INDICE

Sulla pubblicità dei lavori:
Colosimo Chiara , Presidente ... 3 

Audizione di Giovanni Melillo, Procuratore nazionale antimafia e antiterrorismo:
Colosimo Chiara , Presidente ... 3 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 3 
Pittalis Pietro (FI-PPE)  ... 21 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 21 
Colosimo Chiara , Presidente ... 24 
Verini Walter  ... 25 
Colosimo Chiara , Presidente ... 25 
Verini Walter  ... 25 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 25 
Colosimo Chiara , Presidente ... 25 
Iannone Antonio  ... 25 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 25 
Cantalamessa Gianluca  ... 26 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 26 
Cantalamessa Gianluca  ... 26 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 26 
Cantalamessa Gianluca  ... 26 
Colosimo Chiara , Presidente ... 26 
Cantalamessa Gianluca  ... 26 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 26 
Cantalamessa Gianluca  ... 27 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 27 
Cantalamessa Gianluca  ... 27 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 27 
Cantalamessa Gianluca  ... 27 
Scarpinato Roberto Maria Ferdinando  ... 27 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 28 
D'Attis Mauro (FI-PPE)  ... 30 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 30 
Paita Raffaella  ... 32 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 33 
Pittalis Pietro (FI-PPE)  ... 34 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 34 
Pittalis Pietro (FI-PPE)  ... 34 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 34 
Verini Walter  ... 35 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 36 
Verini Walter  ... 36 
Colosimo Chiara , Presidente ... 36 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 36 
Colosimo Chiara , Presidente ... 36 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 36 
Colosimo Chiara , Presidente ... 37 
Gubitosa Michele (M5S)  ... 37 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 38 
Colosimo Chiara , Presidente ... 39 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 39 
Gubitosa Michele (M5S)  ... 39 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 39 
Gubitosa Michele (M5S)  ... 39 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 39 
Colosimo Chiara , Presidente ... 40 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 40 
Zanettin Pierantonio  ... 40 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 40 
Zanettin Pierantonio  ... 40 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 40 
Zanettin Pierantonio  ... 40 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 40 
Zanettin Pierantonio  ... 41 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 41 
Zanettin Pierantonio  ... 41 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 41 
Zanettin Pierantonio  ... 41 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 41 
Zanettin Pierantonio  ... 41 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 41 
Sallemi Salvatore  ... 42 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 43 
Serracchiani Debora (PD-IDP)  ... 43 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 43 
Serracchiani Debora (PD-IDP)  ... 43 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 43 
Serracchiani Debora (PD-IDP)  ... 43 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 44 
Serracchiani Debora (PD-IDP)  ... 44 
Colosimo Chiara , Presidente ... 44 
Serracchiani Debora (PD-IDP)  ... 44 
Colosimo Chiara , Presidente ... 44 
Serracchiani Debora (PD-IDP)  ... 44 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 44 
Sisler Sandro  ... 45 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 46 
Sisler Sandro  ... 46 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 46 
Piccolotti Elisabetta (AVS)  ... 46 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 47 
Piccolotti Elisabetta (AVS)  ... 47 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 48 
Colosimo Chiara , Presidente ... 49 
Congedo Saverio (FDI)  ... 49 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 49 
Congedo Saverio (FDI)  ... 49 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 49 
Congedo Saverio (FDI)  ... 49 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 50 
Colosimo Chiara , Presidente ... 50 
Russo Raoul  ... 50 
Melillo Giovanni , Procuratore nazionale antimafia e antiterrorismo ... 51 
Colosimo Chiara , Presidente ... 51

PRESIDENZA DEL PRESIDENTE
CHIARA COLOSIMO

  La seduta inizia alle 16.40.

Sulla pubblicità dei lavori.

  PRESIDENTE. Buon pomeriggio a tutti.
  Avverto che, se non vi sono obiezioni, la pubblicità dei lavori della seduta odierna sarà assicurata anche tramite impianto audiovisivo a circuito chiuso, nonché via streaming sulla web-tv della Camera.

Audizione di Giovanni Melillo, Procuratore nazionale antimafia e antiterrorismo.

