Legge 90/2024: la tassonomia mancante, e chi alla fine l’ha scritta

Uno scenario tipico, non un caso nostro. Un comune con più di 100.000 abitanti scopre un incidente sui propri sistemi informativi. L’ufficio legale sa che la legge 90/2024 impone di segnalarlo entro ventiquattro ore e di notificarlo entro settantadue. Ma chi deve scrivere materialmente quella segnalazione si pone un’altra domanda: questo evento rientra fra quelli da segnalare? Per rispondere serve una tassonomia. Fino al 17 febbraio di quest’anno, quella tassonomia non esisteva in nessun atto pubblico consultabile.

L’obbligo, e chi lo deve rispettare

La platea è ampia e tutta pubblica: la legge 28 giugno 2024, n. 90 impone l’obbligo, all’articolo 1, comma 1, alle amministrazioni centrali, alle regioni e province autonome, alle città metropolitane, ai comuni sopra i 100.000 abitanti e ai capoluoghi di regione, alle aziende sanitarie locali e alle società di trasporto pubblico di una certa dimensione, comprese le rispettive in house per informatica, trasporti, acque reflue e rifiuti. Il comma 2 fissa i tempi: segnalazione «senza ritardo e comunque entro il termine massimo di ventiquattro ore», notifica completa entro settantadue, per «qualunque incidente riconducibile a una delle tipologie individuate nella tassonomia di cui al comma 1». Tutto dipende da quella tassonomia: senza, un ente non sa se l’evento che ha davanti rientra nell’obbligo.

Un rinvio che si appoggiava a un elenco riservato

Il testo della legge, come pubblicato il 2 luglio 2024 ed entrato in vigore il 17 luglio, non scriveva la tassonomia: rinviava. Gli incidenti da segnalare erano quelli «di cui all’articolo 1, comma 3-bis, del decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133, come modificato dall’articolo 3 della presente legge». Quel comma 3-bis, nel decreto sul perimetro di sicurezza nazionale cibernetica, riguardava testualmente «i soggetti di cui al comma 2-bis» — l’elenco dei soggetti inclusi nel perimetro, elenco per il quale lo stesso decreto esclude il diritto di accesso. La platea larga e pubblica della legge 90/2024 — comuni, ASL, aziende di trasporto — ereditava così la tassonomia scritta per una platea diversa e riservata, definita a sua volta da «determinazioni tecniche del direttore generale, sentito il vice direttore generale, dell’Agenzia per la cybersicurezza nazionale». Un rinvio a un rinvio, ma un aggancio che teneva.

Il comma sparisce, il rinvio resta scritto uguale

L’aggancio si spezza nell’ottobre 2024. L’articolo 43, comma 2, lettera a), del decreto legislativo 4 settembre 2024, n. 138 — il decreto di recepimento della direttiva NIS2, pubblicato in Gazzetta il 1° ottobre — abroga il comma 3-bis dell’articolo 1 del decreto perimetro: quell’articolo 43 è in vigore dal 16 ottobre, e nel testo consolidato di Normattiva il comma 3-bis sparisce dalla versione vigente dal 18 ottobre 2024. Da allora la disposizione a cui la legge 90/2024 rinviava non esiste più nell’ordinamento. Il testo dell’articolo 1, comma 1, della legge 90/2024, però, resta scritto identico: su Normattiva risulta vigente in quella stessa formulazione dal 17 luglio 2024 al 9 ottobre 2025. Per un anno, un obbligo di notifica in ventiquattro ore, gravante su migliaia di soggetti pubblici, indicava come propria fonte un comma abrogato. Chi avesse letto solo la legge 90/2024, senza incrociarla con il decreto NIS, non se ne sarebbe accorto.

La correzione arriva da un’altra legge

A colmare il vuoto non interviene un decreto sulla cybersicurezza, ma l’articolo 28, comma 2, lettera a), della legge 23 settembre 2025, n. 132 — «Disposizioni e deleghe al Governo in materia di intelligenza artificiale», la legge italiana sull’IA, pubblicata il 25 settembre 2025. Dentro l’articolo rubricato «Disposizioni finali», in vigore dal 10 ottobre 2025, le parole ormai orfane sono sostituite da queste: la tassonomia è «adottata con determinazione tecnica del direttore generale dell’Agenzia per la cybersicurezza nazionale». Non più un rinvio a un’altra legge, ma una delega diretta a un atto amministrativo di un singolo ufficio. La riparazione, però, è solo di forma: la delega esiste, l’atto che dovrebbe eseguirla ancora no.

