***
Il 17 luglio 2024 entrerà in vigore la L. 28 giugno 2024, n. 90 recante Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici. Gli ambiti di novità sono principalmente quattro:
- L’obbligo di notifica all’agenzia per la cybersicurezza: la legge introduce l’obbligo di segnalare incidenti informatici all’agenza per la cybersicurezza (con conseguenti previsione di sanzioni amministrative in caso di inottemperanza) per le pubbliche amministrazioni centrali, le regioni, le province, le città metropolitane, i comuni capoluoghi di regione, i comuni con popolazione superiore a 100.000 abitanti, le aziende sanitarie locali, le società di trasporto pubblico, le società in house che forniscono servizi informatici, di trasporto e di raccolta, smaltimento o trattamento di acque reflue.
- Le modifiche dei reati informatici. In sintesi:
- introduzione di una circostanza aggravante del reato di truffa nel caso in cui il fatto è commesso a distanza attraverso strumenti informatici o telematici idonei a ostacolare la propria o altrui identificazione con l’estensione in relazione a tale nuova ipotesi aggravata della confisca obbligatoria ai sensi dell’art. 240, comma 2 c.p. dei beni e degli strumenti informatici o telematici;
- estensione dell’aggravante prevista dal reato di accesso abusivo ad un sistema informatico e telematico (art. 615 ter c.p.) nel caso in cui dal fatto derivi la sottrazione, anche mediante riproduzione o trasmissione, o l’inaccessibilità al titolare;
- estensione del reato di detenzione, diffusione e installazione abusiva di apparecchiature, codici e altri messi atti all’accesso a sistemi informatici e telematici (art. 615 quater) ai casi in cui il fatto sia commesso al fine di procurare a sé o ad altri un vantaggio (e non più al fine di profitto);
- introduzione di una più grave ipotesi di estorsione realizzata mediante le condotte dei tipizzati reati informatici (art. 629, comma 2 c.p.);
- abrogazione del reato di detenzione, diffusione e installazione abusiva di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico (art. 615 quinquies c.p.) e introduzione del nuovo delitto di detenzione, diffusione e installazione abusiva di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico (art. 635 quater 1 c.p.);
- estensione del delitto di danneggiamento di sistemi informatici o telematici a quelli di pubblico interesse (e non più di pubblica utilità) (art. 635 quinquies c.p.);
- innalzamento delle pene per i reati cui agli artt. 615 ter, 615 quater, 617 bis, 617 quinquies, 635 bis, 635 ter, 635 quater c.p.;
- introduzione circostanze attenuanti per i fatti di lieve entità e per chi si adoperi per evitare che l’attività delittuosa sia portata a conseguenze ulteriori (artt. 623 quater e 639 ter c.p.);
- Le modifiche al codice di procedura penale. In sintesi:
- estensione della attribuzione per i reati informatici delle funzioni di pubblico ministero al pubblico ministero presso il tribunale del distretto (art. 51, comma 3 quinquies c.p.p.);
- innalzamento per i reati informatici del termine di durata massima delle indagini preliminari a due anni (e non più diciotto mesi) (art. 407, comma 2 c.p.p.);
- Le modifiche alla responsabilità amministrativa degli enti ai sensi del d.lgs. 231/2001. In sintesi:
- introduzione tra i reati presupposto dell’estorsione commessa mediante reati informatici (artt. 629, comma 2 e 24 bis d.lgs. 231/2001) e del reato di detenzione, diffusione e installazione abusiva di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico (art. 635 quater 1 e 24 bis d.lgs. 231/2001);
- innalzamento delle sanzioni amministrative previste per i reati informatici (art. 24 bis d.lgs. 231/2001);
- previsione delle sanzioni interdittive in caso di condanna amministrativa per il delitto presupposto di estorsione.
Il legislatore ha perso l’occasione di riformare il sistema dei reati informatici che risulta ancora contraddistinto da una pluralità di fattispecie incriminatrici talvolta di difficile distinzione per chi non è esperto del settore.
Tuttavia le modifiche non possono essere sottovalutate e richiedono un aggiornamento dei modelli di organizzazione, gestione e controllo.
L’aggiornamento sarà evidentemente urgente per tutte le società in cui sia ragionevole il rischio di commissione di reati informatici e per le società di trasporto pubblico o quelle in house che forniscono servizi informatici, di trasporto e di raccolta, smaltimento o trattamento di acque reflue.