  PRESIDENTE. L'ordine del giorno reca l'audizione del Procuratore nazionale antimafia e antiterrorismo, dottor Giovanni Melillo, accompagnato dal maggiore della Guardia di finanza Eugenio Marmorale, che è il referente operativo, responsabile del gruppo di lavoro SOS, segnalazione di operazioni sospette, della Direzione nazionale antimafia e antiterrorismo, a cui do il benvenuto e che ringrazio per essere qui oggi.
  Ricordo che la seduta odierna si svolge nelle forme dell'audizione libera ed è aperta alla partecipazione da remoto ai componenti della Commissione. I lavori potranno proseguire in forma segreta a richiesta degli auditi o dei colleghi. In tal caso, ovviamente, non sarà più consentita la partecipazione da remoto e verrà interrotta la trasmissione via streaming sulla web-tv.
  A questo punto, ringraziandolo ancora per la disponibilità, do direttamente la parola al Procuratore nazionale per la sua relazione. Grazie.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Sono io a dover esprimere il mio ringraziamento più sentito alla presidente Chiara Colosimo e alla Commissione tutta per aver accolto la richiesta mia e del procuratore della Repubblica di Perugia di essere auditi.
  Era una richiesta animata da un semplice e sincero spirito di collaborazione istituzionale, che noi riteniamo doveroso, anche alla luce della nostra convinta adesione a una visione delle Istituzioni, anche giudiziarie, aperta al bisogno sociale di conoscenza e di verifica del loro agire, e dunque aperta alle regole e ai tempi propri del controllo democratico, per ricordare un vecchio scritto di un illustre costituzionalista come Alessandro Pizzorusso, alle regole della partecipazione democratica, alle diverse forme dell'amministrazione della giustizia.
  Naturalmente questa disponibilità è stata espressa innanzitutto al Consiglio superiore della magistratura, che è l'organo di governo autonomo della magistratura e come tale depositario di funzioni di indirizzo e di vigilanza dell'operato degli uffici giudiziari, ma anche di funzioni di tutela dell'autonomia e dell'indipendenza della magistratura, valori che si nutrono di autorevolezza e affidabilità delle sue Istituzioni e sono beni che tocca ai magistrati preservare e che impongono verifiche e controlli anche stringenti, ma che non tollerano il gioco delle insinuazioni e delle manovre strumentali, perché sono beni di tutti, semplicemente.
  Ecco, la convocazione di codesta Commissione corrisponde immediatamente, anche per la ordinaria pubblicità delle sue sedute, anche all'esigenza di venire incontro all'interesse pubblico a un'informazione completa e obiettiva, capace di cogliere i fatti e i problemi e di allontanare il Pag. 4pericolo di disinformazione, di speculazioni e di letture strumentali di vicende che riguardano delicate funzioni statuali, per tacere ovviamente delle punte di scomposta polemica che sembrano mirare non ad analizzare la realtà e a contribuire alla sua comprensione e all'avanzamento degli equilibri del sistema, ma a incrinare l'immagine del mio ufficio e a delegittimare l'idea stessa di Istituzioni neutrali, come la Procura nazionale antimafia e magari dopo anche la Banca d'Italia, l'idea stessa, cioè, che Istituzioni neutrali abbiano un essenziale ruolo di garanzia nella tenuta del nostro sistema antiriciclaggio.
  Su questo terreno, l'ufficio che ho l'onore e la responsabilità di dirigere può dire di avere le carte pienamente in regola, avendo sviluppato con grande impegno azioni e iniziative di profonda trasformazione dei metodi e delle prassi di lavoro, nella piena trasparenza delle scelte e con la condivisione unanime di tutti i procuratori distrettuali. Una condizione di credibilità e autorevolezza, quella del mio ufficio, che il Governo dapprima e il Parlamento dopo hanno apertamente riconosciuto appena poche settimane fa, in occasione della conversione in legge del decreto n. 105 del 2023, con il quale sono state affidate al Procuratore nazionale antimafia e antiterrorismo le funzioni di impulso investigativo anche in materia di sicurezza cibernetica e dunque anche con riferimento ai delitti come quelli oggetto delle indagini perugine. Un passaggio normativo importante, perché consente di applicare la cultura del coordinamento investigativo in una materia segnata finora da frammentazione delle conoscenze e disomogeneità delle iniziative giudiziarie. Sul punto dovremo tornare, dovrò tornare, ma intanto preme l'esigenza di offrire alla Commissione un quadro informativo completo dello scenario normativo, istituzionale, organizzativo e operativo nel quale si sono realizzate molte delle condotte illecite per le quali procede il procuratore della Repubblica di Perugia.
  Naturalmente la complessità anche tecnica della materia comporta l'accettazione preventiva della triste necessità che la mia esposizione sia lunga e possa apparire anche un po' noiosa, ma alternativa non c'è se si vuol comprendere la cifra reale dei nodi problematici che ruotano intorno alla gestione delle segnalazioni di operazioni finanziarie sospette e, più in generale, i nodi problematici che ruotano attorno alla protezione dei patrimoni digitali necessari all'azione di prevenzione e repressione dei più gravi fenomeni criminali. Un'azione che è propria della magistratura, delle forze di polizia e anche dei servizi di informazione per la sicurezza della Repubblica.
  Naturalmente non mi sottrarrò, nei limiti del segreto investigativo che ancora copre gran parte degli atti dell'indagine condotta dal procuratore di Perugia, a fornire alla Commissione ogni dato e ogni informazione necessari a dar conto dei metodi adottati e dei risultati conseguiti nell'impiego dei delicati dati che confluiscono nella nostra banca dati, convinto come sono – ma sono qui per darne conto alla Commissione, dunque al Parlamento – che il mio ufficio abbia fatto e stia facendo tutto quanto necessario per svolgere al meglio le sue delicate e complesse attività, operando in questa prospettiva insieme e concordemente alle altre Istituzioni che hanno un ruolo nel sistema antiriciclaggio e di prevenzione del rischio di utilizzo del sistema finanziario anche a scopi di finanziamento del terrorismo.
  Tralascerò naturalmente di ricostruire compiutamente il quadro normativo di riferimento che è internazionale, sovranazionale e nazionale, dovendo credere che farei esercizio non necessario per ciascun componente della Commissione. Mi limiterò a pochi cenni essenziali, soltanto per sgombrare il campo da raffigurazioni come quelle circolate negli ultimi tempi piuttosto irreali, ma naturalmente sono pronto a riprendere il tema normativo per chiarire eventualmente ogni dubbio e per rispondere alle vostre domande.
  Per fare una sintesi obiettivamente brutale, le segnalazioni di operazioni sospette sono oggetto di un obbligo di tutti i soggetti inseriti nel sistema finanziario, istituti di credito, professionisti, eccetera, che sono tutti puntualmente individuati dal legislatore, perché quel perimetro è definito dalla Pag. 5legge ed è progressivamente ampliato anche in corrispondenza ad avanzamenti del quadro normativo sovranazionale. Nel nostro ordinamento il concetto è stato inserito dalla legge n. 197 del 1991 e poi confermato e rafforzato con i decreti legislativi n. 56 del 2004 e n. 231 del 2007. Stiamo parlando del pilastro del sistema di prevenzione antiriciclaggio.
  La SOS rappresenta lo strumento attraverso il quale un soggetto obbligato porta a conoscenza dell'Unità di informazione finanziaria per l'Italia, che per noi è appunto un'Istituzione neutrale, dotata di uno speciale statuto, le operazioni delle quali si sa, si sospetta o si ha motivi ragionevoli per sospettare che siano in corso o siano state compiute o tentate semplicemente operazioni di riciclaggio e di finanziamento del terrorismo, o che comunque le movimentazioni finanziarie, indipendentemente dalla loro attività, siano ricollegabili a quel tipo di attività.
  La Direzione nazionale antimafia e antiterrorismo è stata individuata come destinataria delle SOS connesse alla criminalità organizzata e al terrorismo già con decreto legislativo n. 231 del 2007, che appunto prevedeva che la UIF trasmettesse, per il tramite della DIA e del Nucleo speciale, al Procuratore nazionale antimafia tutte le informazioni relative a operazioni sospette attinenti alla criminalità organizzata.
  Notevole rilevanza ha proprio questa disposizione, vale a dire l'articolo 8 del decreto legislativo, che prevede una serie di punti che è bene tener presente. La DNA riceve dalla UIF – l'articolo 8 ha subìto modificazioni anche recenti, nel 2017, ma questo è il testo vigente, quello a cui faccio riferimento – per il tramite del Nucleo speciale della DIA, i dati anagrafici dei soggetti censiti nelle segnalazioni, per la verifica della loro attinenza a procedimenti giudiziari in corso per i reati appunto di mafia e di terrorismo. Questi dati vengono sottoposti a una procedura di matching automatico, che si svolge secondo le regole di algoritmi e che serve appunto a trovare le connessioni tra i nominativi contenuti nelle SOS e i nominativi presenti nella nostra banca dati. È una condizione essenziale per poter poi trasferire queste informazioni alle procure distrettuali, che sono gli unici uffici titolari di poteri investigativi.
  Poi vi è anche la possibilità per la Direzione nazionale antimafia e antiterrorismo di chiedere all'UIF l'analisi dei flussi finanziari o studi e ricerche su singole anomalie, su determinate ipotesi di utilizzo del sistema finanziario a scopo di riciclaggio, su specifici settori dell'economia ritenuti a rischio, su categorie di strumenti di pagamento, eccetera.
  Con il decreto n. 90 del 2017 sono state apportate modifiche, prevedendo che la Direzione investigativa antimafia e il Nucleo speciale di polizia valutaria, destinatari di tutte le segnalazioni, trasmettano al Procuratore nazionale le SOS appunto attinenti alla criminalità organizzata e al terrorismo. Quindi, nel quadro normativo così delineato, il mio ufficio riceve le segnalazioni sospette, tanto dall'UIF quanto dalla DIA e dal Nucleo speciale di polizia valutaria (da ora lo chiameremo polizia valutaria, si fa prima), ferma restando la limitazione connessa a quelle attinenti alle materie di competenza della Direzione nazionale antimafia e antiterrorismo.
  Da ultimo, per dare un'ultima traccia della complessità anche della materia normativa, ai sensi dell'articolo 40, comma 1, lettera e), del decreto legislativo n. 231 del 2007, le SOS vengono trasmesse, nel caso di specifico interesse, anche agli organismi di informazione per la sicurezza della Repubblica. In questo caso, l'UIF ne dà informazione tempestiva alla polizia valutaria e alla DIA.
  Detto questo, anche per provare a promettere che la mia relazione non sarà solo una mera e grigia esposizione di dati e temi giuridici, proverei a fornire alcuni dati di immediata chiarezza percettiva, che possono peraltro aiutare a comprendere meglio che la complessità delle questioni che abbiamo di fronte non è governabile né ricorrendo a semplificazioni eccessive, né accontentandosi di impressioni vaghe e imprecise della realtà. Potrà essere per esempio interessante rilevare che, nella nostra banca dati, che è ben lontana dall'essere un Pag. 6mostro onnivoro, si ritrova soltanto una ridotta percentuale delle SOS generate dal sistema finanziario e trasmesse dalla Unità di informazione finanziaria, dall'UIF. Negli anni che vanno dal 2018 al 2023, quella percentuale oscilla tra l'8 e il 16 per cento di tutte le SOS generate dal sistema finanziario. È un dato di chiarificazione che non è ricavabile dalla legge, ma corrisponde ai criteri di gestione della piattaforma digitale della UIF, che è quella che governa, per così dire, i flussi e la loro gestione. Secondo questi criteri, come accennavo, tutte le SOS vengono a noi trasmesse, ma vengono trasmesse criptate e il meccanismo di protezione criptografica dei contenuti della SOS viene meno, e quindi la SOS diventa leggibile, solo quando quella determinata SOS si incrocia con i dati presenti nella nostra banca dati, dati relativi ai procedimenti in materia di criminalità organizzata e di terrorismo. Tutte le altre SOS restano illeggibili ai nostri sistemi.
  Naturalmente tutte le SOS sono conservate nella banca dati della Guardia di finanza e della DIA, oltre naturalmente che nella piattaforma UIF, che le raccoglie e ne origina la trasmissione. Si tratta di banche dati degli organi di polizia che le ricevono a cui naturalmente si accede secondo le regole proprie degli ordinamenti di polizia.
  Più esattamente tutte le SOS che non trovano riscontro nella banca dati della DNA, tutte quelle con match negativo, che vanno dall'84 al 92 per cento, oltre a essere oggetto delle analisi finanziarie dell'UIF, sono trasmesse alla DIA e al Nucleo speciale di polizia valutaria per le analisi, gli approfondimenti e l'impiego informativo previsto dai rispettivi ordinamenti. Qualcuno si chiederà il perché devono essere trasmessi anche alla Procura nazionale antimafia e antiterrorismo. Per la semplice ragione che sono informazioni decisive per l'efficace e tempestivo impulso dell'azione investigativa, ma sono informazioni importanti anche per l'analisi finanziaria dei comportamenti del sistema finanziario che fa la UIF.
  Al matching positivo corrisponde inevitabilmente la restituzione di informazioni qualificate che consentono poi di procedere a ricognizioni e analisi mirate. Naturalmente, se l'indagine è riservata, il matching indicherà semplicemente che a quel nominativo corrisponde un procedimento, ma non si sa nulla di quale sia l'ufficio che procede, quale sia il reato per il quale si procede, eccetera. Se, invece, le indagini hanno già raggiunto la fase della pubblicità, il che avviene con deposito dell'avviso di conclusione delle indagini, allora si restituisce all'UIF una serie importante di informazioni perché si restituiscono anche le informazioni relative al reato per il quale si procede. Questo consente importanti progressi. Tutta questa materia, che è di analisi finanziaria, credo sia meglio esplorarla con l'ausilio della competenza del direttore dell'UIF.
  Può essere altresì interessante segnalare che la già ridotta percentuale di SOS inserite nei nostri sistemi è destinata a ridursi assai significativamente per una sorta di self-restraint, per effetto della delimitazione del campo di matching che ho personalmente operato con provvedimento del 15 gennaio scorso, a valle del finalmente raggiunto obiettivo della revisione del protocollo sugli scambi informativi sulle SOS che è stato siglato il 21 dicembre scorso con il Capo della Polizia, il Direttore generale della pubblica sicurezza, il Comandante generale della Guardia di finanza, il Direttore della Direzione investigativa antimafia e il Direttore dell'Unità di informazione finanziaria. Un protocollo che, come poi dirò, rappresenta un deciso passo in avanti nella sicurezza dei flussi informativi in questa così delicata materia.
  Può essere anche utile tener conto che sono attualmente in corso indagini anche in relazione ad altri casi di accesso abusivo a SOS relative ad altre figure di rilievo mediatico avvenute anche nelle scorse settimane e dunque certamente per mani diverse da quelle a cui oggi sono ipoteticamente attribuiti i casi di accesso abusivo individuati dal procuratore di Perugia.
  Aggiungerei soltanto che si tratta di dati che non risultano mai entrati nella nostra disponibilità per le ragioni tecniche prima individuate.Pag. 7
  Ritengo anche importante, ma il tema potrà formare oggetto del vostro eventuale interesse credo compiutamente solo in occasione dell'audizione del procuratore di Perugia, prestare attenzione all'esigenza di verificare, anche con riferimento alla indagine perugina, quanti siano gli accessi abusivi nei sistemi della DNA che riguardano le SOS, quanti accessi alle SOS siano avvenuti attraverso i nostri database e anche quanti accessi abusivi non riguardino in alcun modo le SOS, ma un altro genere di patrimoni informativi digitali.
  Dico questo non per togliere nulla alla gravità delle cose che, a mio avviso, è estrema, perché la gravità dei fatti in corso di individuazione e accertamento nell'indagine del collega Cantone è estrema, lo dico soltanto per sottolineare la complessità, anch'essa estrema, del problema della corretta e rigorosa gestione delle banche dati nelle quali complessivamente, secondo canali e regole diversi e non sempre omogenei, confluiscono quelle e altre non meno delicate informazioni che è necessario raccogliere a fini di prevenzione e repressione dei reati.
  La consapevolezza della complessità del problema e nella mia visione anche la consapevolezza della serietà estrema dei rischi che gravano sull'immagine di trasparenza, di correttezza, di affidabilità di tutte le Istituzioni che gestiscono informazioni riservate, credo che potrà utilmente contribuire a valutare realisticamente l'adeguatezza degli attuali strumenti legislativi, degli attuali strumenti tecnologici, degli attuali assetti della pubblica amministrazione necessari per assicurare la tutela del segreto d'ufficio e di quello prettamente investigativo, ma anche la protezione dei diritti delle persone coinvolte dall'eventuale uso abusivo di quelle informazioni e di ogni altro patrimonio informativo destinato a fini di giustizia, alla prevenzione, all'accertamento dei reati, ma anche a tutelare la sicurezza della Repubblica.
  Confido che nel proseguire il mio dire sarà più chiaro rispetto a quanto ora mi limito ad accennare. Alcune cose vanno dette circa il valore delle SOS in generale per l'alimentazione delle funzioni di prevenzione e repressione dei reati, ma anche per le funzioni della Direzione nazionale antimafia e antiterrorismo. Può essere più semplice intuirlo se si pensa ai procedimenti di criminalità organizzata, essendo notoria la naturale vocazione delle organizzazioni mafiose a generare complessi e raffinati processi di accumulazione finanziaria. Certo, sono molto utili, si potrebbe fare anche molto di più, se per esempio nella prospettiva del PNRR e del contrasto della prevenzione, del contrasto dei rischi di condizionamento mafioso e della sua attuazione, finalmente le stazioni appaltanti, gli enti pubblici che fungono da stazione appaltante scoprissero, sia pur tardivamente, che per legge anche gli enti pubblici che agiscono nel settore degli appalti hanno da anni l'obbligo di segnalare operazioni finanziarie sospette.
  Potrete trovare conferma della ineffettività di questo obbligo nell'ultima relazione del direttore dell'Unità di informazione finanziaria per l'Italia, il quale segnalava che c'erano soltanto pochissime SOS generate da pubbliche amministrazioni. Non ha detto pubblicamente che si tratta di SOS generate da una o due società della stessa società a capitale pubblico, come tale tenuta.
  Vi è un principio di segretezza anche dell'identità del segnalante che, ovviamente, è un'identità fisica, che si proietta anche sull'identità dell'ente generatore dell'informazione.
  Comunque, sarebbe importante, per esempio, che anche il sistema di prevenzione antimafia, che fa capo alle prefetture, scoprisse il valore di questi doveri delle pubbliche amministrazioni, facendone parametro delle sue funzioni di controllo antimafia perché dubito fortemente che comuni sottoposti a fenomeni di condizionamento mafioso del proprio operato siano così attenti all'osservanza puntuale degli obblighi di segnalazione delle operazioni finanziarie sospette. Così come sarebbe importante, anche per rinforzare il sistema antiriciclaggio, il monitoraggio dei flussi finanziari che, da anni, è previsto per le opere pubbliche di maggiore importanza. Questo sistema notoriamente non funziona.Pag. 8 Eppure esistono proposte di implementazione normativa da tempo suggerite da Banca d'Italia.
  Atrofie applicative e prospettive di implementazione delle normative a parte, il nostro sistema antiriciclaggio, grazie anche al valore degli uomini e delle donne che lavorano ogni giorno nelle Istituzioni di prevenzione e controllo, che reggono il nostro impianto anti riciclaggio, è guardato con rispetto e ammirazione da tutto il mondo. È un esempio il nostro sistema antiriciclaggio. A questo sistema il mio ufficio partecipa fornendo un contributo importante.
  Il procuratore della Repubblica di Palermo, ad esempio, potrà, volendo, offrire qualche elemento di valutazione sul sostegno dato al suo ufficio nella fase di maggiore impegno investigativo seguito alla cattura di Matteo Messina Denaro sviluppando quotidiane analisi delle SOS raccolte con la fondamentale collaborazione dell'UIF con riguardo all'intera rete di favoreggiamento e complicità di quel latitante.
  L'importanza dell'innesto della conoscenza delle SOS già nella fase genetica delle indagini, che è originata dalle funzioni di impulso del Procuratore nazionale antimafia e antiterrorismo, è capace di manifestarsi in modo persino eclatante anche in materia di terrorismo, soprattutto di terrorismo internazionale. Basterebbe probabilmente la delicatezza di tante indagini innescate nell'esperienza della DNA dall'immediata ricezione, dalla tempestiva analisi e dall'immediato impulso conseguente alle SOS trasmesse sovente da Financial Intelligence Unit estere relative a circuiti jihadisti, protagonisti di attentati efferati.
  Io proverei innanzitutto a fissare alcuni punti fondamentali. Il primo, le SOS sono strumenti essenziali per il contrasto del pericolo di utilizzo del sistema finanziario a scopi di riciclaggio e di finanziamento del terrorismo e lo sono rispondendo a precisi obblighi internazionali e sovranazionali.
  Le SOS – secondo punto – sono uno strumento fondamentale anche per l'esercizio delle funzioni di impulso e coordinamento investigativo del mio ufficio, tanto in materia di mafia che di terrorismo ricordando che le nostre prerogative sono serventi ai poteri di indagine che spettano soltanto alle procure distrettuali.
  Le SOS sono strumenti delicatissimi. Questo è il terzo fondamentale punto, e non è al terzo posto per ragioni di minore importanza, ma solo dal punto di vista logico, ovviamente.
  Le SOS sono strumenti delicatissimi, contengono dati, notizie, informazioni in grado di profilare chiunque e di rivelare la natura delle nostre relazioni personali e sociali. Da questo deriva un corollario apparentemente banale, ma fondamentale. L'uso delle SOS deve essere circondato dal massimo rigore nelle procedure di accesso e di controllo successivo e deve avvenire nei limiti e all'esclusivo fine delle attribuzioni di ciascuna Istituzione coinvolta.
  Vorrei che questi quattro punti fossero tenuti ben presenti.
  Con riferimento soprattutto all'ultimo, posso affermare, senza temere di poter essere smentito, che proprio la grande delicatezza della materia e la necessità di presidiarne accuratamente i valori, i principi e le specifiche regole di gestione hanno, sin dal primo giorno delle mie funzioni di Procuratore nazionale antimafia e antiterrorismo, guidato l'esercizio delle mie responsabilità essendomi immediatamente apparsa tutta la necessità di disporre di sistemi informatici, di regole, di procedure e di sistemi di controllo in grado di evitare ritardi e contraddizioni nell'azione investigativa, ma anche di assicurare la sicurezza, la trasparenza, la correttezza, la tracciabilità, il controllo ex post delle procedure di trattamento dei dati personali contenuti nelle nostre banche dati, e non soltanto di quelli contenuti nelle SOS, ma soprattutto di assicurare la più stretta e rigorosa corrispondenza delle attività del mio ufficio alle funzioni sue proprie.
  Tutto ciò è necessario per dar conto della affidabilità dei nostri processi di lavoro e dell'azione dei magistrati e degli analisti della polizia giudiziaria che lavorano con noi.
  Esporre i tratti fondamentali di questa azione, di un'azione svolta negli ultimi ventuno mesi, pertanto, non serve a tracciare Pag. 9inutili linee di demarcazione e men che meno a vantare meriti, ma a illustrare con chiarezza una dimensione problematica che va ben oltre la misura offerta dalle funzioni della Direzione nazionale antimafia e antiterrorismo.
  Nello stesso tempo, un'espressa esposizione serve anche sul presupposto dell'accettazione di una cornice di piena e matura consapevolezza dell'eccezionale delicatezza degli interessi complessivamente in rilievo, una consapevolezza che io mi augurerei il più possibile diffusa, il più possibile condivisa. Posso semplicemente auspicare che sia tale.
  Esporre i tratti fondamentali di questa azione serve, innanzitutto, a dar conto della faticosità del cammino fatto, ma – me lo si faccia dire – anche a dar conto dei risultati raggiunti. Sono risultati, lo credo fermamente, che dimostrano che la complessità può essere governata, i rischi possono essere controllati, non azzerati, ma controllati e le criticità superate, non tutte, non immediatamente, ma possono essere superate. Tutto ciò contribuisce a fornire linfa al nostro sistema investigativo in materia di criminalità organizzata e di terrorismo, con le dovute garanzie di correttezza e di trasparenza.
  È un cammino non ancora concluso, ma intrapreso dal primo giorno di lavoro quale Procuratore nazionale. Perché è un oggetto prioritario? Perché il tema ha una delicatezza ormai evidente a tutti, ma è una delicatezza e una complessità con le quali mi misuravo da anni. Da procuratore della Repubblica di Napoli, avevo, insieme ai procuratori di Roma e Milano, per esempio, sollevato il tema rispetto a quello che ci sembrava un deficit di funzionalità del sistema di disseminazione delle SOS. La Guardia di finanza, dopo aver elaborato tutte le SOS, poi le trasmette, secondo criteri definiti dal proprio ordinamento, ai nuclei di polizia economico-finanziaria, che si ritrovano presso ogni comando provinciale. Attraverso i nuclei, giungono, nel caso, anche alle procure distrettuali. Ponemmo il problema, semplicemente, di assicurare la più tempestiva e corretta disseminazione delle SOS verso il naturale sbocco delle indagini delle procure. Un tema complesso. Fu importante, per esempio, il sostegno dato dal Procuratore generale presso la Corte di cassazione del tempo, Giovanni Salvi, il quale, per rimuovere gli ostacoli che avevano di fatto generato il blocco di decine di migliaia di SOS, volle condividere le ragioni espresse da me e dai colleghi Francesco Greco e Giuseppe Pignatone, aprendo la strada a una importante quanto lungamente attesa circolare del Comando generale della Guardia di finanza, necessaria per abilitare la polizia valutaria a trasmettere ai nuclei PEF territoriali, quindi anche alle procure, le SOS di rispettivo interesse, senza attendere una sorta di «via libera» della DNA, che pareva indispensabile.
  Era un discorso complesso in sé, ma aveva generato anche il dubbio che le funzioni della DNA rischiassero di esorbitare dal loro proprio ambito e ostacolassero il tempestivo avvio delle indagini. Dubbi e perplessità delle quali vi è evidente riflesso nel verbale di quella riunione che fu promossa dal Procuratore generale, che metto a disposizione della Commissione.
  Tuttavia, le riserve e le perplessità riguardavano esclusivamente l'efficacia dei criteri di comunicazione – tecnicamente, l'espressione usata è «disseminazione» – delle SOS, affidata alla polizia valutaria della Guardia di finanza, e l'efficacia anche dei criteri di comunicazione delle SOS risultate positive al matching con i dati di registro. In astratto, era ben possibile che il matching fosse positivo con la procura di Reggio Calabria, perché lì si procedeva per il delitto di associazione mafiosa, ma l'operazione finanziaria segnalata fosse stata compiuta a Torino o a Milano. Questo creava un problema. Erano problemi assolutamente risolubili, ma una volta eliminate le incomprensioni che avevano generato una sorta di blocco della trasmissione delle SOS.
  Nel verbale di quella riunione trovate anche le tracce di alcune delle principali direttrici della mia successiva azione come Procuratore nazionale antimafia, volte a rendere sempre più evidente la natura servente delle attribuzioni della Procura nazionale,Pag. 10 anche in questa materia, rispetto ai poteri investigativi delle procure distrettuali. Questo è un discorso al quale si avvicinano senza la dovuta consapevolezza, ma il mio ufficio non solo non rivendica, ma non riesce neanche a immaginare una posizione sovraordinata o una condizione di separatezza strutturale e funzionale rispetto agli uffici distrettuali. Il mio ufficio lavora «con» le procure distrettuali, «per» le procure distrettuali, «nelle» procure distrettuali.
  Nonostante quei dubbi, non avevo ragione di estendere le mie riserve e perplessità dal piano dell'efficacia delle funzioni attribuite alla DNA a quello della sicurezza dei dati, per quanto potessi dubitare dell'affidabilità dei sistemi informativi, come quelli generalmente propri dell'amministrazione della giustizia, che sono di regola deboli e obsoleti. Di tali aspetti percepii appieno il rilievo soltanto dopo aver assunto le funzioni di Procuratore nazionale antimafia e antiterrorismo, emergendo presto, nel quadro di una immediata ricognizione sul campo dei problemi e dei temi da approfondire prioritariamente, che quella della sicurezza dei nostri sistemi era una questione importante, che, soprattutto, esigeva interventi immediati per poter meglio presidiare irrinunciabili garanzie di correttezza di criteri di organizzazione dell'ufficio. Soprattutto considerando – è sempre stato un punto fermo nella mia azione direttiva – che non basta enunciare le regole, ma occorre anche monitorarne la pratica e coerente attuazione, verificando quotidianamente l'esigenza di ulteriori implementazioni.
  In ogni caso, la conoscenza dei problemi di impianto organizzativo e dei principali rischi di interferenza che si erano rivelati nel passato contribuiva, dal mio punto di vista, a rendere evidente la necessità di un'azione risoluta di monitoraggio di ogni criticità o anche di semplici profili suscettibili di affinamento, quindi di miglioramento dell'attività degli uffici; in particolare dell'ufficio SOS, che sin dal 2014 era affidato alle cure di un solo magistrato, ancorché nel 2021 fosse stata prevista anche una responsabilità di coordinamento in capo al procuratore aggiunto vicario, che tuttavia non consentiva di controllare realmente l'operato quotidiano del gruppo SOS, che operava alle dirette dipendenze dell'unico magistrato incaricato.
  Si trattava, quindi, di sviluppare un'azione di complessiva ristrutturazione dell'ufficio e di questo suo particolare ambito, secondo alcune direttrici che, a mio avviso, erano immediatamente chiare, ciascuna delle quali ancora oggi mi appare cruciale sia per comprendere ciò che è avvenuto, che la Commissione ha, ovviamente, interesse a comprendere, sia per prendere atto che ciò che è avvenuto oggi non sarebbe possibile o, se ancora possibile, non sfuggirebbe ai controlli.
  Primo punto, la prioritaria considerazione del tema della sicurezza dei sistemi informativi, sia della DNA che delle altre istituzioni con le quali la DNA interagisce. Dirò della disastrosa condizione dalla quale siamo partiti, dei contatti istituzionali avuti e dei risultati conseguiti per mettere in sicurezza i nostri sistemi e la banca dati.
  Il secondo punto fu proprio conseguente a questo. Dopo prime verifiche, decisi di chiedere un'ispezione amministrativa straordinaria al Ministro della giustizia programmaticamente mirata anche e soprattutto alla verifica della funzionalità e della sicurezza dei sistemi informativi. Un'ispezione che si svolse – la prima volta, credo – con la collaborazione della struttura tecnica del Ministero, ma anche di quella del CINI, il Consorzio interuniversitario nazionale per l'informatica. Apparve chiaro allo stesso Ministero – che non aveva, peraltro, conoscenza aggiornata dei sistemi della DNA – che vi era necessità di un know how particolarmente evoluto.
  Dirò degli esiti sconfortanti di tale ispezione e delle azioni intraprese.
  Sembrerà noioso tutto ciò, ma nulla si comprenderebbe senza tener conto della realtà di sistemi – non parlo soltanto di quelli della DNA – indifferenti o semplicemente non sufficientemente attenti a logiche indispensabili di monitoraggio e controllo delle anomalie degli accessi, come nel caso della DNA, con debolissime funzioni di backup e di storage.Pag. 11
  Anche in questa prospettiva, presi immediati contatti con la Guardia di finanza, con l'UIF, con la Banca d'Italia per avviare i necessari processi di revisione dei protocolli di gestione delle SOS, anche e soprattutto nella prospettiva della sicurezza dei dati. Ragionammo con i vertici di tutte queste istituzioni anche su questo stillicidio rappresentato dalla pubblicazione sulla stampa delle SOS. Personalmente, introdussi procedure di verifica dell'esistenza di tracce delle SOS che comparivano sui giornali anche nei nostri sistemi. Quando queste comparivano, anche semplicemente in termini potenziali, informavo il procuratore della Repubblica di Roma, al quale raccomandavo anche l'esigenza, alla quale oggi posso contribuire, di provare a mettere in relazione fatti apparentemente lontani tra loro. Questo tipo di indagine – e, in generale, quelle sugli accessi abusivi – è ordinariamente caratterizzata da frammentazione degli approcci cognitivi. Nel cyberspace non ci sono tutte le distanze fisiche che si immaginano poter in esso corrispondere dalla realtà fisica.
  Il 22 giugno – badate, io ho assunto il servizio come Procuratore nazionale il 1° giugno 2022, quindi questo accade dopo venti giorni – assunsi la diretta responsabilità del Servizio risorse tecnologiche, flussi e sicurezza, previa restituzione delle deleghe già conferite al procuratore aggiunto vicario, dovendo rinviare all'esito delle procedure di modifica e revisione del programma organizzativo previste dalla circolare del Consiglio superiore della magistratura l'assunzione, che pure mi sembrava essenziale, della diretta responsabilità anche del coordinamento del servizio SOS.
  Procedetti, intanto, perché era necessario, a una ricognizione delle prassi e all'immediato avvio di un processo di revisione organizzativa, che comportava anche il cambiamento, il rinnovamento profondo non solo dei criteri di attività, ma della stessa composizione delle strutture dei due servizi di polizia giudiziaria che si occupavano di tutto ciò: il servizio SOS e il gruppo ricerche, che ora si chiama GIRA, un acronimo che sta per «Gruppo interforze ricerche e analisi».
  Il provvedimento che enunciava e cristallizzava quelle direttrici di marcia è del 5 agosto 2022, due mesi e quattro giorni dopo l'assunzione delle mie funzioni. Spesi, ovviamente, questi due mesi per parlare con i colleghi, per avviare importanti contatti con i vertici della Guardia di finanza e dell'UIF, per condividere le linee di evoluzione delle loro relazioni con i magistrati del mio ufficio.
  In questo quadro si inserisce quella che mi sembrava un'altra indispensabile esigenza: un profondo rinnovamento dei quadri di polizia giudiziaria addetti al servizio sicurezza, al servizio SOS e, appunto, al gruppo ricerche. Non perché sospettassi, ma perché sembrava – e continua a sembrarmi – un buon criterio quello di introdurre princìpi di rotazione nello svolgimento di incarichi delicati. Nell'ufficio c'erano persone che svolgevano quelle funzioni anche da più di venti anni. In taluni casi, ventisette, ventotto.
  Ecco, il personale di polizia giudiziaria. Qui una precisazione apparentemente fuori dal seminato lasciatemela fare. Casualmente, ho ascoltato in televisione che il sottotenente Striano non sarebbe un ufficiale della Guardia di finanza. Un importante giornalista lo ha definito un impiegato della Direzione nazionale antimafia. Normalmente, gli ufficiali di polizia giudiziaria, i magistrati, gli analisti e il personale amministrativo lavorano gomito a gomito. Quindi, non ne faccio una questione di appartenenza. Vorrei semplicemente precisare che il sottotenente Striano, come tutti gli altri addetti al servizio SOS e alla banca dati, era un appartenente ai servizi di polizia giudiziaria, nel suo caso la Guardia di finanza; era inserito nella relativa organizzazione; era stato da quell'organizzazione selezionato per svolgere le sue funzioni; era stato da quell'organizzazione assegnato e riassegnato alla Direzione nazionale antimafia, dopo essere divenuto ufficiale della DNA in occasione del primo concorso riservato ai sottufficiali per transitare nei ruoli di ufficiali; era accreditato per l'accesso alle banche dati della Guardia di finanza e ha sottoposto i poteri di comando,Pag. 12 vigilanza, controllo e disciplinari propri del corpo.
  Tutto ciò lo dico anche per sottolineare il contributo che io ho avuto, grandissimo, dal vertice della Guardia di finanza alla manovra che ha visto sostituire gran parte dei finanzieri del servizio SOS trovati al momento del mio arrivo, sostituendoli con ispettori giovani, capaci, selezionati su mia richiesta, nel senso che io ho formulato la richiesta, ma la selezione è avvenuta autonomamente da parte dei comandanti della polizia valutaria e del Servizio centrale di investigazione sulla criminalità organizzata (SCICO) secondo criteri – questa era la mia raccomandazione – di eccellenza. E un nuovo, valente e vigoroso ufficiale della Guardia di finanza, grazie alla collaborazione della Guardia di finanza, da novembre 2022 è alla guida del gruppo SOS, il maggiore Marmorale, che è qui al mio fianco, che all'epoca era capitano, che ha dato una guida sicura della pratica corrispondenza delle procedure e dei comportamenti quotidiani a regole e princìpi essenziali, consentendo anche di rilevare le anomalie relative alla gestione di procedure da tempo aperte e sviluppate, senza che tuttora possa comprendersi quali criteri ne abbiano guidato la selezione e lo sviluppo. È ovvio il riferimento che faccio al cosiddetto «dossier Gravina», che nasce proprio da relazioni dell'allora capitano, oggi maggiore Marmorale, su comportamenti del sottotenente Striano, che furono da me immediatamente segnalati al procuratore di Roma con una relazione, consegnata in data 8 marzo 2023.
  Non vi è possibilità di prova contraria, ma credo di poter precisare che quell'indagine, poi trasferita alla procura di Roma, avrebbe probabilmente avuto un esito diverso. Ripeto, non c'è prova contraria, ma mille altre indagini si sono concluse con l'acquisita prova del singolo accesso abusivo e la richiesta di giudizio del singolo ufficiale di polizia giudiziaria. Quando parlo di accesso abusivo, intendo dire non nei nostri sistemi – credo sia opportuno sottolinearlo – ma nei sistemi della Guardia di finanza.
  In generale, le condotte attribuite al sottotenente Striano, impregiudicate le valutazioni possibili soltanto dopo il contraddittorio processuale, per estensione e sistematicità mi paiono difficilmente compatibili con la logica della deviazione individuale. È una mia personale valutazione, ma ho una discreta esperienza anche come vittima di autentici dossieraggi abusivi, come quelli ritrovati negli archivi paralleli della sede SISMI, affidati al dottor Pio Pompa nel 2006. A parte la mia esperienza, credo che ci siano molti elementi che confliggono con l'idea di azioni concepite e realizzate da un singolo ufficiale ipoteticamente – lo ripeto, ipoteticamente – infedele. Credo che uno dei punti importanti e centrali dell'indagine del procuratore di Perugia sia proprio quello di comprendere la figura e il sistema di relazioni del sottotenente Striano.
