Novedades sobre la figura del referente para la ciberseguridad en PA, previsto por el artículo 8 de la ley 90 del 28 de junio de 2024. El pasado agosto, el’ACN, la Agencia Nacional de Ciberseguridad, ha de hecho establecido las modalidades de comunicación del nombramiento por parte de los sujetos implicados.
Esto es lo que necesitas saber:
la comunicación a la ACN debe realizarse vía PEC a la dirección de correo electrónico certificada de la ACN (acn@pec.acn.gov.it) y deberá contener:
- La nómina del referente para la ciberseguridad (redactada en forma libre) firmada digitalmente por el representante legal del sujeto, o por persona delegada por este (en este último caso, adjuntar también el poder de delegación);
- el “módulo referente para la ciberseguridad” completado y firmado por el referente para la ciberseguridad, aquí es posible descargarlo: https://www.acn.gov.it/portale/referente-per-la-cybersicurezza
Aclaremos un poco y tracemos los puntos clave de esta nueva figura.
¿Por qué un referente de ciberseguridad?
La figura del referente ciberseguridad nació para defender a las AAPP de los desafíos de la seguridad digital ante un aumento masivo de amenazas cibernéticas y de la dependencia a nivel administrativo de las tecnologías de la información. Se trata, por tanto, de una figura polifacética que debe ser capaz no solo de abordar, sino también de prevenir posibles ataques y, por ende, de garantizar un entorno tecnológico seguro a través de un enfoque holístico. Su formación, por tanto, debe abarcar conocimientos técnicos, capacidades de análisis, de comunicación, de resolución de problemas y de gestión de riesgos.
¿Cuál es la referencia normativa?
La figura del referente se introduce mediante ley 90 del 28 de junio de 2024 “Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici”. In particolare, el arte 8 “Fortalecimiento de la resiliencia de las administraciones públicas y referente de ciberseguridad” preve la creación de una estructura para el desarrollo de políticas y procedimientos de seguridad. Dentro de esta estructura, se deberá designar al referente de ciberseguridad.
¿Cuáles son las AP afectadas?
Deben nombrar al referente las Administraciones Públicas centrales, las regiones y las provincias autónomas de Trento y Bolzano, las ciudades metropolitanas, los municipios con una población superior a 100.000 habitantes y, en cualquier caso, los municipios cabecera de región, las sociedades de transporte público urbano con una población no inferior a 100.000 habitantes, las sociedades de transporte público extraurbano que operan en el ámbito de las ciudades metropolitanas y las empresas sanitarias locales.
¿Qué características debe tener el referente?
La ley es clara: el sujeto identificado debe poseer competencias y experiencia comprobadas en ciberseguridad. Si las administraciones no disponen de personal con estas características, pueden nombrar a un empleado de una administración pública, previa autorización de esta última. La estructura y el referente de ciberseguridad pueden encontrarse, respectivamente, en la oficina RTD y en su responsable.
¿Cuáles son las tareas del referente?
La estructura y el referente deben encargarse del desarrollo de las políticas de ciberseguridad; de la producción y actualización de sistemas de análisis preventivo y de un plan de gestión de riesgos; de la producción y actualización de un plan programático para la seguridad de datos, sistemas e infraestructuras; de la planificación y ejecución de intervenciones de fortalecimiento de capacidades para la gestión de riesgos cibernéticos; de la aplicación de las medidas previstas en las directrices de la ACN.
En fin, el tema de la ciberseguridad dentro de las Administraciones Públicas no puede ser evadido más, de hecho, requiere una intervención masiva e inmediata. Porque si el recurso a la tecnología es ahora imprescindible en la vida administrativa cotidiana, hay que hacerse cargo, sin embargo, de toda una serie de aspectos relacionados con él, como precisamente el de la ciberseguridad. Por lo tanto, las PA están llamadas a un nuevo esfuerzo que requiere incluso antes de un cambio organizativo, un cambio cultural a todos los niveles administrativos para poder hacer frente al escenario actual y garantizar un servicio seguro a los usuarios.