Quattro mesi dopo, la firma

La determina arriva il 9 febbraio 2026, pubblicata in Gazzetta Ufficiale n. 39 del 17 febbraio 2026. Il suo articolo 1 dispone: «I soggetti di cui all’art. 1, comma 1, della legge 28 giugno 2024, n. 90, segnalano e notificano gli incidenti indicati nella tassonomia di cui all’allegato A alla presente determina». L’allegato A elenca tre codici, non uno di più: IS-1, la perdita di riservatezza verso l’esterno di dati del soggetto o su cui esercita un controllo anche parziale; IS-2, la stessa perdita, ma di integrità; IS-3, la violazione dei livelli di servizio attesi. Il comma 2 allinea la tassonomia a quella degli «incidenti significativi di base» fissata per il decreto NIS dall’allegato 3 della determina ACN n. 379907 del 19 dicembre 2025: chi rientra in entrambi i regimi assolve con un’unica notifica. Sono gli stessi tre codici, quasi con le stesse parole, ma con una differenza che pesa: nell’allegato NIS i livelli di servizio di IS-3 sono quelli «stabiliti ai sensi della misura DE.CM-01», nell’allegato A di febbraio quelli «stabiliti dal soggetto». In calce la firma, «Il direttore generale: Frattasi», e la formula «sentito il vice direttore generale»: la stessa del comma abrogato sedici mesi prima.

Chi scrive, chi riceve

Dal 18 ottobre 2024, giorno da cui il testo consolidato non porta più quel comma, al 17 febbraio 2026, giorno della pubblicazione della determina, passano 487 giorni: sedici mesi in cui la fonte della tassonomia era prima un comma inesistente, poi — dal 10 ottobre 2025 — una delega non ancora esercitata. Colmato quel vuoto, resta un fatto che nessuna delle due versioni del testo cambia: a scrivere quali eventi contano come incidente, per una platea di migliaia di enti pubblici, è la stessa Agenzia a cui quegli enti li devono notificare, tramite il portale che l’Agenzia gestisce. Per un comune o un’azienda sanitaria questo significa una cosa precisa: il criterio con cui si giudica se un evento andava segnalato può cambiare con una determina — non con una legge — e senza che l’ente notificante abbia voce nella sua stesura.

Come lo risolviamo noi

Il codice IS-3 rende il problema pratico ancora più stretto: l’allegato A lo fa scattare sulla base dei livelli di servizio attesi stabiliti dal soggetto stesso — un dato che l’allegato non definisce, e che quindi ogni ente deve essersi già dato da sé, per iscritto, prima che l’incidente accada. Nella maggior parte delle amministrazioni quel dato non sta in un unico sistema: il monitoraggio di rete lo tiene un fornitore, i log applicativi un altro, gli accordi di servizio interni — quando esistono — stanno in un contratto o in una delibera che nessuno dei due consulta. Sapere se un evento supera IS-1, IS-2 o IS-3 richiede prove che vivono in sistemi diversi, più un parametro che nessun sistema tecnico possiede se l’ente non lo ha prima scritto. È il principio su cui costruiamo il resto: un fascicolo unico e sempre aggiornato che tiene insieme il monitoraggio tecnico e le soglie che l’ente si è dato, con agenti AI che eseguono le verifiche e un operatore che firma la decisione. On-premise sull’infrastruttura del cliente, oppure su cloud dedicato con data center in Italia e locali che presidiamo.

Dovete capire se il vostro ente rientra fra i soggetti dell’articolo 1 e cosa la nuova tassonomia vi impone di segnalare? Mezz’ora con un nostro esperto.

Quello che non sappiamo

Non facciamo consulenza legale: lavoriamo su fonti pubbliche, qui i testi di Normattiva vigenti alla data odierna e la Gazzetta Ufficiale n. 39 del 17 febbraio 2026. L’articolo 43 che dispone l’abrogazione è in vigore dal 16 ottobre 2024, ma il testo consolidato di Normattiva porta ancora il comma 3-bis nella versione vigente da quel giorno e lo perde solo da quella del 18: due giorni di scarto che non sappiamo spiegare, e che abbiamo contato per prudenza a favore del legislatore. Non abbiamo verificato se, prima dell’abrogazione, l’Agenzia avesse già adottato una determinazione tecnica ai sensi del comma 3-bis allora vigente: se esiste, resta fuori da questa ricostruzione. Non abbiamo letto il d.P.C.M. 14 aprile 2021, n. 81, richiamato dal comma abrogato. E non abbiamo trovato, né sul sito dell’Agenzia né in Gazzetta Ufficiale, un atto che, fra il 10 ottobre 2025 e il 9 febbraio 2026, colmasse anche solo in via provvisoria la delega non ancora esercitata: se un ente ha dovuto segnalare un incidente in quella finestra, non sappiamo con quale criterio.