CYBERSECURITY: REGULATION AND POLICY - POLITICHE E REGOLAZIONE

CYBERSECURITY: REGULATION AND POLICY - POLITICHE E REGOLAZIONE

Paola Severino, Rossella Sabia

Obiettivi formativi

Fornire allo studente una panoramica dei rischi connessi alla crescente digitalizzazione dei processi economici e comunicativi. Fornire allo studente gli strumenti di analisi per valutare gli ambiti di rilevanza penale delle condotte criminose commesse online o avvalendosi degli strumenti informatici e telematici. Studio della c.d. cybersecurity dal punto di vista giuridico-normativo, condotto secondo un approccio integrato che tenga conto della trasversalità e interdisciplinarietà che caratterizzano la materia.

Risultati di apprendimento attesi

Conoscenza e comprensione: lo studente avrà acquisito piena conoscenza dei reati informatici e delle condotte illecite commesse mediante l’uso delle tecnologie informatiche. Lo studente sarà altresì in grado di riconoscere le misure di compliance normativa rilevanti in materia di sicurezza informatica e di responsabilità delle persone giuridiche per tali tipologie di illeciti. L’acquisizione di siffatte conoscenze sarà accertata attraverso la valutazione delle presentazioni in aula svolte dagli studenti. Al termine del corso, si terrà un colloquio orale. Capacità di applicare conoscenza e comprensione: Lo studente, grazie alla conoscenza delle nozioni fondamentali della sicurezza informatica, saprà applicare, anche con riferimento alla risoluzione di casi pratici, gli istituti rilevanti per delimitare la responsabilità individuale e collettiva connessi alla gestione del c.d. rischio informatico. Lo studente disporrà così delle conoscenze di base della materia necessarie a operare come professionista all’interno delle imprese che utilizzano sistemi informatici, e sarà altresì in grado di mettere in correlazione le nozioni apprese con tematiche proprie di altri settori disciplinari (es. management, informatica giuridica, information security). Lo studente saprà applicare gli strumenti della scienza penalistica per la risoluzione di casi pratici e per l’esposizione orale. Tali conoscenze saranno accertate attraverso la valutazione delle presentazioni in aula svolte e il colloquio finale. La presenza di contenuti multimediali sulla piattaforma online e lo svolgimento dei laboratori consentirà di verificare in tempo reale le competenze hard e soft acquisite dagli studenti. Autonomia di giudizio: Lo studente, attraverso l’utilizzo delle corrette metodologie di studio e ricerca acquisite durante il corso, sarà in grado di raccogliere dati e materiali per analizzare le normative rilevanti nonché gli orientamenti giurisprudenziali e dottrinali relativi alle fattispecie criminose considerate. Sarà inoltre in grado di individuare le misure basilari di compliance per far fronte ai rischi per la sicurezza informatica all’interno delle organizzazioni complesse. Lo studente, quindi, avrà acquisito – anche mediante la partecipazione ai diversi laboratori previsti – la capacità di valutare tali dati e materiali in autonomia e di formulare il proprio giudizio critico sull’applicazione dei principi e delle categorie fondamentali del diritto penale a casi pratici. Abilità comunicative: al termine del corso lo studente sarà in grado di padroneggiare il dizionario di base della cybersecurity, affrontando le questioni giuridiche sottoposte alla sua attenzione con proprietà di linguaggio e utilizzo del gergo tecnico della sicurezza informatica. Lo studente saprà mettere in pratica dette abilità comunicative in contesti diversi, acquisendo ulteriori capacità argomentative nonché l’abilità di adattare i termini utilizzati al contesto e all’interlocutore. Capacità di apprendimento: le conoscenze acquisite durante il corso consentiranno allo studente di comprendere e interpretare in autonomia le modifiche normative, collocando le nozioni apprese nella c.d. parte speciale del diritto penale. La conoscenza e l’applicazione di tali principi e istituti durante il corso fornirà allo studente quella solida conoscenza degli aspetti fondamentali della disciplina penalistica per intraprendere i diversi percorsi di specializzazione professionale. Inoltre, attraverso la partecipazione ai laboratori, lo studente saprà utilizzare le basilari metodologie per progettare e presentare i risultati di una ricerca non solo in ambito penalistico, ma anche in ambito gestionale.