  Parallelamente si procedeva anche a un sostanziale rinnovamento del personale amministrativo addetto al servizio SOS e a una rigorosa disciplina delle sue attività e soprattutto si introducevano criteri obiettivi nella selezione e nell'approfondimento delle SOS. Del resto, sono migliaia le SOS che vengono trattenute nelle nostre banche dati in conseguenza di quel matching positivo, e dal mio punto di vista è un problema dar conto dei criteri di proprietà adottati nella trattazione di masse informative così ampie, anche se notevolmente più ristrette rispetto a quelle astrattamente considerabili. Quindi, sono stati fissati criteri rigorosi nella scelta delle materie informative da sviluppare esclusivamente – lo ripeto – nella prospettiva dei delitti di criminalità organizzata e terrorismo e con riguardo esclusivo ad essi.
  Oggi quattro magistrati partecipano attivamente alla gestione del servizio SOS, trattano i relativi fascicoli secondo criteri di assegnazione automatica, osservano le regole poste a garanzia della tracciabilità e della costante verificabilità di ogni attività.
  L'ultimo punto che mi sembra importante, che corrisponde alle cose che da procuratore distrettuale provavo a dire, è che la gestione fosse aperta al contributo e alla partecipazione dei procuratori distrettualiPag. 13 e la stessa conoscenza dei meccanismi di funzionamento del servizio SOS e dei relativi processi decisionali fosse aperta alla partecipazione dei procuratori distrettuali.
  Questo è un tema che non riguarda solo le SOS, è un tema che riguarda ogni significativo aspetto del processo di riorganizzazione del mio ufficio e del suo modo di lavorare in questi ventuno mesi.
  I procuratori distrettuali non solo si riuniscono per parlare di questioni organizzative, e non soltanto di temi investigativi, ma poi con i procuratori distrettuali diamo vita a gruppi di lavoro congiunti, che esaminano le questioni e poi sottopongono le loro valutazioni alla riunione plenaria del Procuratore nazionale, con tutti i procuratori distrettuali. Fu immediatamente istituito, già a settembre 2022, anche un gruppo di lavoro sul servizio SOS, sul modo in cui gestire le SOS, al quale diedero il loro contributo i procuratori della Repubblica di Firenze e di Venezia.
  Adesso vi dovrò illustrare sinteticamente ciascuno di questi singoli crinali problematici. Mi dispiace, perché mi rendo conto che toglierò molto tempo prezioso all'attività della Commissione, però vorrei preliminarmente chiarire che la prospettiva generale che ha guidato la mia azione comprende anche temi e aspetti tanto fondamentali quanto solitamente oscurati.
  Da tempo – è uno dei miei interessi dal punto di vista della conoscenza dell'amministrazione della giustizia in particolare e delle amministrazioni dello Stato più in generale – rifletto, fortunatamente non da solo, sulla straordinaria debolezza delle reti digitali e delle reti informatiche innanzitutto dell'amministrazione della giustizia. Sul punto potrò tornare, ma in forma riservata in questo caso essendo in corso delicate indagini. Vi è una debolezza delle reti informatiche, soprattutto nell'amministrazione della giustizia, non soltanto dinanzi agli attacchi, che possono essere interni o anche esterni, ossia gli attacchi ai dati riservati, ma anche determinata dalla sproporzione tra la dimensione digitale del crimine organizzato e del terrorismo e la capacità investigativa del nostro law enforcement system.
  Il cyberspace è oggi il cardine organizzativo fondamentale tanto della criminalità organizzata quanto del terrorismo. Se c'è un tratto in comune dei due fenomeni è proprio questo. La dimensione cibernetica ormai governa il modo di funzionare e la stessa composizione delle strutture delle organizzazioni criminali mafiose e terroristiche. È persino criterio di selezione delle leadership, perché alcune leadership richiedono la conoscenza della dimensione digitale. All'interno di quelle reti criminali si sviluppano interi comparti di vera e propria intelligence, deputati a raccogliere informazioni sulle indagini che si possono anche soltanto potenzialmente sviluppare nei confronti di quelle strutture criminose.
  Dal mio punto di vista la conclusione era facilmente raggiungibile e personalmente l'avevo raggiunta da tempo, vale a dire che già oggi – non domani, già oggi, anzi già da tempo – non è più possibile svolgere efficacemente indagini nei confronti delle mafie e del terrorismo senza governare adeguatamente la dimensione cibernetica.
  Non è un discorso astratto, perché in questa dimensione di consapevolezza, che per fortuna è condivisa dal Governo e dal Parlamento, si colloca anche il dialogo istituzionale con il Governo nella prospettiva dell'innalzamento degli argini normativi a protezione della sicurezza cibernetica nazionale. Questo dialogo generò l'accoglimento di proposte del Procuratore nazionale antimafia e antiterrorismo che credo importanti.
  Vi ho già fatto cenno al fatto che il decreto-legge n. 105 del 2023 reca l'estensione delle funzioni di coordinamento investigativo anche alla materia degli accessi abusivi. Il mio ruolo passa da quello del denunciante, di colui il quale fa un'accorata raccomandazione ai dovuti approfondimenti investigativi, a quello di centro di raccolta informativa e di impulso investigativo. Una di queste raccomandazioni la rivolsi quando comparvero SOS molto più penetranti di quelle di cui oggi discutiamo. Quelle riguardavano un famoso calciatore. A mio avviso, nei dati che venivano pubblicati emergeva la disponibilità di anni, Pag. 14anni e anni di SOS. C'era l'intero spettro decennale di informazioni finanziarie che riguardavano quel famoso calciatore.
  Oggi l'ufficio del Procuratore nazionale antimafia e antiterrorismo può svolgere una funzione di impulso e ha già cominciato a svolgerla, una funzione di impulso essenziale per trovare connessioni e collegamenti tra fatti e persone apparentemente lontani e assicurare il coordinamento di iniziative in precedenza frammentarie. È persino paradossale che proprio oggi che il Procuratore nazionale è messo nelle condizioni di esercitare questa azione si discuta del ruolo del Procuratore nazionale nella gestione di uno strumento fondamentale come quello delle SOS. Oso pensare che siano discussioni superficiali e sicuramente in palese contrasto con le scelte che responsabilmente Governo e Parlamento hanno fatto nell'occasione che prima ricordavo.
  Lo stesso decreto-legge n. 105 del 2023, su proposta del Procuratore nazionale antimafia, prevede, per la prima volta, l'ingresso in scena delle operazioni undercover con riferimento agli accessi abusivi ai sistemi inseriti nel perimetro della sicurezza cibernetica nazionale, oltre a prevedere la possibilità di operazioni undercover nel cyberspace affidate a tutti gli organi di polizia (Arma dei carabinieri, Guardia di finanza e Polizia di Stato) anche in materia di terrorismo.
  C'è di più. Il dialogo istituzionale del quale parlavo ha contribuito anche al varo del disegno di legge dell'intera materia dei delitti cibernetici, che il Consiglio dei ministri ha approvato nello scorso mese di gennaio. Ve n'era grande necessità, non solo banalmente per innalzare pene che nella pratica applicazione finora di regola si risolvono quasi sempre in patteggiamenti, con pena sospesa. Ho detto una volta, un po' enfatizzando – lo riconosco – perché la pena è lievemente superiore, che l'organizzazione dei reparti è tuttora punita più gravemente o similarmente a un attacco al cuore cibernetico dello Stato o ai sistemi informativi a sostegno delle funzioni di tutela della sicurezza della Repubblica. Ma non è soltanto un problema di pene, dicevo. A tutt'oggi l'esfiltrazione dei dati è una sorta di post factum non punibile, perché è punito l'accesso, indipendentemente dal fatto che avvenga o meno l'esfiltrazione dei dati, e questo è un vuoto normativo autentico che esige di essere riempito. Soprattutto, il disegno di legge prevede l'estensione di alcune regole processuali, dettate da tempo in materia di reati di criminalità organizzata e di terrorismo, ai delitti cibernetici, in materia di durata delle indagini, in materia di strumenti di investigazione, strumenti di ricerca delle prove utilizzabili; persino prevede finalmente la possibilità, che è speculare al rilevante aggravamento delle pene edittali che il disegno di legge prevede, di una speciale attenuante per chi non semplicemente collabora ma coopera alla riduzione del danno provocato con un attacco cibernetico.
  Ecco, se ci fossero state tali regole, forse le indagini delle quali domani dirà il procuratore della Repubblica di Perugia avrebbero potuto essere molto più incisive, ma lo sono state notevolmente, soprattutto dopo il trasferimento degli atti dalla procura di Roma. Ve ne parlerà il collega Cantone. Però a me pare opportuno segnalare che il pubblico ministero di Roma, dopo aver immediatamente ed efficacemente individuato le tracce digitali, le impronte digitali del sottotenente Striano, poi richiese a me informazioni, cioè richiese al mio ufficio informazioni, non con una nota indirizzata al Procuratore nazionale antimafia, ma con una nota indirizzata al dottor Laudati, che me la trasmise con una breviloquente nota di accompagnamento, ma anche riservatamente dà assicurazioni sulla figura e il comportamento di quell'ufficiale che, per l'evidente rischio di grave coinvolgimento anche della sola immagine della Direzione nazionale antimafia e antiterrorismo in quella di per sé grave, gravissima vicenda, a me sembravano incaute, come non mancai di fargli presente.
  Ciò brevemente – si fa per dire – premesso, credo che si tratti di fare appello a tutta la pazienza dei componenti della Commissione per esaminare più da vicino le Pag. 15questioni che ho prima soltanto sommariamente indicato.
  Grazie, presidente, di aver condiviso il peso della responsabilità della sottrazione del tempo della Commissione.
  Il 22 giugno del 2022, come dicevo, assumo la diretta responsabilità del Servizio risorse tecnologiche, flussi e sicurezza. L'8 luglio dello stesso anno chiedo all'Ispettorato generale del Ministero della giustizia un'ispezione straordinaria per verificare lo stato dell'informatizzazione e degli applicativi in uso presso la Direzione nazionale antimafia e antiterrorismo. Come accennavo, l'attività di ispezione ovviamente era supervisionata dagli ispettori e anzi personalmente dal capo dell'Ispettorato generale, che ancora ringrazio per la cura e l'attenzione riservata al mio ufficio, ma era praticamente poi svolta da un valente dirigente della DGSIA, Direzione generale per i servizi informativi automatizzati, del Ministero e soprattutto dal personale tecnico del Consorzio interuniversitario nazionale per la sicurezza informatica, il CINI.
  Richiesi espressamente l'effettuazione dei cosiddetti «VAPT», cioè stress test, test della vulnerabilità del sistema, che si svolsero a partire da settembre 2022 e rivelarono immediatamente preoccupanti vulnerabilità sia del complessivo sistema informativo ARES sia della banca dati che al suo interno opera, comunemente chiamata SIDDA/SIDNA. In particolare, l'ispezione ministeriale rivelò criticità sotto il profilo organizzativo, infrastrutturale e di sicurezza, unitamente a una generale obsolescenza degli applicativi del software, oggetto nel tempo di modifiche evolutive prive di razionale e strategico disegno complessivo di ammodernamento.
  Sul piano organizzativo, si rilevava che il Servizio risorse tecnologiche, flussi e sicurezza, che ormai faceva diretto riferimento a me, si avvaleva di tre risorse tecniche, cioè tre risorse umane messe a disposizione da DGSIA – per fortuna, direi – dal 2017, ma chiamate a fronteggiare tutte le molteplici mansioni tecniche, compresa l'assistenza e l'esecuzione dei contratti di assistenza sistemistica, di manutenzione evolutiva e correttiva, eccetera. Condizioni che avevano di fatto provocato una condizione di difficoltà a seguire ogni procedura, che di fatto aveva determinato un profondo deficit cognitivo dell'intera struttura, ormai ridotta a non disporre più delle conoscenze necessarie al governo autonomo e consapevole dei sistemi e una sostanziale, da un lato, deresponsabilizzazione, dall'altro lato subalternità cognitiva rispetto alle scelte del fornitore privato.
  Sul versante dei sistemi applicativi e della sicurezza, l'ispezione ministeriale rilevava la presenza di diverse vulnerabilità, in grado di compromettere l'integrità, la confidenzialità e la disponibilità dei dati trattati. Nel corso delle attività, in poco tempo, gli hacker etici del CINI si impadronirono delle password degli amministratori, e ciò rendeva possibile accedere a tutte le informazioni confidenziali, anche con la possibilità di alterarle o cancellarle. I sistemi e le applicazioni risultavano gravemente vulnerabili a molteplici tipologie di attacco, non quelli esterni, perché il sistema era fuori dalla Rete Unica Giustizia, quindi isolato rispetto alla rete, ma tante altre tipologie di attacco erano facilmente realizzabili: la scalata di privilegi, le esfiltrazioni di dati, l'installazione di malware, in particolare di backdoor e anche attività di ransomware, furto di identità.
  Molte di queste attività non richiedevano elevate competenze di sicurezza informatica. Un giovane hacker etico mi disse che potevo provare a farlo anch'io, il che per lui credo fosse proprio la dimostrazione dell'assoluta semplicità dell'operazione. Si faceva notare che la maggiore parte delle vulnerabilità consentivano a chiunque all'interno della rete, anche senza una valida autenticazione, di sfruttare le vulnerabilità dei sistemi per eseguire attacchi sull'intera infrastruttura dell'ufficio, permettendo a un attaccante di prendere il possesso completo anche delle postazioni di lavoro dei magistrati, ivi compresa la mia. Significativi rilievi furono operati sotto il profilo delle infrastrutture delle reti utilizzate, rilevando la estrema carenza nelle condizioni della rete relative all'architettura di segmentazione, di segregazione a Pag. 16mezzo VLAN, alla configurazione dei dispositivi di rete, switch e router, dispositivi di sicurezza, firewall, proxy, reverse proxy, attestando l'assenza di rilevanti meccanismi di monitoraggio e il rilievo di eventuali intrusioni.
  Dico tutto ciò con molto dolore, però – e non per attenuare il dolore – dico anche che non sono condizioni non dissimili da quelle nelle quali si trova l'intera amministrazione della giustizia.
  Da questo punto di vista forse può essere utile raccontare di un dialogo recentemente avuto privatamente con Daniele Franco, già Ministro dell'economia e delle finanze, ma ai tempi in cui io svolgevo le funzioni di capo di Gabinetto del Ministro della giustizia era il Ragioniere generale dello Stato. Rivedendoci dopo tanto tempo, mi ha chiesto notizie di quello che lui ha chiamato – forse il dottor Franco si dispiacerà se rivelo questa conversazione, però credo che sia utile – il «vostro PNRR per la giustizia», perché era stato presentato e approvato dal Ragioniere generale dello Stato e quindi dal Ministro (e vi assicuro che non fu impresa facile) un piano di investimenti decennale per l'amministrazione della giustizia di ben 1 miliardo 321 milioni di euro. Mi ha chiesto com'è andata e ho dovuto rispondere: «Non so perché non ho più accesso a questo tipo di informazioni, ma credo che sia andato tutto disperso in mille rivoli, abbandonando le linee fondamentali di quel progetto». Ed è tema del quale pure converrà discutere, perché il Ministro della giustizia è l'unico ministro citato in Costituzione non perché si occupi di una materia più importante della salute o della sicurezza, ma perché ha la responsabilità di assicurare l'organizzazione di servizi relativi alla giustizia, che è un presidio fondamentale della condizione di autonomia e di indipendenza della magistratura. Ma questo è un altro discorso.
  Dunque, nel corso delle verifiche e dei test di penetrazione, si è avuta contezza di una situazione di grave debolezza. Ovviamente il fatto che quegli attacchi fossero possibili non significa che ce ne siano stati e, per quanto è dato precisare, non ce ne sono stati, ma questo non è per nulla tranquillizzante lo stesso, perché mancavano meccanismi di controllo degli accessi per garantire i giusti livelli di autorizzazione pure previsti, c'erano credenziali deboli e debolissime, erano praticamente assenti i sistemi di tracciamento, monitoraggio e rilevamento degli accessi anomali, c'era soprattutto l'uso di tecnologie obsolete e mancanza di aggiornamento delle relative componenti e utilizzo di protocolli di comunicazione non cifrati.
  Ecco, questa situazione allarmante, ovviamente, poneva me dinanzi alla responsabilità di assumere urgenti e tempestive misure, misure che sembravano di due tipi: da un lato, misure urgenti volte a fare, nelle condizioni date, tutto quanto si poteva fare per mettere in sicurezza i sistemi; dall'altro lato, dinanzi alla constatazione della obsolescenza dei sistemi nel loro complesso, iniziare a immaginare una nuova rete, una nuova struttura informatica. La materia formò oggetto di doverosa informazione al Ministro della giustizia Marta Cartabia prima e al Ministro della giustizia Carlo Nordio poi, necessaria anche per segnalare l'importanza del dovere delle strutture ministeriali di esercitare intanto effettivo controllo sulle prestazioni dei fornitori e sulla tenuta effettiva dei sistemi per i quali il Ministero pagava denaro.
  Dicevo degli interventi urgenti. Essi sono consistiti, da un lato, nella pianificazione di tutti gli interventi concretamente operabili nei sistemi in uso. Ovviamente non sono stato io a fare questa pianificazione, ma non era in condizioni di farla neanche la struttura ministeriale. Abbiamo utilizzato ancora una volta il Consorzio interuniversitario per la sicurezza informatica, il CINI, che è abituale – per fortuna – partner dell'amministrazione della giustizia da qualche anno e che da alcune settimane svolge anche funzioni di advisor in loco della sicurezza dei nostri sistemi.
  Quindi, si è deciso di mettere immediatamente in sicurezza il sistema di produzione dei certificati di autenticazione, adottando policy restrittive per le credenziali, richiedendo l'utilizzo di password lunghe e casuali, memorizzate in un password manager, sistemi di autenticazione a due fattoriPag. 17 per le due utenze personali. Chiunque sappia appena di queste cose dirà che è tutta roba banale; sì, era banale ma era sconosciuta all'amministrazione della giustizia nel suo complesso. Il mio ufficio è stato il primo che ha utilizzato l'autenticazione MFA, Multi-Factor Authentication.
  Inoltre, si è proceduto nella direzione dell'attuazione di misure di contesto: segmentare e segregare la rete interna dividendo la rete server dalla rete delle postazioni degli uffici; cambiare con frequenza le credenziali di accesso RDP a tutti gli utenti presenti sul server; cambiare i pin di tutti i certificati presenti sull'applicativo introducendo requisiti più forti; cambiare le credenziali di default dei vari dispositivi e servizi all'interno della rete; introdurre anche una sorta di asset management dei dispositivi e delle macchine all'interno dell'ufficio.
  Ma questo è il lavoro del Procuratore nazionale antimafia e antiterrorismo? Purtroppo anche questo è il mio lavoro, che credo sia necessario fare.
  Da Procuratore nazionale antimafia e antiterrorismo ho assunto anche l'iniziativa di convocare e presiedere uno stabile tavolo di lavoro con il capo del Dipartimento della transizione digitale e prima con il direttore generale dei sistemi informativi automatizzati, a cui è stato chiamato non soltanto il fornitore monomandatario, ma anche la mandante del raggruppamento di imprese che aveva in gestione la banca dati, chiamati a rendere conto della responsabilità di un piano di superamento delle più gravi criticità rilevate: aggiornare subito la sicurezza e il software di base, configurare in modo sicuro la piattaforma, procedere all'autenticazione dell'amministratore applicativo, configurazione sicura delle credenziali degli utenti finali, cifratura dei file temporanei e dei sistemi di caching, cifratura trasparente delle banche dati, integrità dei backup, comunicazione cifrata e autenticata dei componenti, cifratura dei log applicativi.
  Ne è conseguito faticosamente un primo necessario adeguamento dei moduli SIRIS e ARES e il passaggio a un nuovo sistema, figlio del vecchio, di cui è in fase di completamento una faticosa e travagliata attività di collaudo che, ancora una volta, ha messo in luce l'approssimazione di alcuni interventi del fornitore, l'obsolescenza dei framework, la mancanza di una trasparente modalità di ingaggio con il committente. Questa fase ormai si è chiusa, perché da essa dipende il completamento della securizzazione dei rilasci fatti e la chiusura definitiva del collaudo, che però è già concluso sotto il profilo funzionale. In questo ambito specifiche modifiche evolutive, alcune concluse e altre in via di conclusione, sono state dedicate al trattamento delle SOS, anche a seguito dei recenti protocolli con le altre autorità interessate.
  I problemi riguardavano non solo le SOS, perché le SOS poi finiscono nella banca dati. Il problema riguardava anche la disciplina del sistema informativo della Procura nazionale antimafia e antiterrorismo e delle procure distrettuali della Repubblica. Se ne parla tanto, sovente senza sapere di che cosa si tratta.
  L'articolo 117, comma 2-bis, del codice di procedura penale prevede – intuizione geniale di Giovanni Falcone, al quale si deve questa norma, che è una norma inserita nella legge istitutiva, anzi nel decreto-legge istitutivo della Direzione nazionale allora soltanto antimafia, e siamo nel 1991, quindi si può misurare la lungimiranza della previsione – l'istituzione di banche dati logiche delle procure distrettuali realizzate nell'ambito della banca dati condivisa della Direzione nazionale antimafia.
  Si tratta di uno strumento essenziale alle funzioni di impulso e coordinamento investigativo del Procuratore nazionale antimafia e antiterrorismo. Ho sentito qualcuno dire che forse se ne può fare a meno. Personalmente non avrei nulla in contrario. Troverei cose più divertenti e interessanti da fare, però senza questo centro non potrebbe funzionare l'intero sistema di raccordo delle banche dati delle procure distrettuali. Basterebbe questa ragione forse a spiegare l'approssimazione di alcune affermazioni. Non è ovviamente l'unica dal mio punto di vista.
  Certamente la banca dati è uno strumento fondamentale della pienezza non Pag. 18soltanto delle funzioni di impulso del Procuratore nazionale antimafia, ma è uno strumento fondamentale della effettività delle funzioni di direzione delle indagini da parte di ciascun magistrato delle procure distrettuali, il quale ha a disposizione l'intero patrimonio informativo, se la banca dati è correttamente implementata, rilevante per l'orientamento nelle indagini e nei procedimenti a lui avviati.
  Ovviamente, parliamo di procedimenti di criminalità organizzata e di terrorismo. In tale prospettiva il Consiglio superiore della magistratura, sin dalla seduta plenaria del 26 gennaio 1994, ha più volte richiesto ai procuratori distrettuali di adempiere il dovere del completo e tempestivo inserimento degli atti di indagine processuali, dicendo che andava fatto secondo regole definite d'intesa tra procuratori distrettuali e Procuratore nazionale. Questa posizione è stata poi recepita dal CSM anche con delibere, che il senatore Zanettin certo ricorderà, del luglio 2001 e del luglio 2002 e anche degli anni successivi.
  In particolare, la delibera del 18 marzo 2014, nel dare atto dell'impegno della DNA nella realizzazione del sistema integrato delle banche dati – un impegno che conosco personalmente perché ho fatto parte di questo ufficio anche come sostituto procuratore nazionale per più di otto anni, dal 2001 al 2009 – raccoglie le indicazioni di una precedente delibera del 25 luglio 2012, in cui oltre a richiamare ancora una volta l'importanza del continuo, corretto e regolare inserimento degli atti e dei procedimenti nel sistema da parte delle procure distrettuali, stabilisce che esso costituisce adempimento di uno dei doveri del coordinamento investigativo. Anche questo è un segno della acutezza della visione di Giovanni Falcone e del legislatore del 1991.
  Il codice del 1988 parlava di cosa fanno i pubblici ministeri quando le indagini sono collegate fra loro, ma sostanzialmente rimetteva alla volontà del pubblico ministero la scelta se coordinarsi o meno. Un illustre processualpenalista come Franco Cordero, certo non sospettabile di cedimenti sul versante della cultura delle garanzie, ebbe a dire: «Se è così, allora il PM si coordina soltanto se vuole».
  Nel 1991 la norma che regola lo statuto processuale della Procura nazionale antimafia e antiterrorismo, articolo 371-bis, improvvisamente definisce tutte quelle attività che i pubblici ministeri devono fare per operare correttamente in raccordo informativo operativo tra loro e li chiama i doveri del coordinamento investigativo.
  L'attuazione di questi doveri – le delibere del 2012 e del 2014 del Consiglio superiore ne fanno espresso richiamo – comportava l'opportunità di una regolamentazione del sistema delle banche dati da parte dei procuratori distrettuali e del Procuratore nazionale, a cui spetta a indirizzarne l'azione. In tale contesto, pur a distanza di dodici anni da quella così autorevole indicazione, si è operato per introdurre un regolamento del sistema informativo della Direzione nazionale antimafia e delle procure distrettuali della Repubblica.
  Nella riunione plenaria del 10 luglio 2022, quindi siamo ancora prima del periodo feriale che seguiva di poco l'assunzione delle mie funzioni, viene formato uno di quei primi gruppi di lavoro congiunto. In questo caso vi partecipano le procure distrettuali di Bari, di Cagliari, di Napoli e di Palermo, le quali mettono a punto lo schema di nuovo regolamento, il primo regolamento congiunto, che poi viene quindi sottoposto all'esame di tutti gli altri.
  Nella ricchezza di quel dibattito, degli apporti conoscitivi, si è condivisa la necessità, per un verso, di procedere all'indefettibile e urgente innalzamento dei livelli di sicurezza infrastrutturale e sistemica e, per l'altro verso, di un'equilibrata combinazione delle esigenze di circolazione delle informazioni e delle esigenze di riservatezza delle stesse, a fronte di un rinnovato impegno di tutti i procuratori distrettuali a implementare la banca dati.
  Il primo regolamento della banca dati è stato così approvato nella riunione plenaria con i procuratori distrettuali del 3 febbraio 2023 e poi adeguato alle nuove funzioni in materia di sicurezza cibernetica lo scorso 7 dicembre.Pag. 19
  Vi ho chiesto prima se un Procuratore nazionale antimafia e antiterrorismo si deve occupare degli aspetti persino tecnici della gestione dei contratti che fanno capo all'amministrazione della giustizia o delle caratteristiche dei sistemi digitali che proteggono la sicurezza dei sistemi. Ho dato risposta positiva. Ho maggiori difficoltà a dare risposta positiva alla domanda che mi sono posto più volte: tocca a me andare alla ricerca delle risorse finanziarie per passare, invece, a un nuovo progetto di banca dati? Tocca a me cercare le partnership nel mondo accademico, nel mondo istituzionale per realizzarlo? Qui la risposta è imposta dalla povertà tecnologica e finanziaria del Ministero della giustizia, da un lato, e dall'altro lato nella logica della cooperazione istituzionale.
  È questa l'occasione per me per ringraziare pubblicamente la Banca d'Italia, il Governatore Fabio Panetta, ma prima anche il Governatore Visco, il vicedirettore generale Cipollone, ora nel board della BCE, per ringraziare in particolare l'Unità di informazione finanziaria, il Consorzio CINI, l'Università Federico II di Napoli e anche dirigenti della DGSIA del Ministero, perché si è costituito un tavolo per progettare la nuova banca dati, un progetto pensato per garantire un'architettura coerente con la neutralità del nostro ruolo. Sarebbe stato facile mettere il progetto sul mercato, quindi andare alla ricerca del denaro necessario per finanziare un progetto, ma i progetti affidati al mercato, dal mio punto di vista, risentono, come è giusto e inevitabile che sia, delle logiche del mercato. Dal mio punto di vista era necessario avere un sistema, visti i prezzi pagati dal precedente, pensato tenendo conto della autonomia dell'indipendenza delle Istituzioni giudiziarie che devono utilizzarle. Per questo la richiesta di collaborazione è stata indirizzata a Istituzioni molto diverse, ma che hanno in comune una cultura dell'autonomia del proprio statuto, come, da un lato, Banca d'Italia e dall'altro lato il sistema universitario.
  Fatto questo primo passo siamo andati alla ricerca di finanziamenti e qui devo andare a svolgere altri ringraziamenti. I miei ringraziamenti li devo al Ministro Matteo Piantedosi e al Capo della Polizia Vittorio Pisani per aver deciso di destinare una parte delle risorse dei fondi europei, destinate alla prevenzione della sicurezza pubblica alla costruzione della nuova banca dati.
  Per fortuna non ho avuto la sensazione di procedere a una questua nel sollecitare queste collaborazioni istituzionali, ma in realtà più che una fortuna è l'effetto riflesso nella profonda consapevolezza che tutte queste Istituzioni hanno del ruolo che la banca dati svolge proprio nel sistema della sicurezza e nella garanzia di efficacia dell'attività di indagine, dell'attività complessivamente di prevenzione e repressione della criminalità organizzata e del terrorismo.
  Tutti coloro i quali hanno partecipato, anche i miei colleghi, alla elaborazione di questo progetto si dispiaceranno che io non ne tracci tutti i contenuti che dovrebbero definire le magnifiche sorti progressive, ma l'unica cosa che mi sembra importante dire è che finalmente è stato approvato quel piano di finanziamento.
  Nel piano di finanziamento sono state approvate due linee di finanziamento dal Ministero dell'interno, una per 38 milioni e un'altra, che è ancora in fase istruttoria, di circa 7 milioni, nell'ambito del Piano nazionale sicurezza per la legalità.
  La sicurezza della banca dati, la sicurezza dei sistemi informativi non è l'unico aspetto della sicurezza dei dati che vengono immagazzinati in quei sistemi. Vi è un problema relativo alle misure da adottare sulle infrastrutture. Gli interventi riguardano il centro elaborazione dati della DNA, le reti di palazzo, il sistema wi-fi. Anche da questo punto di vista risparmio alla Commissione una elencazione della faticosa attività fatta per rimettere in piedi questi architravi dei sistemi di sicurezza. Ma anche per fornire alle procure distrettuali nuovi servizi. Oggi siamo finalmente in grado di assicurare sistemi di videoconferenza cifrata. Fino ad oggi, invece, i sistemi di videoconferenza viaggiavano sulla rete unica della giustizia, su Teams, che non è esattamente, dal punto di vista della tutela Pag. 20del segreto investigativo, un'assoluta sicurezza. Oggi c'è quella rete, la stiamo dispiegando. Già alcune procure ne sono dotate.
  Sono state ripensate soluzioni di backup e di restore dei dati, persino dati delicati come quelli dei colloqui investigativi. Voi sapete che il Procuratore nazionale antimafia ha, sin dal 1991, la possibilità di svolgere colloqui investigativi con detenuti per raccogliere elementi utili al fine di un impulso investigativo. Sono atti non utilizzabili, che servono per orientare l'azione di impulso. In molti casi sono stati utilissimi. Questi atti per trent'anni sono stati conservati soltanto in dimensione cartacea. Anche i supporti che contengono le registrazioni di questi colloqui erano affidati a floppy disk, CD-ROM e DVD. Quindi, per tutto ciò è stato necessario costruire un ambiente di storage in grado di preservarne la possibilità di documentazione.
  Analogamente è stato messo in piedi un sistema di monitoraggio delle anomalie comportamentali, che in teoria è ancora in fase di implementazione perché è legato alla complessiva securizzazione del sistema.
  Il sistema della sicurezza è complesso, l'ho detto in anticipo. Quindi, non è importante soltanto ciò che facciamo noi, è importante anche ciò che facciamo noi insieme agli altri. Perciò, bisognava anche avviare nuove interlocuzioni con la Guardia di finanza, l'UIF e la Banca d'Italia per rinnovare i protocolli di intesa, e rinnovarli nella specifica prospettiva della sicurezza dei dati e della tracciabilità delle operazioni. Dopo preliminari interlocuzioni, già a luglio 2022 condividevo con il Comando generale della Guardia di finanza l'esigenza di superare i precedenti protocolli tecnici, anche nella prospettiva della sicurezza dei dati.
  Il protocollo vi sarà messo a disposizione, perché non contiene nessun profilo di segretezza né tantomeno di riservatezza, al pari di quello stipulato il 30 novembre 2022, il primo è del 10 novembre 2022, tra la Direzione nazionale antimafia e la UIF, con le quali abbiamo notevolmente rafforzato gli interscambi informativi che servono ai reciproci fini istituzionali.
  Vengo all'ultimo protocollo, che è il più importante, perché è quello che regola e governa l'intero sistema di gestione dei flussi informativi legati alle SOS. È il protocollo fatto con la Guardia di finanza, il Dipartimento della pubblica sicurezza, dunque il Capo della Polizia, e l'Unità di informazione finanziaria il 21 dicembre 2023. È stato necessario lavorare molto. È stato costituito un gruppo di lavoro con i tecnici di queste istituzioni, perché si trattava proprio di escogitare soluzioni tecniche che ruotassero intorno alla piattaforma informatica che regola i flussi. Ma era un lavoro necessario per le criticità che sono state concordemente rilevate, penso alla presenza di scambi informativi a mezzo di supporti informatici fisici in assenza di adeguati presìdi di sicurezza. Questo dimostra anche una cosa: il problema della sicurezza non è un problema soltanto della Direzione nazionale antimafia.
  La Direzione nazionale antimafia può dire di averlo affrontato, e lo ha affrontato insieme alle altre istituzioni, che pure condividevano quelle criticità e che hanno inteso, con noi, superarle. Vi erano anche problemi pratici, perché c'era un appesantimento dei processi di lavoro, un uso di formati diversi. In generale, il nuovo protocollo consente il superamento di tutte le criticità attraverso queste semplici ma radicali innovazioni.
  Tutte le informazioni vengono gestite esclusivamente attraverso il portale SAFE della Banca d'Italia, di UIF, per tutti i flussi connessi alle segnalazioni di operazioni sospette, incrementando anche, previa crittografia, il livello di sicurezza generale ed eliminando totalmente gli scambi a mezzo supporti fisici, piena condivisione e reciproca conoscibilità dei flussi, eliminazione dei duplicati, uniformità dei formati e dinamicità delle intese protocollari. A tal riguardo, è stato istituito un tavolo tecnico permanente che opera proprio per individuare sul campo tutti i profili che non è possibile tener presente al momento in cui si definisce una nuova architettura. Un tavolo tecnico permanente grazie al quale è ormai imminente anche il rinnovo del protocollo bilaterale tra la DNA e la DIA in Pag. 21materia di segnalazione di operazioni sospette.
  Ci avviciniamo alle questioni di più immediato interesse. Ovviamente, la riorganizzazione ha dovuto affrontare anche i nodi legati al funzionamento del servizio SOS e del gruppo ricerche. Come ho detto, se il 22 giugno avevo assunto il diretto controllo del servizio risorse tecnologiche, flussi e sicurezze, secondo i criteri allora vigenti di organizzazione dell'ufficio, che sono regolati da procedure stabilite dal Consiglio superiore della magistratura, l'attività del servizio SOS continuava a essere curata da un procuratore aggiunto coordinatore e dal magistrato incaricato, al quale soltanto faceva capo la quotidiana gestione in particolare del gruppo SOS. Tanto almeno fino alla complessiva riorganizzazione del settore, completata nella seconda metà del mese di novembre. Perché nella seconda metà del mese di novembre? Perché era necessario fare il protocollo con la Guardia di finanza, a cui poi sarebbe seguito l'innesto di nuove strutture e persino la nomina come nuovo referente del gruppo SOS dell'allora capitano Eugenio Marmorale. Quel protocollo era il necessario presupposto. Il caso ha voluto che il completamento del processo di riorganizzazione coincidesse con la notizia dell'individuazione del sottotenente Striano come responsabile dell'accesso abusivo ai sistemi, non della DNA, utilizzati per carpire informazioni sul conto del Ministro Guido Crosetto. Il maggiore Marmorale riceve notizia del suo trasferimento, deliberato il 21 novembre 2022, se non sbaglio, ma devo dare atto al comandante dei reparti speciali della Guardia di finanza e al comandante del Nucleo di polizia valutaria di allora, il generale Giordano, che mi avevano già assicurato che avrebbero provveduto a selezionare un ufficiale destinato a divenire presto ufficiale superiore, secondo criteri di eccellenza.
  Ritornando alla materia delle SOS, dopo una preliminare raccolta dei dati, che il 14 settembre trasmisi alla DGSIA anche in vista dell'avvio delle operazioni ispettive, convocai, il 4 agosto, una prima riunione del servizio SOS, a cui parteciparono entrambi i procuratori aggiunti e il magistrato incaricato del servizio. Dal 10 settembre 2014 il magistrato era designato coordinatore del predetto servizio, allora parte del cosiddetto «polo d'interesse» – adesso non ricordo la denominazione esatta – e dal marzo 2021 ha adottato un nuovo programma organizzativo della DNA per il 2020-2021. Inoltre, era stato designato dal Procuratore nazionale pro tempore quale incaricato del progetto per la gestione delle SOS, attribuendo però il coordinamento del servizio nel quale il progetto SOS si inseriva a un procuratore aggiunto. Partecipò anche il tenente Striano, che è l'ufficiale di polizia giudiziaria più alto in grado, era anche l'unico ufficiale, ma come ufficiale di polizia giudiziaria era il più alto in grado, che quindi di fatto svolgeva una funzione di coordinamento del gruppo, pur in mancanza di qualsivoglia formale attribuzione di incarico.
  Al termine della riunione, sulla base degli elementi acquisiti nel corso della stessa e di quelli poi trasmessi su mia richiesta dal procuratore aggiunto ancora coordinatore del servizio, il giorno successivo, era semplice perché il bisogno di conoscere come funzionasse questa attività era così evidente che persino il Procuratore generale presso la Corte di cassazione in quella riunione che prima ho citato, che si era svolta ad ottobre 2020, se non sbaglio, aveva chiesto al Procuratore nazionale di trasmettere un appunto che ne spiegasse il funzionamento, che fu puntualmente trasmesso, che mi venne consegnato il 5 agosto. Nella stessa data io adotto il primo formale provvedimento, disponendo una formale ricognizione dell'andamento del servizio, da completare entro il successivo 5 settembre, a cura del procuratore aggiunto di riferimento.

