La legge in materia di rafforzamento della cybersicurezza nazionale e di reati informatici è stata approvata dal Senato il 19 giugno 2024 e pubblicata come Legge 28 giugno 2024, n. 90 in Gazzetta Ufficiale il 2 luglio 2024. Il provvedimento modifica il codice penale e incide direttamente sul D.Lgs. 231/01, ampliando il novero dei reati informatici rilevanti ai fini della responsabilità amministrativa degli enti.
L’iter legislativo
Prima dell’approvazione definitiva, il 22 maggio 2024 il Servizio Studi del Senato aveva diffuso un dossier di lettura del disegno di legge, già approvato dalla Camera nei giorni precedenti. Il testo allora all’esame prevedeva, tra l’altro, un inasprimento delle pene per i reati di cui agli artt. 615-ter e 635-bis c.p. e l’introduzione di un nuovo terzo comma nel reato di estorsione, con la seguente formulazione: «Chiunque, mediante le condotte di cui agli articoli 615-ter, 617-quater, 617-sexies, 635-bis, 635-quater e 635-quinquies ovvero con la minaccia di compierle, costringe taluno a fare o ad omettere qualche cosa, procurando a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei a dodici anni e con la multa da euro 5.000 a euro 10.000. La pena è della reclusione da otto a ventidue anni e della multa da euro 6.000 a euro 18.000, se concorre taluna delle circostanze indicate nel terzo comma dell’articolo 628 nonché nel caso in cui il fatto sia commesso nei confronti di persona incapace per età o per infermità». Il medesimo disegno di legge, all’art. 20, prevedeva inoltre una serie di aumenti delle pene edittali stabilite dall’art. 24-bis del D.Lgs. 231/01 in materia di responsabilità amministrativa degli enti.
Le principali novità in materia penale
- Obblighi di notifica: le pubbliche amministrazioni e gli altri soggetti individuati dalla legge devono segnalare gli incidenti informatici entro 24 ore e trasmettere una notifica completa entro 72 ore; in caso di inosservanza sono previste sanzioni amministrative pecuniarie.
- Interventi risolutivi: i soggetti segnalati dall’Agenzia per la cybersicurezza nazionale devono porre rimedio alle criticità rilevate entro 15 giorni, pena l’applicazione di ulteriori sanzioni.
- Nuove fattispecie e inasprimento delle pene: sono inasprite le pene per l’accesso abusivo a sistemi informatici, la detenzione e diffusione di codici di accesso e il danneggiamento di sistemi informatici di pubblico interesse; sono inoltre introdotti i reati di detenzione, diffusione e installazione abusiva di apparecchiature, dispositivi o programmi diretti a danneggiare o interrompere un sistema informatico o telematico (art. 635-quater.1 c.p.) e di danneggiamento di sistemi informatici o telematici di pubblico interesse (art. 635-quinquies c.p.).
- Coordinamento operativo: è rafforzato il coordinamento tra i servizi di informazione per la sicurezza e l’Agenzia per la cybersicurezza nazionale, con possibilità di differire specifiche attività di resilienza in casi determinati.
- Personale specializzato: regole più stringenti per il personale dell’Agenzia e degli organismi di informazione per la sicurezza che partecipa a percorsi formativi di specializzazione, con divieto temporaneo di assumere incarichi presso soggetti privati.
- Contratti pubblici: nuove disposizioni per i contratti pubblici di beni e servizi informatici, con criteri di premialità per l’impiego di tecnologie di cybersicurezza italiane o di Paesi UE/NATO.
Gli effetti sul D.Lgs. 231/01
La legge interviene sia sull’art. 24 sia sull’art. 24-bis del D.Lgs. 231/01. Quanto all’art. 24, che disciplina la responsabilità amministrativa degli enti per reati come la truffa in danno dello Stato e la frode informatica, e all’art. 24-bis, relativo ai delitti informatici e al trattamento illecito di dati, sono stati introdotti rilevanti aggiornamenti, tra cui un nuovo comma 1-bis nell’art. 24-bis che amplia il perimetro di applicazione della normativa sulla sicurezza informatica ai fini della responsabilità dell’ente.
Sul piano sanzionatorio, per i reati informatici richiamati dall’art. 24-bis le sanzioni pecuniarie a carico dell’ente sono aumentate da duecento a settecento quote. Per il reato di estorsione commessa attraverso le condotte informatiche sopra descritte, che costituisce oggi uno dei reati presupposto, la sanzione per l’ente va da trecento a ottocento quote, con sanzione interdittiva di durata non inferiore a due anni in caso di condanna. L’art. 24-bis è stato inoltre modificato per includere ulteriori reati informatici, tra cui il danneggiamento di sistemi informatici di pubblico interesse, con sanzione pecuniaria fino a quattrocento quote. L’ampliamento del catalogo dei reati presupposto informatici accresce, per gli enti, la necessità di adottare modelli organizzativi adeguati a prevenirli.
Soardi Studio Legale assiste società operanti in diversi settori nella redazione di Modelli Organizzativi e di Gestione ex D.Lgs. 231/01 e l’avvocato Soardi, penalista a Bergamo, ricopre incarichi quale componente dell’Organismo di Vigilanza (OdV) ex art. 6 del D.Lgs. 231/01.