Contenuti Del Corso

L’esame delle politiche normative in tema di cybersecurity sul piano interno e internazionale; la prevenzione e repressione dei reati informatici; la digital privacy; le data protection policies; le nuove frontiere della cybersecurity. Nel dettaglio: I principi e le nozioni di base della sicurezza informatica. I cyberattack I reati informatici in generale e le principali fonti normative I delitti informatici contro il patrimonio e le truffe online Tutela della persona e cyberspazio Nuove frontiere tecnologiche e sistema penale Misure di protezione, responsabilità collettiva e cooperazione internazionale

Testi Di Riferimento

Severino-Gullo (a cura di), Diritto penale e cybersecurity, Giappichelli, 2025 (in corso di pubblicazione). Eventuali materiali didattici saranno messi a disposizione sulla piattaforma online.

Metodologie Didattiche

Lezioni teoriche; confronto con gli studenti su casi; laboratori pratici.

Modalità di verifica dell'apprendimento

L’esame finale consiste in un colloquio orale in cui lo studente dovrà dimostrare l’acquisizione dei risultati di apprendimento attesi in relazione, anzitutto, alla indispensabile conoscenza dei reati commessi online o avvalendosi degli strumenti informatici e telematici oggetto di studio durante il corso. Lo studente dovrà altresì dimostrare la propria capacità di individuare le misure basilari di compliance per far fronte ai rischi per la sicurezza informatica all’interno delle organizzazioni complesse. Lo studente dovrà saper utilizzare un appropriato lessico giuridico e operare correttamente la sussunzione di casi concreti all’interno della norma di riferimento. Lo studente dovrà inoltre dimostrare di sapersi confrontare in modo personale con le disposizioni e gli indirizzi applicativi rilevanti, così da sviluppare un’autonoma capacità di studio della materia. Ai fini dell’attribuzione del voto in trentesimi si terrà conto dei seguenti criteri di valutazione: - conoscenza e comprensione delle fattispecie di reato oggetto del corso, capacità di analizzare e gestire i rischi per la sicurezza informatica (70 %); proprietà del lessico tecnico-giuridico, capacità di valutare e analizzare in autonomia le fonti rilevanti, attività svolte durante il corso (30 %). Sulla base dei criteri di valutazione sopra descritti, per gli studenti che hanno frequentato almeno l’80 % delle lezioni, la partecipazione al processo simulato verrà valutata per il 30 % in sede di esame finale. Il restante 70 % della valutazione sarà attribuito secondo le modalità e i criteri di valutazione sopra indicati nel contesto della prova orale finale. La presenza di lacune formative su uno o più istituti o fattispecie comporterà una valutazione insufficiente anche in presenza di una conoscenza di base della materia.

Criteri per l’assegnazione dell’elaborato finale

Interesse e attitudine manifestati per la disciplina; buon risultato all’esito delle verifiche di profitto; aver svolto con partecipazione e impegno la presentazione in aula.

Settimana 1

Dalla repressione dei reati alla prevenzione del rischio: le nuove frontiere di tutela / Definizione di sicurezza informatica / Nozioni di base della cybersecurity / Cyber risk e misure di protezione / Profili penalistici della sicurezza informatica / La sicurezza informatica, governance del cyber-risk e profili di rilevanza penale --- Parti del manuale di riferimento relative ai temi trattati nella presente settimana: Parte I - Cap. I

Settimana 2

Fattori di evoluzione della criminalità informatica: transnazionalità, duttilità delle tecniche di attacco, anonimità, desensibilizzazione / Il luogo di commissione del reato informatico. Misure minime di sicurezza e circolari AgID e Linee Guida ACN/ Normativa NIS e operatori dei servizi essenziali / La Direttiva NIS 2, il D. Lgs. 138/2024 e la normativa secondaria di attuazione --- Parti del manuale di riferimento relative ai temi trattati nella presente settimana: Parte I - Cap. II Parte III – Cap. IX

Settimana 3

Le competenze dell’Unione Europea. La Direttiva 2013/40/UE sugli attacchi contro i sistemi di informazione. / Cenni al Regolamento Dora, Direttiva CER, e Cyber Resilience Act / Piani strategici nazionali e perimetro nazionale di sicurezza cibernetica / La Legge 90/2024
 Le caratteristiche del cyberspazio e i riflessi sul piano penale. 
Definizioni e categorie del diritto penale dell’informatica Cybercrime: il quadro internazionale e gli obblighi di criminalizzazione.
 La Convenzione di Budapest 
/ La Convenzione ONU sul Cybercrime --- Parti del manuale di riferimento relative ai temi trattati nella presente settimana: Parte I - Cap. I e II Parte III – Cap. IX

Settimana 4

Controlli e controllori: nuovi diritti e posizioni di garanzia nel cyberspazio. 
La responsabilità per omesso impedimento di reati da parte del prestatore di servizi digitali (provider): dalle disposizioni del D. Lgs. 70/2003 al recente quadro normativo.
 La tutela penale della riservatezza informatica. L’accesso abusivo a un sistema informatico o telematico. Struttura del reato e analisi casistica e giurisprudenziale Diffusione e detenzione di codici di accesso a sistemi informatici (art. 615-quater c.p.)