  PIETRO PITTALIS. Laudati?

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. No. Il magistrato incaricato del progetto prima era il dottor Laudati e il procuratore aggiunto coordinatore del servizio contrasto patrimoniale – io, invece, avevo già assunto Pag. 22la diretta responsabilità del servizio risorse tecnologiche – era il dottor Russo.
  Con questo primo provvedimento, quindi, chiedo una ricognizione illustrativa dei criteri gestionali e delle modalità attuative degli scambi informativi e chiedo di acquisire i dati afferenti ai flussi SOS per il periodo 2019-2021, comprese le informazioni fornite dall'UIF. Di tale atto do comunicazione anche a tutti i procuratori distrettuali, per ragioni riferite a quella mia visione che impone la condivisione più ampia possibile di tutti i processi decisionali del mio ufficio. D'altronde, è più faticoso condividere, ma è necessario per rendere effettiva la funzione di servizio a supporto delle procure distrettuali. E in questo provvedimento già annuncio che avrei assunto la responsabilità anche del servizio SOS e che il servizio SOS avrebbe dovuto funzionare secondo parametri di rigorosa trasparenza, correttezza e tracciabilità delle proprie attività e della loro rigorosa attinenza alle funzioni proprie del Procuratore nazionale antimafia e antiterrorismo.
  Si conclude la ricognizione nei primi giorni di settembre 2022, il 21 settembre 2022 condivido i risultati di questa ricognizione con tutti i procuratori distrettuali e si mette in moto il procedimento, previsto dalle regole del Consiglio superiore della magistratura, per modificare il programma organizzativo che regolava il funzionamento del servizio SOS. Ci metto due mesi, perché il procedimento si nutre anche dell'apporto dei procuratori distrettuali e di quel gruppo di cui facevano parte i procuratori distrettuali di Firenze e Venezia. Il 18 novembre 2022 viene adottato il decreto n. 280, con il quale, in considerazione del ruolo centrale assegnato alla DNA nel sistema nazionale di prevenzione del rischio di utilizzo del sistema finanziario a scopo di riciclaggio e di finanziamento del terrorismo, ruolo centrale che pregherei di non perdere mai di vista, perché ne verrebbe gravemente pregiudicata la stessa idea del ruolo della magistratura, tutta, nel Governo delle indagini afferenti a questi fenomeni criminali così gravi e pericolosi.
  In considerazione del ruolo centrale, venivano dettate tutta una serie di disposizioni. In particolare, con questo decreto il Procuratore nazionale assumeva il diretto coordinamento del servizio SOS, quindi anche delle attività del gruppo SOS, cioè degli ufficiali di polizia giudiziaria addetti alle analisi. In luogo della precedente composizione magistratuale monosoggettiva, al servizio venivano addetti tre sostituti, dei quali uno della sezione antiterrorismo. A quest'ultimo era riservata la trattazione delle relative procedure, restando confermato che soltanto ai sostituti era riservata, come logico e naturale, la cura delle attività di raccolta, analisi ed elaborazione dei dati. Naturalmente, erano dettati e direttive generali, in uno a criteri predeterminati di ripartizione degli affari tra due sostituti.
  Con decreto del 5 dicembre 2022 vengono nominati, accanto al dottor Laudati, nuovi sostituti, la dottoressa Barbara Sargenti e il dottor Paolo Savio, ovviamente previo interpello generale. Allo stato, risultano assegnati quattro sostituti: la dottoressa Sargenti, il dottor Savio, la dottoressa Palaia e il dottor Ardituro, avendo lo scrivente, con ordine di servizio del 15 giugno 2023, revocato al dottor Laudati, su sua richiesta, la delega delle funzioni di collegamento investigativo con la procura distrettuale di Perugia, che svolgo personalmente, nonché l'assegnazione del medesimo magistrato al servizio operazioni finanziarie sospette.
  Il sottotenente Striano era presente alla riunione del 4 agosto. Non avevo mai avuto colloqui con lui. Successivamente ne ebbi soltanto uno, il 22 agosto, a seguito di ripetute richieste del predetto e altre sollecitazioni a incontrarlo. L'incontro durò pochi minuti. Si risolse nella mia richiesta di ricevere in via riservata un suo appunto contenente indicazioni di problemi ed eventuali proposte. Un appunto che ricevetti dopo pochi giorni. Di questo appunto erano capisaldi i suggerimenti di rafforzare la posizione dell'ufficiale di polizia giudiziaria più alto in grado – lo stesso Striano – con un formale provvedimento e di continuare ad affidare il coordinamento del servizio SOS a un solo magistrato. Naturalmente, non tralasciai di verificare l'unica circostanza che mi sembrava degna di nota: era Pag. 23indicato un rilevante ritardo nell'analisi di numerose SOS in materia di terrorismo attribuito dal sottotenente Striano a una conflittualità con gli ufficiali di polizia giudiziaria e anche della Guardia di finanza, che lavoravano nel gruppo ricerche che faceva capo al procuratore aggiunto Russo, fino al 22 giugno 2022, e poi a me. Questo inconveniente fu superato, ma la lettura di questa proposta, di questo appunto era abbastanza per confermare la necessità di un avvicendamento e proseguire con determinazione sulla strada della completa ristrutturazione del servizio SOS.
  L'avvicendamento, come ricordavo, avvenne nel novembre 2022, con casuale coincidenza con la messa a disposizione da parte del comandante della valutaria del capitano Marmorale e della notizia, pervenuta con formalità che io sommessamente definisco anomale, dell'esistenza del procedimento penale originato dalla denuncia del Ministro Crosetto. È regola non scritta, ma costantemente osservata che la richiesta di informazioni sull'attività di un ufficio viene rivolta al dirigente di quell'ufficio, mentre la missiva era indirizzata al dottor Laudati.
  Con altri provvedimenti vengono disciplinate le attività sia del gruppo di lavoro SOS che del gruppo ricerche. Si introduce la prassi di rapporti, di report trimestrali, di un report annuale, l'utilizzo di specifici registri informatici per garantire la tracciabilità delle attività, nuove disposizioni per il rilascio di credenziali, eccetera. Potrei trattenervi ancora parecchio tempo a parlare di tutto ciò.
  Mi interessa sottolineare soltanto un aspetto previsto dal provvedimento organizzativo che regolava queste attività: il punto «utilizzo delle banche dati e relative procedure di abilitazione e disabilitazione». Il mio provvedimento dice: «Per lo svolgimento dei compiti demandati al gruppo di lavoro SOS, i singoli componenti potranno avvalersi delle banche dati in uso alla DNA, di cui all'allegato elenco, e di quelle messe a disposizione dalle rispettive amministrazioni di appartenenza e potranno, altresì, utilizzare apposite cartelle condivise in rete. Nell'ottica di assicurare la riservatezza nell'esecuzione dei compiti affidati, il referente del gruppo di lavoro, previa aggiornata ricognizione delle abilitazioni già date all'accesso alle banche dati nella disponibilità della DNA, rappresenterà per iscritto al Procuratore nazionale ogni esigenza di abilitazione e di eventuale revoca delle credenziali già attribuite. Inoltre, laddove nel corso degli approfondimenti del gruppo di lavoro si renda necessario consultare il registro generale delle notizie di reato, la relativa richiesta sarà trasmessa al servizio risorse tecnologiche, cioè al Procuratore nazionale, per la necessaria autorizzazione. Il referente cura l'invio di appositi report trimestrali».
  Soprattutto, questo provvedimento reca traccia dell'indicazione di criteri di priorità nella selezione delle SOS da trattare. Le SOS da trattare prioritariamente sono quelle che corrispondono a richieste innanzitutto delle procure distrettuali, che hanno la precedenza assoluta, quindi richieste dai coordinatori delle sezioni nelle quali è suddivisa l'articolazione interna della Procura nazionale. Esistono varie sezioni: la sezione 'ndrangheta, la sezione camorra, la sezione cosa nostra, la sezione nuove mafie, e così via. Queste sezioni sono il luogo di elaborazione delle proposte di impulso investigativo e devono, quindi, potersi nutrire anche delle informazioni derivanti dalle SOS, ma è il frutto di una decisione che prende la sezione nel suo complesso, che è garantita dal ruolo di coordinamento del procuratore aggiunto delegato.
  I singoli magistrati della DNA hanno facoltà di richiedere ricerche e approfondimenti al gruppo SOS. Ogni altra esigenza di approfondimento è segnalata dal referente del gruppo SOS per iscritto al Procuratore nazionale, che dispone nel caso.
  Si tratta di regole che sono state fissate d'intesa con i procuratori distrettuali.
  Ovviamente, tutto ciò determinava anche l'esigenza – lo accennavo – di un profondo rinnovamento della struttura. Il gruppo di lavoro SOS era composto da tre unità della DIA e da cinque unità della valutaria. Cinque di queste otto unità sono state avvicendate. Tutti i predetti militari facevano parte di un nucleo originario di Pag. 24otto unità presenti al momento del mio insediamento. Intanto, sono arrivate tre nuove unità della valutaria, perché sono in attesa dell'effettiva assegnazione di altre tre unità della Guardia di finanza messe a disposizione dal direttore della DIA.
  Questa precisazione mi consente anche di specificare alcune cose sul sottotenente Striano. Alla luce delle notizie di stampa, al di là della curiosa definizione del sottotenente come impiegato della Direzione nazionale antimafia, vorrei dare rilievo alla cronistoria del suo impiego presso la Direzione nazionale antimafia. Il sottotenente Striano, anzi il luogotenente Striano era in forza alla DIA a far data dal 3 maggio 1999. Lo indico a riprova del carattere generale dell'esigenza di delimitare nel tempo la permanenza nei più delicati organismi, nelle più delicate posizioni. Era in forza alla DIA, quindi, già dal 3 maggio 1999. Dal 1° luglio 2016 è stato impiegato nel grado di luogotenente presso il gruppo SOS della DNA, proprio in base al protocollo DNA-DIA. Da settembre 2018 al 19 gennaio 2019 ha frequentato il corso per ufficiali della Guardia di finanza riservato agli ispettori del medesimo Corpo, che ha vinto al primo tentativo. Ritorna in DIA, per un incarico non meglio precisato, da gennaio 2019 al 12 febbraio 2019. Il 13 febbraio, probabilmente un periodo di mera transizione, rientra nell'amministrazione di appartenenza e viene riassegnato dalla polizia valutaria alla DNA, dove ha prestato servizio come ufficiale di collegamento con il Nucleo speciale della polizia valutaria fino al 23 novembre 2022, allorquando ne ho richiesto il rientro al reparto di appartenenza.
  Non meno radicali sono stati gli interventi necessari per corrispondere alle esigenze di rotazione, di avvicendamento, necessari anche a immettere nuovi entusiasmi, nuove competenze e anche a ringiovanire i quadri. Il Gruppo interforze ricerche e analisi, cioè il gruppo che fa ricerche nella banca dati, ha visto avvicendare 19 delle 40 unità, appartenenti all'Arma dei carabinieri, alla Polizia di Stato, alla Guardia di finanza e alla DIA, che sono state sostituite con nuove unità selezionate in autonomia dall'Arma dei carabinieri, dalla Polizia di Stato, dalla Guardia di finanza e dalla DIA, in un caso anche dalla polizia penitenziaria. Quindi, cinque più cinque più quattro più una più due: meno di quelle delle quali si è richiesto l'avvicendamento. A dimostrazione che non si è cercato di aumentare il numero degli analisti, ma di ricevere garanzie su capacità e correttezza.
  Adesso, fatto questo quadro, sono nelle condizioni di rispondere alle vostre domande di chiarimenti o di integrazioni riferite, immagino, agli unici cosiddetti «dossier», in qualche modo riconducibili alle attività svolte nel periodo in cui ho svolto le funzioni di Procuratore nazionale antimafia. Dico «in qualche modo» perché entrambe hanno formato oggetto di rilevazione e denuncia del Procuratore nazionale antimafia. In un caso si tratta di attività compiute anteriormente. Nell'altro caso, quello del Ministro Crosetto, si tratta di attività svoltesi durante il mio periodo di dirigenza, attività svolte su banche dati della Guardia di finanza, mediante macchine della Guardia di finanza e poi giustificate – questo è un caso divertente – con attività di accertamento pre-investigativo, documentate con una relazione trasmessa a me, per il tramite della polizia valutaria, circa tre mesi dopo averne chiesto l'allontanamento. Improvvisamente giunge in busta chiusa una relazione. È interessante notare che in questa relazione, che è il «dossier» sul Ministro Crosetto, non c'è traccia di alcuna SOS.
  Credo di aver approfittato abbastanza della vostra pazienza e della vostra attenzione. Mi rimetterei alle vostre domande.

