovare i fondi per il funzionamento di due organismi del Ministero dell’Interno tra cui,appunto, quello  previsto dall’art. 7 bis citato .. Nessuno dei parlamentari fiatò… ed iil testo divenne l’articolo 12 della legge n.48 del 2008..Occorreva però sempre il famoso Decreto Ministeriale….ed infine,complice forse anche le nubi che si già addensavano sull’orizzonte del Governo,il Ministro Amato fu convinto e ,spolverata  l’antica bozza ,la firmò, praticamente tale e quale,nonostante il tempo trascorso,Il DM portava la data del 9 gennaio 2008 ma pervenne alla Corte dei Conti per la registrazione soltanto il 28 gennaio c.a. e venne registrato nel corso del mese successivo .comparendo infine  sulla G.U n.101 del 30 aprile 2008. A questo punto la  “telenovela “sembrava terminata ma,ahimè, il tormentato Decreto presentava delle incongruenze …Infatti esso non elencava ,come avrebbe dovuto,esattamente e nominativamente tutte le infrastrutture critiche informatizzate alle quali apporre l’etichetta relativa all’ interesse nazionale,limitandosi a frasi fumose e generiche…ed addirittura rinviando l’identificazione di altre infrastutture ad una successiva iniziativa prefettizia ..con ciò aprendo il campo a possibili illazioni relative al fatto che ,nonostante il lungo tempo trascorso, ,neppure lo stesso C.N.A.I.P.I.C fosse riuscito in tale.peraltro difficile, compito…Il DM ,inoltre,. addirittura evitava di costtuire  l’organismo, rinviando  l’ importantissimo compito  ,relativo alla istituzione ed alla definizione dell’assetto organizzativo e funzionale del C.N.A.I.P.I.C …ad un futuro decreto del Capo della Polizia…  con ciò decretando,implicitamente,la irregolarità dell’organismo già da lungo tempo , in realtà, esistente  ed operante ,per così dire ,in stato di evidente  necessità…( 3 )…E’ veramente difficile immaginare,a questo punto,come sarà possibile sanare retroattivamente la complessa situazione  di un organismo,come il C.N.A.I.P.I.C. che sembra  comunque abbia  funzionato ,sia pure nel vuoto normativo, e quali possano essere le conseguenze amministrative  di questa difficile  situazione .(4)

 

————————-

NOTE

 

 

( 1 ) L’articolo reca un titolo apparentemente    non coerente con il testo, e cioè “Sicurezza telematica”…Il testo ,al primo comma ,recita “Ferme restando le competenze dei Servizi informativi e di sicurezza,di cui agli articoli 4 e 6 della legge 24 ottobre 1977,n.801,l’organo del Ministero dell’interno per la sicurezza e per la regolarità dei servizi di protezione informatica delle infrastrutture critiche informatizzate di interesse nazionale individuate con decreto del Ministro dell’interno,operando mediante collegamenti telematici definiti con apposite convenzioni con i responsabili delle strutture interessate.

( 2 ) In realtà,sia detto per inciso, proprio nell’ambito del Ministero delle Comunicazioni esisteva ,almeno sino a qualche tempo fa ,una preoccupante   tendenza a straripare dalle proprie competenze istituzionali ,,sia in tema di sicurezza dei dati e delle informazioni ( vedi al riguardo il mio articolo dal titolo Sicurezza Informatica e lotta alla Cybercriminalità,in Il Dir.Internet.n.5/2005 ) sia in tema di contrasto alla criminalità informatica,,, Al riguardo ho scoperto ,per caso, che il DPR n.243 del 9/11/2005 ( Regolamento recante la disciplina ordina mentale del Consiglio Superiore delle Comunicazioni ) attribuisce una certa competenza,anche se solo consultiva,al predetto Consiglio in tema di…” atti ed accordi in materia di crimini informatici e di pirateria commessi con qualunque tecnologia della comunicazione…”( art.1,lett.f ),escludendo comunque ,ed in modo assolutamente immotivato, nella sua composizione i diretti interessati e cioè i rappresentanti del Ministero della Giustizia,che,dal canto loro,pur informalmente avvisati della incongruenza, sembra abbiano ignorato la questione…

 

( 3 ) L’articolo 3 del DM ,avente come titolo “Istituzione del C.N.A.I.P.I.C”, recita ..” Per l’attuazione dell’art.7-bis del citato decreto legge n.144 del 2005.convertito con modificazioni dalla legge n.155 del 2005,il Capo della polizia-Direttore generale della pubblica sicurezza provvede con proprio decreto nell’ambito delle risorse umane,strumentali e finanziarie assegnate al Dipartimento della pubblica sicurezza,all’istituzione ed alla definizione dell’assetto organizzativo e funzionale del Centro nazionale anticrimine informatico per la protezione delle infrastrutture critiche ( CNAIPIC ) quale unità organizzativa di livello dirigenziale,incardinata nel Servizio polizia postale e delle comunicazioni del medesimo Dipartimento…

 

( 4 ) Un’Associazione di esperti in tema di infrastrutture critiche ,l’AIIC,ha espresso vivaci critiche al DM citato,riprendendo alcune delle opinioni espresse da chi scrive in un precedente articolo dal titolo “ I problemi delle infrastrutture critiche informatizzate”,pubblicato in Il Dir,Internet n.4/2007.Vedi al riguardo l’articolo dal titolo “Italia,le infrastrutture    critiche” in www.primapagina.molise.it