 La tutela penale delle comunicazioni informatiche o telematiche (artt. 617- quater ss. c.p.)
 --- Parti del manuale di riferimento relative ai temi trattati nella presente settimana: Parte I - Cap. III Parte II – Cap. IV

Settimana 5

Esercitazione pratica. Controlli e controllori: nuovi diritti e posizioni di garanzia nel cyberspazio. I leading case e la posizione della giurisprudenza nazionale ed europea.

 Hosting attivo e responsabilità per concorso attivo: recente casistica giurisprudenziale.
 Ipotesi di responsabilità per pura omissione
 Violazione degli obblighi di cooperazione e responsabilità dell’ISP Discorsi d’odio e responsabilità del provider L’accesso abusivo a un sistema informatico o telematico. Il luogo di commissione del reato informatico nell’evoluzione giurisprudenziale La tutela penale dell’integrità dei dati e dei sistemi informatici
 Evoluzione storico-normativa e analisi delle fattispecie di reato di danneggiamento (artt. 635-bis c.p. ss.) --- Parti del manuale di riferimento relative ai temi trattati nella presente settimana: Parte I - Cap. III Parte II – Cap. IV Parte II – Cap. VI

Settimana 6

Cyberspazio e tutela della persona
 Diffamazione telematica e reati in materia di stampa.
 Stampa cartacea e stampa online 
La responsabilità del direttore del periodico 
Recenti approdi giurisprudenziali

 Disinformazione e responsabilità penale Esercitazione. Le tipologie di attacchi cyber Quiz sui temi affrontati nella precedente parte del corso --- Parti del manuale di riferimento relative ai temi trattati nella presente settimana: Parte II – Capitolo V – Sezioni II e III

Settimana 7

Cyberspazio e tutela della persona 
 Pornografia minorile (art. 600-ter ss. c.p.) e analisi della casistica giurisprudenziale.
 Revenge porn (art. 612-ter c.p.)

 Dalla responsabilità della persona fisica alla responsabilità dell’ente.
Rischio informatici e attività d’impresa. 
Art. 24-bis D. Lgs. 231/2001
 --- Parti del manuale di riferimento relative ai temi trattati nella presente settimana: Parte II – Capitolo V – Sezione I Parte III – Cap. X

Settimana 8

Cyberterrorismo. I delitti con finalità di terrorismo mediante l’uso dello strumento telematico. Il quadro giuridico europeo e internazionale
 La Direttiva 2017/541/UE e gli obblighi di criminalizzazione 
Il quadro legislativo italiano e le recenti modifiche normative --- Parti del manuale di riferimento relative ai temi trattati nella presente settimana: Parte II – Capitolo VIII

Settimana 9

La tutela penale del patrimonio nel cyberspazio
 La frode informatica (art. 640-ter c.p.) 
Il phishing
La truffa via web e le altre frodi telematiche L’estorsione informatica (art. 629, comma 3, c.p.) 

Financial cybercrime: fenomenologia e misure di contrasto Nuove frontiere tecnologiche e rischio penale
 Riciclaggio e autoriciclaggio nell’era digitale 
Cyberlaundering
 Valute virtuali e prevenzione del riciclaggio Soggetti destinatari e obblighi di segnalazione. Attività speculative e autoriciclaggio virtuale Processo simulato: verifica dell’andamento dei lavori --- Parti del manuale di riferimento relative ai temi trattati nella presente settimana: Parte II – Cap. VII

Settimana 10

La tutela penale del dato personale La protezione dei dati personali: evoluzione della disciplina Il GDPR e il D. Lgs. 101/2018
 Soggetti e obblighi connessi al trattamento L’apparato sanzionatorio amministrativo.
 Il trattamento illecito di dati (art. 167 D. Lgs. 196/2003)
 --- Parti del manuale di riferimento relative ai temi trattati nella presente settimana: Parte III – Cap. XI

Settimana 11

(Segue) La tutela penale del dato personale Comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala (art. 167- bis)
 Acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala (art. 167- ter)
 La tutela penale delle funzioni del Garante (artt. 168 e 170) --- Parti del manuale di riferimento relative ai temi trattati nella presente settimana: Parte III – Cap. XI

Settimana 12

Intelligenza artificiale, criminalità informatica e cybersecurity Intelligenza artificiale e criminal compliance Processo simulato --- Parti del manuale di riferimento relative ai temi trattati nella presente settimana: Parte IV- Capitoli XV e XVI