L'inclusione della pubblica amministrazione tra i soggetti essenziali della NIS2 e una delle novita piu rilevanti rispetto alla direttiva precedente. Ministeri, Regioni, grandi Comuni, ASL, universita e altri enti pubblici devono adeguarsi agli stessi standard di sicurezza del settore privato. Una sfida enorme per un'amministrazione pubblica italiana che, storicamente, ha investito poco in cybersicurezza.
I numeri parlano chiaro: nel 2025, il 68% degli enti pubblici italiani ha subito almeno un tentativo di attacco informatico. Il 23% ha subito un incidente con impatto operativo. E il budget medio per la cybersicurezza nella PA e ancora una frazione di quello del settore privato.
Chi rientra nel perimetro
- Amministrazioni centrali — ministeri, agenzie governative, autorita indipendenti
- Regioni — tutte le 20 regioni e province autonome
- Grandi Comuni — i Comuni sopra determinate soglie (in fase di definizione dall'ACN)
- ASL e aziende ospedaliere — come soggetti del settore sanitario
- Universita e enti di ricerca — se operano in settori NIS2
- Societa in-house — se erogano servizi ICT per la PA
Le sfide specifiche della PA
La PA affronta sfide uniche: budget rigidi e pluriennali che non si adattano alle emergenze cyber, procedure di approvvigionamento lente (gare pubbliche per ogni servizio), competenze scarse (i talenti cyber preferiscono il privato, dove guadagnano di piu), infrastrutture vetuste e frammentate (ogni ente ha le proprie), e resistenza al cambiamento organizzativo.
Il Piano Nazionale per la Cybersicurezza
Il Piano Nazionale per la Cybersicurezza 2022-2026 e il quadro strategico che dovrebbe guidare l'adeguamento della PA. Prevede fondi PNRR dedicati, il Polo Strategico Nazionale (PSN) per la migrazione al cloud sicuro, e la creazione di CSIRT regionali per la gestione degli incidenti nella PA locale. Ma l'implementazione procede a ritmi diversi tra le varie amministrazioni.
Misure prioritarie per la PA
- Migrazione al cloud qualificato — PSN o cloud qualificati da ACN, abbandonare i server locali non sicuri
- Identita digitale e MFA — SPID/CIE per l'accesso ai servizi, MFA per gli operatori interni
- Formazione massiva — security awareness per tutti i dipendenti pubblici
- CERT regionali — potenziare i centri di risposta agli incidenti regionali
- Standardizzazione — adottare il Framework Nazionale per la Cybersicurezza come baseline