  PRESIDENTE. Procuratore, lei non ha approfittato della nostra pazienza, anzi colgo l'occasione per ringraziarla per la dettagliata relazione che ha fornito a questa Commissione, che pur fotografando – per usare un termine utilizzato da lei – una situazione disastrosa, in fasi precedenti a quelle attuali, certamente ci ha aiutato a entrare nel tema e a capire come possiamo essere utili in questa collaborazione proficua tra la DNA e la Commissione parlamentare antimafia, per limitare gestioni che sono evidentemente illecite.Pag. 25
  Prego, senatore Verini.

  WALTER VERINI. Semplicemente sull'ordine lavori. Avevo capito dal Procuratore nazionale che si riservava una parte secretata, se non ho capito male. Chiedo quindi se non fosse il caso di completare con questa parte.

  PRESIDENTE. Io ho capito che la parte secretata ci sarà se dalle domande emerge qualcosa che non si può dire in libera.

  WALTER VERINI. Perfetto. Grazie.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. È eventuale, ma i riferimenti li ho fatti su entrambe le vicende delle quali ho cognizione diretta e delle quali ho riferito con relazioni apposite alle procure che procedono alle relative indagini.

  PRESIDENTE. Do la parola ai colleghi che intendono intervenire per porre quesiti o formulare osservazioni.
  Ho già diversi iscritti a parlare. Se devo iscrivere qualcun altro vi chiedo di segnalarmelo. Procediamo con l'ordine con cui sono arrivate le richieste.

  ANTONIO IANNONE. Signor presidente, ringrazio innanzitutto il signor procuratore per la relazione chiarissima e completissima. Tanto completa per me da aver già esaurito la prima parte dell'unica domanda che vorrei porre alla sua cortesia.
  Lei ha detto che il luogotenente Striano non svolgeva questa attività in maniera autonoma. Vorrei chiederle se lei pensa o ha contezza che questa attività del luogotenente Striano sia in disponibilità di qualcuno, in particolare della catena gerarchica della Guardia di finanza o di altri. Solo questo.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Senatore, la interrompo subito. Quello che ho detto è lievemente ma significativamente diverso. Ho detto che per estensione e sistematicità l'attività di raccolta dati che è emersa nell'indagine di Perugia e che è ipoteticamente attribuita – l'omaggio al principio della presunzione di innocenza non è rituale – al sottotenente Striano ha caratteristiche che sembrano difficilmente, secondo la mia esperienza, riconducibili a mere iniziative individuali. Ma ho anche precisato che il compito eventualmente di definire un perimetro di responsabilità più ampio compete soltanto alle indagini del procuratore della Repubblica di Perugia, al quale posso aggiungere che ovviamente fornirò ogni possibile sostegno, ogni possibile contributo di conoscenza, ogni possibile supporto che sarà eventualmente necessario.
  Preciso, a tale riguardo, che già si sono svolte riunioni di coordinamento che hanno riguardato l'indagine della procura di Perugia e indagini di altri uffici relative ad altri casi di indebita esfiltrazione di dati contenuti nelle SOS. Senatore, io credo che la dizione profonda delle indagini di mafia e delle indagini di terrorismo sia proprio quella di cercare di andare al di là della singola specifica notizia di reato e mettere in relazione i pezzi di puzzle che a volte sono molto complessi e hanno anche legami difficili da definire.
  Non è detto che sia l'indagine penale, il processo penale, lo strumento migliore per farlo, perché ovviamente la soglia di congruità degli elementi di giudizio nel procedimento penale è ancorata al concetto di prova, di prova indiziaria nella fase delle indagini e di prova formata soltanto nel contraddittorio e al di là di ogni ragionevole dubbio nella fase del giudizio. Quindi non è detto che sia un compito assolvibile... È un'obbligazione di mezzi, non di risultato, però io credo che semplicemente mettendo insieme le notizie pubblicate anche negli ultimi anni su vari «incidenti» – alcune di queste sono state richiamate anche nella stampa di questi giorni, e anche col senno di poi mi sembrano non meno gravi di queste – forse è arrivato il momento di provare a mettere in campo la cultura del coordinamento investigativo anche su questo terreno.
  So per certo di poter confidare sulla collaborazione della Guardia di finanza e Pag. 26degli altri servizi di polizia giudiziaria che come la Direzione nazionale antimafia sono sovente vittime di attacchi al loro patrimonio informativo. I tribunali sono discretamente affollati di procedimenti per accessi abusivi allo SDI, al SIVA, a SERPICO, alle varie banche dati delle varie forze di polizia giudiziaria. Ecco, io credo che sia una constatazione obiettiva prendere atto che esiste una sorta di mercato delle informazioni riservate. Si tratta di capire se è un mercato regolato dalla casualità e da un numero infinito di attori tra loro non collegati e frutto magari soltanto della debolezza dei sistemi digitali che contengono queste informazioni, in termini di regole di accesso e di utilizzazione, o se invece ci sono logiche più sofisticate e più ampie. Io credo che l'indagine di Perugia – ma non è l'unica indagine – consenta di mettere qualche mattoncino per immaginare una costruzione più ampia, però si tratta di una mia personale impressione, alla quale la prego di assegnare soltanto il valore che è proprio di una valutazione fatta da un magistrato che ha quarant'anni di esperienza.

  GIANLUCA CANTALAMESSA. Grazie, signor procuratore. Condivido due premesse che lei ha fatto, la prima sullo spirito di collaborazione istituzionale che ci deve essere sempre, a prescindere, ma ancor di più considerando il momento. Inoltre, mi ha impressionato – perché so chi è lei – quando ha parlato di gravità estrema, questa è una cosa che non mi ha lasciato del tutto indifferente.
  Ho segnato tutte le date che lei ha riferito: il 22 giugno ha preso in mano l'IT; l'8 luglio ha richiesto le ispezioni; il 22 luglio il nuovo regolamento; a novembre si è preso la gestione delle SOS. Premetto che avevo segnato ventuno domande prima di ascoltare la sua relazione e ora sono sceso a tre, quindi diciotto me le ha evitate.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Questo è consolante per me.

  GIANLUCA CANTALAMESSA. L'ha detto qui ed è già stato ripreso dalle agenzie: lei ha parlato di accessi abusivi anche nelle ultime settimane. Si riferiva alla DNA, si riferiva all'esterno? Se sì, quanti e da dove?

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Senatore Cantalamessa – scusi, forse l'ho interrotta – io leggo i giornali come voi. Se sui giornali emerge una notizia di una SOS, io escludo che sia tendenzialmente arrivata per canali illeciti; è sufficiente leggere le rassegne stampa delle ultime settimane per trovare anche dei casi particolarmente rilevanti dal punto di vista mediatico. Uno di questi casi è stato recentemente denunciato dal direttore dell'UIF al procuratore della Repubblica di Roma, che me ne ha dato notizia nel quadro della totale collaborazione che caratterizza i nostri rapporti.
  Aggiungo soltanto che i casi ai quali mi riferisco si riferivano a SOS dei quali il mio ufficio non ha nessuna conoscenza.

  GIANLUCA CANTALAMESSA. Grazie. Altra domanda: lei oggi ha detto che le SOS vengono classificate in base al tipo di associazione criminale e quant'altro. Che lei sappia, in precedenza c'era sempre questa classificazione? Poiché nelle SOS ci potrebbe essere anche un PEP che fa un bonifico, mi corregga se sbaglio... Non per forza deve riguardare, per quanto ne sappia, che sicuramente è meno di quello che ne sa lei... Questa classificazione esisteva prima o è frutto del lavoro che è stato fatto successivamente?

  PRESIDENTE. Chiedo scusa, procuratore, lasciamo completare le domande, altrimenti diventa un dibattito e non riesco più a gestirlo. Grazie.

  GIANLUCA CANTALAMESSA. Sempre in merito alle SOS, io avevo compreso che le circa 100 mila e oltre SOS all'anno tutte rimanessero in pancia alla DNA. Se ho capito bene, invece, ne restano in pancia il 17-18 per cento...

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Al massimo il 16 per cento.

Pag. 27

  GIANLUCA CANTALAMESSA. ...che sono quelle che si riferiscono alla criminalità organizzata. Va bene, questo era un altro discorso che volevo chiarire.
  In ultimo, il tenente Striano si sa da chi è stato delegato alla DNA? Grazie.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. La prima questione è più rilevante. Certo che esistevano anche prima delle regole. Ho provato a indicare i versanti che, secondo me, consentivano un significativo innalzamento e rafforzamento dei presìdi della correttezza e della trasparenza delle azioni. Uno è rappresentato dall'introduzione di meccanismi che, al di là dell'enunciazione delle regole, poi introducono una verifica della corrispondenza delle prassi a quei medesimi criteri; il secondo era costituito – ed era forse il più importante – dall'individuazione di criteri obiettivi e direi eteronomi di selezione delle SOS da approfondire a fini di impulso investigativo, perché, anche se stiamo parlando di una percentuale ridotta, stiamo parlando di migliaia di SOS e quindi un sia pur valente ma ristretto manipolo di analisti non può pensare di analizzarle tutte contemporaneamente.
  Si è capito che non disponiamo di sistemi di intelligenza artificiale, ritengo, anche se una nuova banca dati sarà costruita intorno a quelle logiche, quindi si trattava di introdurre dei criteri obiettivi di diretta attinenza e rilevanza per le funzioni investigative delle procure distrettuali e quindi per le funzioni di impulso, richieste delle procure distrettuali, richieste delle sezioni, richieste dei gruppi di lavoro, richieste dei singoli magistrati o segnalazioni del referente del gruppo che derivano dalla constatazione che si tratta di cose particolarmente delicate. Per esempio, anche negli anni precedenti è sempre stata assicurata una corsia preferenziale – anche se prima ho detto che ci fu poi anche un rallentamento su questo – all'analisi delle SOS rilevanti in materia di terrorismo. Non devo mica spiegare le ragioni dell'urgenza della verifica di segnalazioni che di regola provengono da FIU estere e che quindi consentono di attingere a livelli informativi non conoscibili e non avvicinabili neanche nei canali della cooperazione di polizia e della cooperazione giudiziaria, in mancanza di un procedimento già sviluppatosi. Questo per quanto riguarda la sua prima domanda.
  Per quanto riguarda la seconda domanda, vorrei sottrarmi al rischio di diventare il biografo del sottotenente Striano. Credo – e l'ho sottolineato anche nella logica che prima il senatore Iannone indicava – ma non è un'interferenza nelle valutazioni del procuratore di Perugia, perché so che condivide esattamente il mio punto di vista, che definire il profilo, il sistema di relazioni della persona sottoposta a indagini sia di regola un buon criterio per comprendere il movente e il significato delle sue azioni, sempre ammesso che le abbia commesse.

  GIANLUCA CANTALAMESSA. In un articolo di Repubblica avevo letto che la DNA si è occupata di un discorso in merito ai fondi della Lega e non sarebbe stato trasmesso alla procura competente.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Non so se è lo stesso articolo di stampa che ho letto io oggi. Posso dire che la domanda va rivolta al procuratore della Repubblica di Perugia, al quale sono stati trasmessi tutti i documenti che egli ha ritenuto utili a fini investigativi.

  GIANLUCA CANTALAMESSA. Grazie.

  ROBERTO MARIA FERDINANDO SCARPINATO. Procuratore, lei ha chiarito che alla Procura nazionale antimafia vengono inviate le segnalazioni di operazioni sospette criptate e che vengono decretate soltanto a seguito di mixing positivo con la banca dati, cioè quando un nome incrocia i dati inseriti nella banca dati viene decriptato. Tuttavia, dalle notizie di stampa risulta che la maggior parte degli accessi abusivi riguarda soggetti che sembrano non avere nulla a che fare con indagini di mafia e di terrorismo.Pag. 28
  Tenuto conto che la Procura nazionale antimafia conosce soltanto i nominativi dei soggetti indagati per mafia o per terrorismo, come sono avvenuti questi accessi abusivi? A questo riguardo, poiché leggo sui giornali che il sottotenente di cui abbiamo parlato aveva accesso alla banca dati SIVA sul portale analisti della Guardia di finanza, le pongo una domanda. La banca dati SIVA consente, una volta che viene consultata, facendo il nome, di sapere se per quel nome c'è una segnalazione di operazione sospetta, di qualunque tipo. Da quanto mi risulta, il Procuratore nazionale antimafia non ha accesso alla banca dati SIVA. Quindi, mi chiedo, ma il sottotenente Striano, quando interrogava la banca dati SIVA, operava quale funzionario della Procura nazionale antimafia oppure operava per conto proprio? Il buco è all'interno delle istituzioni della Procura nazionale antimafia oppure, tenuto conto che il sottotenente Striano utilizzava poteri che non erano della Procura nazionale antimafia, ha fatto questi accessi per conto suo, che non sono imputabili quindi alla Procura nazionale antimafia? Com'è che il sottotenente Striano, pure essendo distaccato alla Procura nazionale antimafia, conservava la chiave di accesso alla banca dati SIVA? Dopo che era stato distaccato, questa chiave di accesso non gli doveva essere revocata?
  Secondo tema. Tutti gli accessi alle banche dati sono tracciati. Tuttavia, a me sembra, e questo non è un problema che riguarda soltanto la Procura nazionale antimafia, ma tutti gli uffici nel quale opera personale di polizia che ha accesso alla banca dati, che abbiamo un problema: non basta la tracciabilità del dato per evitare degli abusi, occorre che qualcuno dopo si legga il tracciato. Nel caso di specie, siamo stati in grado di individuare il sottotenente Striano come colui che aveva fatto gli accessi abusivi grazie al tracciamento.
  Il problema è che l'abbiamo scoperto dopo anni. Se il controllo fosse stato fatto giorno per giorno, dopo il primo giorno ci si sarebbe accorti che il sottotenente Striano stava facendo accessi su nominativi che non erano di competenza della Procura nazionale antimafia.
  Non sarebbe il caso di pensare a una iniziativa legislativa che renda obbligatorio, in campo nazionale, per tutti gli uffici nei quali operano soggetti che hanno accesso alle banche dati, il controllo a fine giornata di tutti gli accessi che sono stati fatti, utilizzando eventualmente anche l'intelligenza artificiale? Io lavoro durante il giorno, faccio degli accessi e a fine giornata o a fine settimana si fa un controllo a posteriori degli stessi accessi per verificare se erano conformi ai miei doveri di servizio o se per caso ho fatto delle cose che andavano al di là dei miei compiti.
  In questo caso, le chiedo se ritiene che una proposta di legge di questo genere sia un'iniziativa utile e urgente.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. La prima domanda riguarda SIVA. Da alcuni mesi – il maggiore Marmorale mi potrà suggerire inavvertitamente quando – gli analisti del nuovo gruppo SOS hanno, grazie alla nuova collaborazione della Guardia di finanza, l'accesso diretto a SIVA.
  In precedenza, il gruppo SOS aveva una possibilità di accesso in quanto ufficiali di polizia giudiziaria della Guardia di finanza, secondo regole tecniche e criteri che imponevano l'utilizzo di macchine collocate negli uffici della Guardia di finanza. Per essere più chiaro, posso, per esempio, trasferire le informazioni che il dottor Laudati mi diede quando mi consegnò la nota della procura di Roma che rivelava, di fatto, chiedendoci informazioni, che c'era un'indagine per accesso abusivo nei confronti del sottotenente Striano. Mi disse: «Noi non c'entriamo niente, l'accesso è stato fatto con sistemi della Guardia di finanza». Aggiunse, poi, che il sottotenente Striano lavorava, ma non c'è un documento che ne rechi traccia, alcuni giorni nella polizia valutaria e altri giorni, invece, in DNA.
  Poiché mi sembrava una circostanza meritevole di verifica, chiesi conto al comandante del Nucleo speciale di polizia valutaria, il generale Vito Giordano: «Com'è questa storia che lavora part-time qua e part-time da voi?». Lui mi disse: «Certo, viene da noi per poter accedere alle nostre banche dati, ma nessuno si sogna di dargli Pag. 29un qualsivoglia incarico». Questa fu testualmente la risposta del generale Giordano, che io non mancai poi di riportare al dottor Laudati, perché era palesemente contrastante con la sua indicazione secondo la quale, verosimilmente, il sottotenente Striano avrebbe potuto ricevere indicazioni dalla sua linea gerarchica. Questo per quanto riguarda gli accessi a SIVA.
  Poi, lei pone il problema che io ho cercato di porre in apertura della mia relazione, vale a dire quello della assoluta necessità di un rapido e radicale innalzamento dei sistemi di prevenzione e resilienza dagli attacchi informatici, perché vorrei che fosse chiaro che un accesso abusivo è un attacco informatico, è un internal threat, è minaccia interna dal punto di vista concettuale e anche dal punto di vista normativo, perché il modello di incriminazione relativo è lo stesso, il 615-ter nel caso in cui le informazioni siano inserite in sistemi informativi di interesse pubblico, il comma 3, che è quello che rientra nella sfera di coordinamento del Procuratore nazionale antimafia e antiterrorismo, ampliata con il recente decreto-legge.
  Sono assolutamente convinto che sia necessaria anche un'iniziativa legislativa per costringere tutte le pubbliche amministrazioni. Questa iniziativa legislativa credo che per certi versi sia già in campo, perché il disegno di legge al quale facevo prima riferimento, che è depositato alla Camera e del quale sommessamente mi permetterei di raccomandare il più rapido e urgente esame, reca, su iniziativa dell'Autorità nazionale per la cybersicurezza (ACN), proposte, delle quali vi è assoluta necessità, per imporre letteralmente alla pubblica amministrazione, anche nell'acquisizione di beni e servizi destinati alla gestione dei patrimoni digitali, alcuni standard necessari.
  Si tratta di un tema delicato innanzitutto dal punto di vista dell'impatto finanziario, perché alla Ragioneria generale dello Stato sono bravissimi a esaminare anche questi profili che a me sembrano assolutamente ipotetici, però la loro scienza del bilancio è in grado di stimare anche questi profili. Non si va, però, da nessuna parte soltanto con le misure legislative, perché queste possono anche introdurre il principio che così come per adottare misure cautelari ci vogliono non tre, ma cinque giudici o sette giudici, ma poi non si trovano i giudici, per fare queste procedure si può anche dire che tutti si devono dotare di sistemi di intelligenza artificiale, ma credo che ciascuno di noi ha occasione di prendere atto dello stato di arretratezza profonda nel quale l'amministrazione della giustizia spicca significativamente.
  Da questo punto di vista, però, le esigenze che lei ha posto, senatore Scarpinato, mi trovano assolutamente concorde. Se posso, sommessamente, formulare un altro auspicio è quello che la materia della sicurezza cibernetica nazionale, come è avvenuto in occasione della conversione del decreto-legge che conteneva le disposizioni, sia materia bipartisan perché attiene alla sicurezza del Paese.
  Recentemente – scusate se faccio una citazione – ho presentato il libro di un prefetto scomparso, un grande prefetto, Carlo Mosca, che è stato un esperto anche dei sistemi di intelligence. Lui ricordava, in una nota del suo libro, che si chiama Democrazia e intelligence italiana, che la legge n. 124 del 2007, che regola le funzioni del sistema informativo per la sicurezza della Repubblica, è stata l'unica legge approvata in modo bipartisan riconducibile al filone delle riforme istituzionali.
  Io credo che quello spirito vada messo in campo quando si tratta di parlare della sicurezza cibernetica, perché è in gioco la vita delle persone, non semplicemente dal punto di vista del quale oggi ci occupiamo. Sono sotto attacco tutti i sistemi più delicati della vita pubblica e privata del Paese. L'Italia è al terzo posto nell'Unione europea per numero di attacchi ransomware al sistema finanziario, e al sesto nel mondo.
  Vi sono attacchi portati a tutte le infrastrutture che sono pure inserite nel perimetro della sicurezza cibernetica. Vi è un eccezionale lavoro da fare, che però esige consapevolezza prima, visione, e anche uno straordinario spirito di coesione, se posso dirlo, perché si tratta di temi che non Pag. 30consentono né divisioni né più o meno misere speculazioni.
  Questa è la mia opinione.

  MAURO D'ATTIS. Procuratore, ci ha raccontato, con date precise, quando è arrivato cosa ha trovato, cosa ha fatto in termini anche organizzativi rispetto alle SOS, che lei definisce strumenti delicatissimi.
  Ci ha riferito anche di esiti sconfortanti dell'ispezione del CINI. La domanda che le faccio, proprio in funzione anche di quello che stiamo dicendo rispetto alle norme e alle innovazioni normative che richiederemmo, quello che ha trovato e quello che ha dovuto fare lo ha fatto perché si è potuto fare in termini organizzativi o perché, nel frattempo, sono intervenute delle norme che la hanno agevolata in questo cambio di gestione? Questo per capire bene cosa è accaduto prima, visto che l'audizione di oggi, sicuramente importante, che si integra anche alla prima audizione che lei ha tenuto qui proprio sul quadro normativo, sui suggerimenti, sull'approccio iniziale, riguarda prevalentemente il caso che stiamo trattando, che è quello che emerge poi dai dati delle iniziative giudiziarie, che continuerà domani.
  Seconda domanda. Lei racconta della trasmissione da parte del pubblico ministero di Roma, che, dopo aver individuato le impronte digitali di Striano, chiede informazioni al suo ufficio rivolgendosi direttamente a Laudati e non direttamente a lei. La domanda è la seguente: ritiene che questo passaggio, come dice lei, anche un po' improprio abbia potuto incidere sulla vicenda, per esempio in termini di dati che, nel frattempo, sono andati persi?
  Infine, avevo in seno anche questa domanda, ma il senatore Scarpinato ne ha fatta una che riguarda il tema. Mi risulta la sottoscrizione di un protocollo tra la Direzione nazionale antimafia e la Guardia di finanza dell'ottobre del 2017. Questo protocollo riguarda le attività da fare congiuntamente. Al netto delle normative, che devono essere sicuramente potenziate, a cominciare dal disegno che è all'esame del Parlamento, l'articolo 2 di questo protocollo dice che il Nucleo speciale di polizia valutaria e la DIA provvedono, in forma congiunta e per via telematica, a inoltrare immediatamente alla Direzione nazionale antimafia e antiterrorismo le informazioni pervenute dall'UIF, ai sensi dell'articolo 1. La domanda è la seguente: al netto delle norme che bisognerà introdurre, potenziare, eccetera, le chiedo, nel suo ufficio – che non era il suo ancora – questo protocollo d'intesa, alla luce di quello che stiamo leggendo, non lo abbiamo ancora visto, di fatto è stato violato, non è stato rispettato? Così appare, almeno nella forma di come si presenta lo stesso protocollo.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Grazie, vicepresidente D'Attis. Le sue domande, la terza in particolare, ma anche la prima, mi hanno fatto pensare – forse è un segno di stanchezza – che forse serve un completamento della mia risposta al senatore Scarpinato rispetto all'utilizzo di informazioni non contenute nelle SOS. Ho detto preliminarmente che credo sia molto importante, per avere esattamente la misura di quello che è avvenuto, verificare – e credo lo si possa fare soltanto con il procuratore della Repubblica di Perugia, perché si tratta di scendere nei dettagli di un'indagine che per molti versi è ancora oggetto di segreto investigativo – quanti accessi abusivi eseguiti in danno della DNA riguardino SOS, credo pochissimi, quanti accessi abusivi al sistema SOS siano stati fatti per altre vie e quanti accessi abusivi, invece, riguardino banche dati diverse da quelle che contengono le SOS. Secondo me, il quadro tracciato conferma anche il fondamento della sua preoccupazione, senatore Scarpinato. Trattandosi di accessi abusivi a una pluralità di database, a una pluralità di patrimoni digitali, resta confermata la straordinaria complessità del sistema, la necessità di risposte di sistema al tema cruciale della debolezza del nostro perimetro di sicurezza cibernetica.
  Ora stiamo parlando dei nostri dati. Non parlo soltanto per ipotesi astratte. Pensate a un attacco ai sistemi di Ferrovie dello Stato o di Trenitalia che sia finalizzato non semplicemente – come pure credo sia accaduto – a bloccare i treni, ma a Pag. 31modificare gli algoritmi che regolano il funzionamento dei binari, in modo da evitare che due treni si scontrino, o al prelevamento – che pure è avvenuto numerose volte – di dati personali delicatissimi dalle banche dati delle singole ASL, che sono enti a ridotta dimensione territoriale.
  Quando ero procuratore di Napoli se ne verificò uno assai grave. Sapete quale fu la risposta dello Stato? La risposta dello Stato fu questa: intervenne una società di assistenza della ASL, che svolse tutti i controlli del caso, che poi furono consegnati alla polizia postale e delle comunicazioni. Prassi considerata, dal dirigente dell'epoca della polizia delle comunicazioni di Napoli, inevitabile. Provai a spiegare che accettare con rassegnazione questo sistema significava più o meno la stessa cosa che accettare l'idea, se avviene un omicidio in un centro commerciale, di considerare normale che la società che gestisce il centro commerciale chiami la vigilanza per fare i rilievi di polizia scientifica e poi trasmetta al commissariato di polizia il fascicolo con tutti i dati. Ciò senza considerare che un qualsiasi intervento sui sistemi altera la scena del delitto di per sé, perché ovviamente modifica l'ambiente nel quale si svolge.
  Da questo punto di vista, c'è una strada lunghissima e anche molto in salita da fare. È una strada che il nostro Paese ha avviato, dal punto di vista sistemico, soltanto nel 2019, quando ha introdotto – con una legge di cui non ricordo il numero – il concetto di perimetro della sicurezza cibernetica nazionale e poi con la legge del 2021, che ha istituito l'Autorità nazionale per la sicurezza cibernetica, che è proseguita con il decreto che attribuisce al Procuratore nazionale il compito di coordinare le indagini in questo campo, che non è un compito secondario. Non era possibile – credo sia stata questa la constatazione condivisa da tutti – immaginare che l'intero impianto normativo della sicurezza cibernetica nazionale, fatto da due leggi con decine di articoli e centinaia di commi, non recasse una sola volta la parola «autorità giudiziaria».
  I delitti cibernetici non sono soltanto dei reati, perché mettono in gioco la sicurezza, le competenze del comparto di intelligence, mettono in gioco le sorti delle persone, quindi la responsabilità della pubblica amministrazione, mettono in gioco persino – se parliamo del sistema finanziario – la stessa stabilità finanziaria. Gli attacchi cibernetici, se è vero che non sono soltanto reati, sono «anche» reati. Di questo era necessario occuparsi ed elevare le difese.
  Da questo punto di vista, vi è già un disegno di legge che spero – rinnovo il mio auspicio – possa essere rapidamente esaminato. Oggi sono in corso indagini su attacchi informatici assai gravi. Un attacco informatico non è un reato che si perfeziona in un momento, dal quale momento, poi, partono le indagini. Intanto, l'individuazione dell'attaccante è estremamente complicata. Proprio il tema dell'attribuzione dell'attacco è estremamente complesso. Gli attacchi, a volte, durano molto tempo. A volte un attacco serve semplicemente a esplorare la possibilità di ulteriori attacchi ad altri obiettivi. È ben possibile che in uno di questi casi sia identificato l'attaccante. Attualmente, dopo sei mesi di indagine, che rappresenta un periodo molto inferiore alla durata media di un attacco APT che determina criticità nei sistemi, bisognerebbe dargli avviso che sono in corso indagini nei suoi confronti. Certo, avremo il vantaggio di potergli dare un avviso con modalità telematica tra poco, però credo non sarebbe sufficiente.
  Da questo punto di vista, l'estensione di alcune regole processuali in materia di criminalità organizzata è indispensabile, anche perché alcune di queste reti sono direttamente collegate alle organizzazioni che siamo abituati a considerare prettamente criminali. Soprattutto, va abbandonata l'idea che un attacco interno sia una cosa che si può spiegare con dabbenaggine, approssimazione, incuria, superficialità e che, anche quando dettato da ragioni personali o di vantaggio personale, sia, tutto sommato, una cosa non così straordinariamente grave.
  «Fammi questo controllo, vediamo se questa società è solvibile». In realtà, sono attacchi che vanno considerati per quello che sono, cioè fatti gravissimi, perché incrinano la fiducia dei cittadini nella sicurezzaPag. 32 dei dati personali, dei quali lo Stato deve disporre in ragione dell'esercizio delle sue funzioni, innanzitutto a fini di sicurezza e di giustizia. Sicurezza e giustizia che, però, vanno presidiati. Da questo punto di vista, quel disegno di legge va nella direzione giusta.
  Credo sia di per sé una risposta di alto profilo alla miserevole e, nello stesso tempo, terribile vicenda della quale si occupano i colleghi di Perugia.

  RAFFAELLA PAITA. Signor presidente, la ringrazio.
  Procuratore, io la voglio ringraziare innanzitutto per la trasparenza, la franchezza che ha utilizzato negli argomenti e nell'audizione di oggi, che ci consente anche di fare un lavoro nella fase successiva, non c'è dubbio, ma anche per l'organicità dell'analisi che lei ha fatto.
  Lei ha, da un lato, messo in rilievo l'inadeguatezza del sistema. Per «sistema» intendiamo, ovviamente, l'impianto infrastrutturale. Per «sistema» intendiamo l'incapacità complessiva di avere gli ingredienti e gli anticorpi giusti per affrontare il tema degli attacchi sulla cyber. Ci ha anche offerto indicazioni preziose. Io sono stata presidente della Commissione che si è occupata dell'istituzione dell'agenzia sulla cyber. All'epoca in cui abbiamo discusso e fatto, comunque, una cosa bipartisan, alcune delle questioni che lei oggi ha posto non sono state evidentemente oggetto di disamina, quindi indicazioni, anche operative, per un lavoro per il futuro di rafforzamento dell'impianto dell'agenzia nella specifica funzione relativa alla giustizia e ai dati pertinenti alla giustizia.
  Benissimo, però poi lei non ha risparmiato neppure un'attenta riflessione al tema organizzativo, del come venivano gestite le operazioni di SOS. Qui c'è un discrimine temporale, che non sarà sfuggito a nessuno: prima che lei arrivasse e dopo che lei è arrivato. Sarebbe del tutto sbagliato, da parte nostra, attribuire la debolezza del sistema al solo impianto infrastrutturale. C'è anche una qualitativa funzione organizzativa che lei ha rimesso completamente in campo. Prima di lei, dalle sue parole – «gravità», «debolezza», «tenuta del sistema» e potrei andare molto avanti – era un colabrodo l'organizzazione. Nel colabrodo e nella debolezza infrastrutturale si sono innestati dei meccanismi di violazione, anche da parte di pubblici ufficiali infedeli, che hanno prodotto un quadro allarmante di tenuta democratica. Se qualcuno di noi pensa alla quantità di questioni che sono state pubblicate, ahimè – devo dire, in verità, che non uso mai termini eccessivi – francamente non mi sento affatto al sicuro.
  A questo elemento di riflessione io aggiungo anche un altro tema: ci sono alcuni giornali che hanno avuto costantemente queste informazioni, che lei è arrivato e una delle prime cose che ha fatto è sostituire Striano. È chiaro che qui siamo in presenza di un quadro preoccupante. Lei se l'è fatta un'opinione del perché solo alcuni giornali, solo alcuni giornalisti hanno avuto accesso a questo tipo di informazioni? E quanto può essere estesa la rete delle persone che agivano e che andavano a raccogliere informazioni, che poi venivano trasferite a organi?
  Qui voglio dire una cosa, che magari non interesserà a nessuno. Modestamente sono una persona che rispetta sempre il lavoro dei giornalisti, come rispetta sempre il lavoro dei magistrati. Se c'è un magistrato che svolge una funzione in termini sbagliati, lo diciamo. Così come se un giornalista acquisisce informazioni in modo anomalo, sbagliato e antidemocratico, va detto. Questo non significa attaccare la funzione della libera stampa, significa immaginare che non ci sia un diritto tirannico sull'altro, magari, perché il diritto a informare comunque non può ledere il diritto alla propria privacy in situazioni, ripeto, come queste, anomale.
  Dal suo quadro vorrei uscire con elementi che ci aiutino a lavorare, ma anche a non ridimensionare quanto è accaduto, che so perfettamente essere oggetto di indagini. Successivamente con il procuratore Cantone avremo modo di andare oltre. Però, io capisco questo. Uno, che lei è arrivato e ha fatto un lavoro prezioso e che prima di lei il sistema organizzativo e il sistema infrastrutturale erano sostanzialmentePag. 33 un colabrodo. Due, che lei si è accorto evidentemente, andando a fare delle sostituzioni, che c'era qualcosa che non andava. Tre, che siamo nel bel mezzo di una vicenda nella quale c'è un sistema che non funziona, c'è un sistema organizzativo che va rivisto e c'è anche un passaggio sistematico di informazioni ad alcuni organi di stampa, ad alcuni giornalisti che ci deve interrogare.
  Questo mi è sembrato di capire dalla sua pacata, ma anche estremamente trasparente e utile per noi informativa di oggi. Mi pare, però, che le parole con le quali lei ha iniziato, ovverosia «gravità estrema», vengano tutte riconfermate dall'audizione.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Non mi è ben chiaro quale sia il tema al quale devo dare delle risposte. Però, lei fa bene a essere preoccupata, perché la dimensione criminale legata agli attacchi cibernetici interni ed esterni è la dimensione criminale non del futuro, è la dimensione criminale da tempo più pericolosa.
  Oggi intere reti terroristiche hanno una vita quasi esclusivamente nel cyberspace, anche se destinata in alcuni casi a trasferirsi nel mondo reale. Da questo punto di vista non c'è nessuno che le può dare rassicurazioni, però vorrei in qualche misura poter sperare di contribuire a modificare alcune sue valutazioni. È ingiusta la definizione del mio ufficio come un ufficio colabrodo, perché i sistemi infrastrutturali sono assicurati dal Ministero della giustizia. È straordinaria amministrazione, è evento eccezionale che io sia chiamato a richiedere, per la dichiarata indisponibilità di risorse finanziarie, l'ausilio del Ministero dell'interno, ovvero la partecipazione di altre istituzioni all'attività di progettazione. Quindi, è una condizione generale del sistema dell'amministrazione della giustizia, della quale forse bisognerebbe occuparsi. Lo dicevo proprio con riferimento a quel 110, che non è semplicemente un memo per il Ministro, è un memo per chiunque, perché la discussione intorno ai temi della giustizia potrebbe finalmente spostarsi dalle mille riforme che modificano le precedenti alla questione dell'effettività dei processi organizzativi che presidiano il funzionamento.
  Se ci fossimo occupati, tutti, di sicurezza dell'amministrazione della giustizia in tempo, avremmo aiutato tutti, anche me, a non fare tanta fatica per assicurare condizioni accettabili di sicurezza nella gestione dei patrimoni informativi.
  Spererei che la mia relazione considerasse che, come del resto anche le notizie di stampa e quello che vi potrà dire domani il procuratore di Perugia credo confermino, molti di quei dati non erano attinti, ossia esfiltrati dalla nostra banca dati, ma da altre banche dati. Lo dico senza voler minimizzare la gravità dell'uso delle SOS a fini criminali. Inoltre, non mi interessa neanche decidere se i «dossier abusivi» sono due o tre, come ho letto su un giornale, o se si contano sulle dita di una mano, per me anche un solo dossier abusivo riconducibile alla mano di funzionari dello Stato è un fatto intollerabile. Però, mi interrogo sullo slittamento completo, sul rovesciamento completo della discussione sul tema delle SOS, quando invece sono in discussione anche le sicurezze di impianti digitali non meno importanti, che sono stati quelli utilizzati per molti dei cosiddetti «dossieraggi».
  La ringrazio, senatrice Paita, per le sue considerazioni e anche per l'impegno a porre questi temi al centro dell'agenda politica e parlamentare, però mi permetta di dire che io non ho parlato di queste cose per la prima volta oggi, ne ho parlato in un'audizione al COPASIR il 3 maggio dello scorso anno. Ho fornito al Ministero della giustizia l'elenco dettagliato e motivato di tutti i provvedimenti e le misure adottate dal mio ufficio, perché si potesse rispondere esaurientemente a un'interrogazione o a un'interpellanza – adesso non ricordo bene – del senatore Enrico Borghi, proprio perché credo che vi sia un dovere di rendicontazione sociale e istituzionale di questa materia.
  Capirà bene che dinanzi a tutto questo rovesciamento del piano di discussione intorno alla procura, se possiamo fare a meno della Procura nazionale o se possiamo fare a meno delle SOS, obiettivamentePag. 34 a me sembra rivelare la stessa insofferenza che gli apparati di quei sistemi di impresa che operano in questo campo hanno per le logiche dei controlli. Da questo punto di vista, credo che ci sia materia notevole di vigilanza democratica, rispetto a cui il Parlamento può davvero svolgere un ruolo fondamentale.

  PIETRO PITTALIS. Intanto la ringrazio, signor procuratore, perché penso che lei abbia dato elementi utili alla Commissione e soprattutto perché ci ha assicurato che ciò che è avvenuto nel passato oggi non potrebbe più verificarsi.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Mi scusi se la interrompo, non ho detto questo. Ho detto che, se si verificasse, confido che risulterebbe ai controlli, che è cosa diversa.
  Credo che non esista un sistema digitale impenetrabile. Wikileaks e tante altre vicende dimostrano che non esiste sistema, neanche quelli di intelligence di Paesi a più avanzato livello tecnologico, che sia protetto dal rischio di esfiltrazione dei dati.
  Il problema non è avere la certezza, che nessuno può darci, che queste cose non si verifichino. Il problema è disporre di strumenti adeguati in termini di prevenzione e di successiva repressione. È del tutto evidente – per dire una banalità – che se il delitto di accesso abusivo è punito con la reclusione da uno a cinque anni, nel caso aggravato dal fatto che sia di interesse militare, per esempio, si passa a una reclusione da tre a otto anni, ma è elidibile con la concessione delle attenuanti generiche, io non credo che si svolga una funzione di prevenzione generale e di deterrenza efficace.
  Credo di non essere, per storia personale e convinzioni personali, tra i fautori dell'innalzamento delle pene, però francamente questa è una materia nella quale ci vuole.
  Mi scusi se l'ho interrotta.

  PIETRO PITTALIS. No, anzi, il senso della mia domanda andava proprio nella direzione che lei ha meglio precisato.
  Voglio chiederle, però, al netto di quella vulnerabilità dei sistemi prima del suo ingresso di cui lei ha riferito, che poi è stato l'esito di quella verifica, di quella ispezione sollecitata presso il Ministero della giustizia, se l'attività che lei ha posto in essere – per essere ancora più chiari – poteva essere posta in essere da chi l'ha preceduta, evitando così quell'attività che, per economia di tempo, riassumiamo con le parole «attività di dossieraggio», e se in questa vicenda lei si è fatta un'idea dei cosiddetti «mandanti».
  Con riferimento a quanto detto da lei in ultimo in relazione alla precisazione sulla mia considerazione, aggiungo che auspichiamo che non debbano passare quattro anni, come nel caso del primo invio a Tizian, giornalista di Domani. Questo ce lo auguriamo.
  Vengo a un'altra mia curiosità. A proposito dei casi di dossieraggio che hanno riguardato sia Gravina che il Ministro Crosetto, le chiedo se non le pare che qui possa essere chiamata anche una sorta quanto meno di responsabilità di settori anche della magistratura perché, se non erro, i dossier devono avere ad oggetto situazioni il cui perimetro è fissato in maniera chiara su tematiche attinenti a organizzazioni criminali e mafiose oppure ad attività di terrorismo. Quindi, mi pare un fatto che desta davvero non poca preoccupazione ed è la ragione per la quale io penso che questa Commissione dovrà approfondire anche questo aspetto, logicamente per quanto di nostra competenza e senza interferire sull'attività investigativa e di indagine giudiziaria in corso.
  Grazie.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Grazie, deputato Pittalis. Glielo dico con molta franchezza, io ho provato a illustrare le linee e i risultati della mia azione non per tracciare una demarcazione rispetto al passato, ma semplicemente per indicare la complessità delle questioni che ho dovuto affrontare, che devo ancora affrontare, questioni che deve affrontare, che sono dinanzi a qualunque Istituzione pubblica di questo Paese che detenga dati riservati.Pag. 35
  Non credo – come le stesse vicende di questi giorni dimostrano – vi siano banche dati che siano state inattingibili dagli accessi abusivi che sono stati portati alla conoscenza pubblica. Che cosa avrebbe potuto farsi io non lo so. Credo che anche chi mi succederà in questo incarico avrebbe difficoltà a dire responsabilmente che avrei potuto fare qualcosa di più o di diverso. Ho detto semplicemente quello che ho fatto io dinanzi alla situazione nella quale mi sono trovato. Punto.
  Sulla vicenda Gravina, tutto quello che avevo da segnalare è stato segnalato al procuratore della Repubblica di Roma, che successivamente ha trasmesso gli atti al procuratore della Repubblica di Perugia. Il contenuto delle verifiche fatte è agli atti della procedura e potrà formare oggetto anche di ricostruzione da parte del procuratore di Perugia.
  Ci terrei, però, a dire alcune cose. Non c'è dubbio che i fatti attribuiti al presidente della Federcalcio non abbiano nulla a che fare con la missione istituzionale della Procura nazionale. Infatti, io non ho trasmesso quei dati al procuratore di Roma nell'esercizio dei miei poteri, di impulso. Li ho trasmessi con la formula «doverosamente». «Doverosamente» perché sono un pubblico ufficiale che ha l'obbligo di segnalare i fatti costituenti reato dei quali apprende nell'esercizio delle sue funzioni e tocca all'autorità giudiziaria competente stabilire se fossero reati e nei fatti attribuiti a quella persona e nei modi, che ho avuto modo di ricostruire, di acquisizione della documentazione necessaria per poter costruire quel contesto.
  Tutto ciò è enunciato in quella mia relazione. Ribadisco che uno dei princìpi fondamentali della mia azione e anche del patrimonio di credibilità che io ho nei rapporti con i procuratori distrettuali è che l'attività del mio ufficio rimanga nei limiti rigorosamente tracciati dalla legge, che sono i procedimenti di criminalità organizzata, di cui all'articolo 51, comma 3-bis, quelli di terrorismo, di cui all'articolo 51, comma 3-quater, e, dallo scorso novembre, quelli del novello comma 4-bis dell'articolo 371-bis, vale a dire i più gravi delitti cibernetici individuati come tali dal legislatore.
  Ripeto, c'è da fare una differenza. È ben possibile che in un'attività di raccolta analisi ed elaborazione informativa emergano fatti costituenti reato «altri». Chiunque svolga quell'attività, se è un pubblico ufficiale, deve fare rapporto, altrimenti è sanzionato penalmente, ai sensi dell'articolo 361 del codice penale. Ma non è un'attività di impulso investigativo e deve dar conto del modo in cui quegli elementi sono emersi. È l'attività di impulso investigativo, che ovviamente ha degli obiettivi che orientano anche le attività propedeutiche di raccolta, analisi ed elaborazione dei dati, delle notizie, delle informazioni attinenti alla criminalità organizzata, al terrorismo e al cybercrime, che definisce il perimetro della nostra azione. Le assicuro che è un perimetro largo e molto impegnativo. Al di là dei princìpi, non c'è proprio alcuna pulsione a invadere altri spazi.

  WALTER VERINI. Signor presidente, ringrazio davvero il procuratore Melillo, che già un anno fa avvertì questa Commissione, il Parlamento, nella sua prima audizione, del grave stato di vulnerabilità del sistema di protezione informatica del Paese. Non soltanto, quindi, della Direzione nazionale antimafia. Rafforzare in noi la consapevolezza di questa situazione porta, credo, come è stato suggerito e auspicato in maniera molto condivisa, ad accelerare il più possibile investimenti, leggi, normative che possano ridurre al minimo i rischi di questa vulnerabilità.
  La ringrazio anche perché la sua esposizione dimostra anche la solidità di quelle che lei ha definito alcune funzioni statali, una delle quali è la Direzione nazionale antimafia. Nel momento in cui un Procuratore nazionale pro tempore si accorge, tocca con mano la vulnerabilità e i rischi che quella funzione statale ha, interviene non per azzerare quei rischi, ma quantomeno per rimettere a sistema il funzionamento degli apparati che riguardano questi accessi abusivi. Tanto che lei ha detto «non siamo sicuri che non possano avvenire, ma siamo oggi certi che ci accorgeremmo se avvenissero».

Pag. 36

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. «Confidiamo» più che «siamo certi».

  WALTER VERINI. Rafforzavo l'auspicio. Però è corretto dire «confidiamo». Significa che c'è una funzione statale – non solo questa, naturalmente – che è in grado di avere gli anticorpi necessari.
  Lei, poi, e qui arrivo alle domande, ha parlato, giustamente, di gravità estrema dei fatti avvenuti, che riguardano non solo gravissime violazioni di privacy, ma anche possibili profili collegati o che, in ogni caso, potrebbero verificarsi di attentati in caso di penetrazioni, di violazioni alla sicurezza dello Stato. Non con la vicenda specifica in sé. Lo stabiliranno le indagini. Però la gravità estrema è condivisa da tutti noi che siamo qui.
  Le rivolgo una domanda. La molteplicità di soggetti che sono stati vittime o coinvolti in accessi abusivi – parlo delle vittime di questi accessi – riguarda la politica, riguarda lo spettacolo, riguarda lo sport, riguarda vari ambiti della società. Si è fatto un'idea del perché, secondo lei, non c'è una unidirezionalità? Riguarda quella rete ipotizzata di relazioni, naturalmente illegali, che il sottotenente Striano aveva? È difficile pensare, mi pare abbia detto, a un'azione individuale. Prima domanda, quindi: si è fatto un'idea su questa molteplicità e se c'è relazione con questa ipotetica rete?
  Se – ed è la seconda domanda – il ruolo di queste funzioni statuali rilevanti – ha citato la Direzione nazionale antimafia, ha citato la Banca d'Italia – è che sono simboli di presìdi di legalità e di tutela della nostra democrazia, se è così, lei ha anche parlato di polemiche scomposte «per incrinare». Come se le polemiche scomposte fossero finalizzate per incrinare e delegittimare l'immagine dell'antimafia. Ha anche parlato di disinformazione, speculazioni, altre strumentali vicende che riguardano queste delicate funzioni statali. Secondo lei, e non parlo di soggetti che possono aver pronunciato frasi, ci può essere una relazione tra questi tentativi volontari o involontari di delegittimazione di funzioni come questi e la rete ipotetica che può aver contribuito ad aiutare Striano nel suo lavoro? «Lavoro» si fa per dire, naturalmente.
  Infine, naturalmente non mi interessano qui i dettagli, lei ha raccontato – sia pure non essendo biografo del sottufficiale Striano – un po' i suoi percorsi professionali, ma quali sono state, secondo lei, se può dircelo, se è in grado di avere elementi, le modalità con cui sono stati scelti, per gli uffici e le responsabilità ricoperte, il dottor Laudati e il dottor Russo, nei ruoli ricoperti della Direzione nazionale antimafia?
  Ho finito, presidente. Glielo anticipo, dopo la fine dell'audizione del dottor Cantone, le suggerirei di convocare un ufficio di presidenza. Alla luce delle cose dette, c'è bisogno, probabilmente, di avere ben altre audizioni interessanti da altri soggetti delle Istituzioni.
  Grazie.

  PRESIDENTE. Grazie, senatore. Mi pare abbastanza evidente che dovremo capire come procedere.
  Do la parola all'onorevole Gubitosa.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Posso rispondere prima?

  PRESIDENTE. Certo. Chiedo scusa.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Altrimenti perdo il filo.
  Dunque, che idea ho. Senatore Verini, non credo siano importanti le mie idee. Credo sia importante ciò che l'indagine consentirà di ricostruire. Alcuni dati mi sembrano evidenti: estensione nel tempo e negli oggetti degli accessi abusivi, sistematicità, pluralità degli interlocutori con i quali questi scambi – poi si vedrà se illeciti, ma certo immorali – avvenivano.
  Alcune cose, peraltro, si vedono molto francamente. Dal punto di vista politico, c'è un obiettivo, quasi una convergenza di tutti gli accessi abusivi verso una determinata area politica, che era quella che andava formando l'attuale maggioranza e l'attuale Governo, perché c'è una concentrazione temporale di accessi abusivi su persone che Pag. 37sono espressione di quell'area. Mi pare una ridotta propensione alla equanimità degli sforzi.
  Non so se fosse una caratteristica costante o una caratteristica semplicemente rilevata in quel momento dalle indagini. Credo sia importante che le indagini su questi casi escano dalla dimensione di isolamento cognitivo e provino ad alzare lo sguardo. Quello che io ho chiamato «gigantesco mercato clandestino» di informazioni riservate ha logiche sofisticate, che riguardano il mondo dell'impresa, che gestisce informazioni riservate, che riguarda gli apparati statali, che riguarda gli interessi economici e politici che ruotano intorno alla vita del Paese.
  Credo che, da questo punto di vista, vi siano grandi margini di un'azione di rigenerazione profonda anche nei contenuti del dibattito pubblico.
  Lei ha detto che io ho parlato di polemiche scomposte. Credo non siano esagerazioni descrittive le mie. Io ho passato parecchi mesi a vedere il mio ufficio con il logo pubblicato «fabbrica di dossier» oppure altre amenità di questo tipo. Ritengo tutto questo profondamente ingiusto. Siamo stati al centro di un attacco che è stato determinato innanzitutto dalla rottura del patto di fedeltà che deve legare ogni pubblico ufficiale allo Stato, per il quale presta servizio. Questo attacco è stato obiettivamente agevolato da deficit infrastrutturali e di meccanismi di prevenzione e controllo successivo, che abbiamo approvato, prima e indipendentemente da questi attacchi, di rafforzare.
  Mi lasci dire semplicemente che non è stata un'opera solitaria, perché io ho avvertito anche la solidarietà delle Istituzioni, alcune delle quali hanno anche accettato di prendersi cura di noi.
  Vorrei ribadire che, per quanto possano essere sembrate disastrose le condizioni della Direzione nazionale antimafia, e lo erano – la definizione è mia – sono le condizioni generali dell'amministrazione della giustizia, e per molti versi la Direzione nazionale antimafia ha da sempre livelli di attenzione e sensibilità più elevati. Io ho provato semplicemente a garantire un deciso innalzamento e in alcuni casi anche un deciso cambiamento di rotta, che non riguarda i nomi delle persone, peraltro le persone che lei ha nominato sono considerate da tutti ottimi magistrati, piuttosto riguarda l'idea di un certo modo di lavorare. Per me le strutture monosoggettive sono inevitabilmente esposte intanto a un rischio di eccessiva personalizzazione, quindi a un rischio di eccessiva concentrazione di compiti e di responsabilità, quindi a un rischio di deragliamento o di fallacia. Questo è tema del quale si occuperanno le indagini.
  Ripeto, a me, da cittadino, non da Procuratore nazionale antimafia e antiterrorismo, piacerebbe che su questa materia, anziché dividersi, ci si unisse nello sforzo di difendere la sicurezza cibernetica nazionale, che è magna pars della sicurezza della Repubblica. Ovviamente unirsi in questo non significa che ci si dimentica quello che intanto è accaduto, che, anzi, esige un rigoroso approfondimento e, dal mio punto di vista, anche un'ulteriore estensione dell'orbita investigativa.
  Senatore, non sono mica tante le indagini che hanno conseguito i risultati che finora ha conseguito l'indagine di Perugia. Di solito questo tipo di indagini si ferma a una persona e a singoli attacchi. Credo che questo sia un riconoscimento dovuto al lavoro che è stato fatto finora.

  PRESIDENTE. Grazie mille.
  Do la parola all'onorevole Gubitosa. Segnalo che ho ancora otto iscritti a parlare.

  MICHELE GUBITOSA. Procuratore, innanzitutto la ringrazio per la chiarezza con la quale ha portato alla nostra attenzione questi temi.
  Dato che la parola «attacco» al sistema di cybersicurezza del nostro Paese è stata chiamata in ballo più volte e considerato che conosciamo tutti le debolezze del nostro sistema informatico nazionale, per restare su questo caso, gli attacchi che sono stati ricevuti sono attacchi interni. Mi soffermo sulla parola «attacco». L'attacco di cui parliamo è, però, un attacco interno, quindi di un dipendente infedele, che nulla Pag. 38ha a che fare con un attacco esterno, pur potendolo chiamare attacco. Detto questo, il responsabile dell'ufficio segnalazioni di operazioni sospette presso la DNA chi era? Questo ufficio era inserito nel servizio contrasto patrimoniale alla mafia e al terrorismo. Chi coordinava questo ufficio? E fino a quando?
  Le chiedo, inoltre, se le risulta che già nel mese di aprile 2021, con il nuovo programma organizzativo, a firma dell'allora Procuratore Cafiero de Raho, vi era stata una ristrutturazione dell'organizzazione della DNA e in relazione all'ufficio segnalazione di operazioni sospette era stata eliminata la figura del responsabile, che era stato Laudati fino a quel momento, e tutte le attività del servizio contrasto patrimoniale alla mafia e al terrorismo, comprese le segnalazioni di operazioni sospette, erano passate sotto la diretta vigilanza del procuratore aggiunto Giovanni Russo, e che per ciascun affare veniva formato un dossier, rassegnato a rotazione ai sostituti procuratori nazionali del servizio contrasto patrimoniale alla mafia e al terrorismo.
  C'è, poi, una cosa che non ho capito. Striano aveva due password, una della DNA con cui faceva gli accessi e una della finanza? O ne aveva una sola, quella della finanza, che poi si è portata dietro?
  Queste sono le mie domande, signor Procuratore.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Il responsabile dell'ufficio SOS sin dal 2014, con varie denominazioni e vari impianti organizzativi, è sempre stato il dottor Laudati. Presso quell'ufficio, con i vari programmi di gestione e i vari programmi organizzativi, che ha mutato anche le denominazioni delle proprie strutture, ma l'attività in questo settore è sempre stata curata dal dottor Laudati.
  Ho già ricordato che nel 2021 fu fatta la scelta di produrre una funzione sovraordinata e di controllo e ho anche precisato che questo accorgimento, però, non valse a incidere sulla sostanziale solitudine dei processi decisionali che ruotavano intorno al gruppo SOS.
  La questione non è tanto quella di capire a chi assegnare i fascicoli una volta trattati dal gruppo SOS. Il problema di fondo è costituito dalla garanzia della trasparenza e della correttezza, ma innanzitutto della trasparenza, perché della trasparenza bisogna dar conto indipendentemente da quello che accade, invece della correttezza si può dubitare soltanto dinanzi a episodi specifici. Ebbene, dal punto di vista della trasparenza il nodo cruciale era costituito dall'indirizzo delle attività di analisi, ovverosia dalla scelta delle SOS da approfondire. Da questo punto di vista ho provato a introdurre dei criteri. Tutti i criteri sono buoni. Tuttavia, per me più che i criteri, anche se penso che quelli che poi adotto è ovvio che li consideri migliori, conta la predisposizione di schemi organizzativi che consentano di verificare l'attuazione di quei criteri.
  Il responsabile o il referente del gruppo SOS, vale a dire il maggiore Marmorale, che è qui vicino, ogni tre mesi mi trasmette un report di tutte le attività svolte, ossia l'elenco di tutte le SOS che sono state analizzate, l'uso che ne è stato fatto, gli approfondimenti che sono stati curati, la destinazione che se n'è avuta.
  Proprio la vicenda Gravina dimostra, da un certo punto di vista, la rilevanza di questo nodo cruciale, perché improvvisamente nel gennaio 2023 emerge che l'assegnatario del relativo fascicolo era il dottor Savio, che però era entrato a far parte del servizio con un mio provvedimento del 5 dicembre 2022, come prima provavo a ricordare. Quando mi porta il fascicolo, dopo averlo esaminato, la prima domanda che gli faccio – lo comincio a leggere e mi rendo conto che non era scritto – è come partono, da dove nascono questi accertamenti. Mi risponde che non lo sa e che proverà a chiedere. E lo chiede, quindi, al dottor Laudati, che riferisce che sarebbero stati richiesti dalla procura di Salerno. Mi riporta il fascicolo e gli faccio un'altra domanda: «Il fascicolo reca il numero 2023, ma da novembre 2022 assegno io personalmente i fascicoli e non mi ricordo di avertelo assegnato». E lui conviene su questo. Chiamiamo la funzionaria allora addetta a Pag. 39questo servizio, la quale, dinanzi alla mia richiesta di spiegazioni, dice: «Non lo so, non so perché sia successo». Era successo un fatto di per sé grave, vale a dire che era stato formato un fascicolo senza il provvedimento del Procuratore, al quale soltanto spetta la formazione e l'assegnazione di un fascicolo. Ma è un dato di fatto che quel fascicolo rifletteva attività svolte nella primavera 2022, se non sbaglio, che improvvisamente riemergeva.
  Queste, ovviamente, sono circostanze che ho dovuto rassegnare alla conoscenza del procuratore della Repubblica di Roma, perché rendevano evidente l'anomalia della vicenda in sé e soprattutto perché si combinavano con le acquisizioni informative che intanto l'allora capitano Marmorale – è diventato soltanto dopo maggiore, se non sbaglio, ma ovviamente non c'è relazione causale tra le due cose – aveva acquisito, informazioni secondo le quali quei documenti utilizzati per quel fascicolo erano stati in maniera incredibilmente inconcepibile consegnati al sottotenente Striano in un bar, nei pressi dell'ufficio, da persone non identificate.
  Mi pare evidente che dinanzi a elementi di questo tipo io avessi soltanto un dovere, che era quello di riferirli immediatamente al procuratore della Repubblica di Roma, proprio perché era la stessa genesi del fascicolo a rivelare modalità che non esito a definire abusive, anche se bisogna prendere atto che il delitto di abuso d'ufficio è stato abrogato.
  Non sono proprio a perfetta conoscenza delle pubblicazioni in Gazzetta Ufficiale, però è un reato tipico del pubblico ufficiale.

  PRESIDENTE. Vi chiedo, colleghi, di concedere due minuti di pausa. Grazie.

  (La seduta, sospesa alle 20.05, riprende alle 20.10)

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Devo finire di rispondere all'onorevole Gubitosa. Intanto, per quanto riguarda tutte le date, consegno tutti i provvedimenti negli anni adottati, a mia conoscenza, in questa materia. Quindi, si può ricostruire completamente tutto. Ho anche una copia del programma organizzativo che attualmente regola l'ufficio, per quanto possa essere utile.
  Mancava la risposta alla domanda che lei ha fatto. Pensavo di averla già data. L'accesso alle banche dati degli organi di polizia giudiziaria è stato fino a pochi mesi fa, ripeto, in particolare per SIVA, possibile soltanto attraverso macchine, password e credenziali rilasciate dall'amministrazione, ma è una banalità.

  MICHELE GUBITOSA. Si riferisce alla Guardia di finanza, giusto?

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Sì, perché SIVA è una banca dati della Guardia di finanza.
  L'evoluzione che oggi consente al gruppo SOS di accedere a SIVA dalle nostre macchine è un'evoluzione iscritta nel discorso sulla sicurezza dei sistemi. Però tutti quegli accessi, numerosissimi, sono venuti fuori dalla sede della DNA, fuori dai processi di lavoro della DNA, fuori da qualsiasi possibilità di controllo del mio ufficio. Da questo punto di vista è facile prendere atto che non c'era assetto organizzativo che importasse per evitarlo.

  MICHELE GUBITOSA. Solo pochissimi casi riguardano la parte dell'antimafia, giusto? Gli altri non erano di competenza antimafia. Erano accessi della Guardia di finanza su altri temi. È giusto?

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Ho detto in premessa che considero molto interessante, proprio per perimetrare il rischio rivelato da questa orribile vicenda, verificare, e potrete farlo con il procuratore di Perugia, perché a lui compete disporre dei dati investigativi nella fase delle indagini preliminari, quanti accessi abusivi siano attribuiti a persone sottoposte a indagini che riguardano le SOS, quanti di questi accessi che riguardano le SOS riguardano SOS presenti nella nostra banca dati, quanti Pag. 40riguardano le SOS presenti in altre banche dati e soprattutto quanti accessi abusivi non riguardano in alcun modo le SOS e riguardano o nostre banche dati che non c'entrano niente con le SOS, cioè il sistema SIDDA-SIDNA, o ulteriori patrimoni digitali. A occhio, il quadro che emerge è di una minaccia di un'attività che ha abbracciato l'intero perimetro possibile dei dati riservati acquisibili a fini investigativi. Capirete che anche per questo ho sempre considerato un po' eccessivo puntare il dito nei confronti soltanto della Direzione nazionale antimafia e antiterrorismo. Siamo qui per contribuire a fare chiarezza.

  PRESIDENTE. Mi collego a questo per dire a tutti i commissari, anche a coloro che non hanno avuto modo di vederlo, che possono richiedere gli inviti a comparire che ci ha mandato il dottor Cantone. Negli inviti a comparire troverete gli accessi alle banche dati: a SIVA, SERPICO, SIDDA e SDI, a dimostrazione del fatto che, come diceva il Procuratore, la questione non riguarda un unico accesso, ma era un accesso della stessa persona a più banche dati.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Ho anche precisato, onorevole Gubitosa, che per esempio nel cosiddetto «dossier Crosetto», che, ripeto, è un dossier presentato improvvisamente nel marzo del 2023, tre mesi dopo l'allontanamento del sottotenente Striano, sono riportati dati che non hanno nulla a che fare con le SOS.
  Credo che potrà essere molto interessante per la Commissione ricostruire con il procuratore di Perugia la genesi di questo fascicolo che, ripeto, non ha nulla a che fare con l'attività della Procura nazionale antimafia e antiterrorismo, mentre ha qualcosa a che fare con l'attività del mio ufficio il fascicolo Gravina, nel senso che ha formato oggetto di denuncia del Procuratore nazionale.

  PIERANTONIO ZANETTIN. Partiamo da questi dossier, che forse sono la parte più interessante che sta emergendo. Non ho capito esattamente, tenuto conto che la DNA non ha poteri di indagine, ma solo di coordinamento e neanche di impulso, cos'è questo accertamento pre-investigativo. In cosa consiste? Lei lo ha così definito.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. È così che lo definisce il sottotenente Striano.

  PIERANTONIO ZANETTIN. Quindi, è un termine del tutto avulso dalla vostra procedura.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. È un termine incomprensibile. In un po' di dottrina formata intorno all'articolo 371-bis si utilizza il concetto di pre-investigazione per indicare l'esercizio di quelle attribuzioni del Procuratore nazionale antimafia che precedono l'esercizio della funzione di impulso, lo svolgimento dei colloqui investigativi, la raccolta dei dati in banca dati, l'analisi dei dati che stanno in banca dati, l'elaborazione di analisi dei fenomeni criminali, ma sono tutte attività che si svolgono senza esercitare alcuna attività investigativa.

  PIERANTONIO ZANETTIN. Voi avete potere di avocazione, semmai.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Ne parleremo un'altra volta. Quell'espressione «accertamenti pre-investigativi» intanto è una contradictio in adiecto, perché la parola «accertamento» fa a pugni con l'idea del pre-investigativo, in secondo luogo è una pura invenzione terminologica del sottotenente Striano, perché io non l'ho mai ritrovata in nessun tipo di documento, eppure ho a che fare in qualche modo con la Direzione nazionale antimafia – da sostituito in una DDA, da sostituto nella DNA, da procuratore aggiunto, da procuratore della Repubblica e ora da Procuratore nazionale – più o meno dalla sua origine. Quindi, è veramente una escogitazione il cui valore, il cui significato, le cui finalità vi Pag. 41potranno essere illustrate dal procuratore di Perugia meglio di quanto possa fare io.

  PIERANTONIO ZANETTIN. Vorrei capire meglio la carriera di Striano. Era lì dal 1999?

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. No, era assegnato alla DIA. La DIA, come lei sa, è una struttura interforze di polizia. Lui è un finanziere, che poi è stato assegnato nel 1999 alla DIA.

  PIERANTONIO ZANETTIN. Dove?

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Non ne ho la minima idea.
  L'assegnazione verso la DIA è una. I cosiddetti «centri operativi» sono mere articolazioni amministrative. Per legge sono privi di rilevanza giuridica esterna. Questo ormai, però, è un dato conosciuto solo da pochi, tenuto in conto solo da pochi.
  Su cosa abbia fatto nella DIA dal 1999 al 2016, quando è stato assegnato alla DNA, non ho la minima idea. So che nel 2016 viene assegnato al gruppo SOS. A dicembre 2018 va a frequentare il corso, che è obbligatorio in conseguenza dell'avanzamento a rango di ufficiale che era previsto per tutti gli ispettori della Guardia di finanza. Furono fatti cinque concorsi e lui vinse il primo.
  Non sono in condizione di dire di più. So che poi, successivamente a questa elevazione di grado, l'ormai sottotenente Striano è stato nuovamente assegnato alla DNA, ma questa volta non dalla DIA, ma dal Nucleo di polizia valutaria al quale era stato intanto assegnato. Dinanzi a questo percorso professionale e dinanzi soprattutto alle attività che oggi a lui vengono attribuite in ipotesi, mi permetto di sottolineare ancora che l'idea di comprendere il sistema di relazioni di questo ufficiale di polizia giudiziaria nasce proprio dalle acquisizioni. Adesso apprendo che voi disponete dell'invito a comparire formulato dall'ufficio requirente di Perugia. Scorrendolo, si possono porre tante domande alle quali è bene che dia risposte il procuratore di Perugia.
  Delle domande me le faccio anche io. Sono tenuto, per rispettare i ruoli, a parlarne solo con il procuratore di Perugia.

  PIERANTONIO ZANETTIN. Mi rivolgo alla presidente per chiedere, fin da ora – queste informazioni fornite dal dottor Melillo sono molto utili – l'acquisizione, presso la Guardia di finanza, del percorso professionale del sottotenente Striano, in modo da avere un quadro più esaustivo. Dopo faremo le nostre valutazioni.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Senatore, le sue domande e le mie risposte forse aiutano a comprendere il mio stupore dinanzi alla improvvisa affermazione in televisione secondo la quale Striano sarebbe un impiegato della Direzione nazionale antimafia.

  PIERANTONIO ZANETTIN. Non so chi abbia pronunciato queste parole, ma credo sia un errore terminologico molto grave.
  Vengo a un altro tema che lei ha toccato, sul quale mi trovo assolutamente d'accordo. De iure condendo, cosa possiamo fare per migliorare le norme che ci sono? Adesso alla Camera abbiamo questo disegno di legge. È un po' più lento, quindi abbiamo più tempo per lavorare. Secondo lei, quali potrebbero essere le modifiche normative? Ho visto il 615-ter. Forse si potrebbero aumentare un po' le pene, soprattutto per i casi più gravi.
  Secondo lei, in base alla sua esperienza, quali potrebbero essere le modifiche più significative, alla luce dell'episodio? Noi stiamo evidentemente vedendo un settore su cui probabilmente c'è qualche smagliatura normativa che merita di essere migliorata.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Mi permetterei di considerare che proprio in uno spirito di collaborazione istituzionale, allorquando la Presidenza del Consiglio, Ministero della giustizia, Ministero dell'internoPag. 42 e altre istituzioni hanno aperto un tavolo per discutere di queste questioni e hanno avuto la cortesia di invitare il Procuratore nazionale antimafia e antiterrorismo, io ho formulato una serie di proposte, che sono largamente recepite nel disegno di legge approvato dal Governo. Ovviamente, la scelta del percorso normativo non mi compete, però io considererei prioritaria l'urgenza di approvare o di esaminare quel provvedimento, perché contiene non solo le proposte del Procuratore nazionale, ma contiene anche le proposte dell'Agenzia per la sicurezza cibernetica nazionale, contiene le proposte di tutte le amministrazioni coinvolte.
  È un disegno di legge interistituzionale che affronta non solo il problema della più efficace repressione di questi reati, ma anche il problema della prevenzione, rassegnando anche nuovi poteri all'Agenzia per la sicurezza cibernetica e soprattutto rendendo più chiara la cogenza per le amministrazioni pubbliche e per tutti gli enti inseriti nel perimetro della sicurezza cibernetica che alcuni interventi non sono optional, ma sono doverosi perché è in gioco il bene della sicurezza nazionale.
  Nel perimetro della sicurezza cibernetica, da un lato non ci sono tutte le amministrazioni pubbliche, però dall'altro lato ci sono anche soggetti privati, che però svolgono funzioni delicatissime dal punto di vista della sicurezza e sono tutti individuati con appositi decreti che non sono classificati, ma so anche che non sono pubblicati. È una materia estremamente delicata, nella quale noi stessi ci stiamo immergendo tanto da aver aperto anche un tavolo all'ACN, perché una delle previsioni già in vigore è quella che richiede all'ACN di trasmettere al Procuratore nazionale tutti i dati, le notizie e le informazioni utili all'esercizio delle sue funzioni di impulso e coordinamento investigativo.
  Stiamo mettendo in campo i protocolli attuativi di questa disposizione necessaria per innervare le funzioni dell'Agenzia, ma ci sono anche altri temi delicati e complessi. Uno, che è stato posto e credo adeguatamente risolto, è quello del rapporto tra le funzioni di resilienza dell'Agenzia e le funzioni del procedimento penale. Non è un problema che si pone solo rispetto alla sicurezza cibernetica, si pone per la sicurezza in caso di incidenti nell'aviazione civile o in incidenti ferroviari. Che succede quando c'è un incidente? Lo dicevo prima. L'attacco non è solo un reato, mette in gioco anche le discussioni. È come un incidente aereo. C'è l'interesse a scoprire di chi sia eventualmente la responsabilità, ma c'è anche l'interesse a evitare che magari cada il giorno dopo un altro aereo per la stessa ragione per la quale è caduto il primo. Le due funzioni devono raccordarsi.
  In quel campo le soluzioni sono state trovate a livello sovranazionale e in questo sono affidate al disegno di legge, perché quelle attività vanno raccordate anche con le garanzie difensive perché interferiscono nelle funzioni di accertamento irripetibile che può essere disposto dal pubblico ministero. Lei sa benissimo che la difesa può richiedere, invece, che si proceda in incidente probatorio, ma questo comporta la necessità di un continuo raccordo.
  Stiamo entrando in una dimensione problematica assolutamente nuova, ma vitale per gli interessi del Paese.

  SALVATORE SALLEMI. Signor Procuratore, mi associo ai ringraziamenti espressi da buona parte dei colleghi, perché c'è stata una grande vulnerabilità che lei ha avuto modo di correggere. Questo è un dato molto importante. Mi sembra di aver compreso che la maggior parte degli accessi siano stati destinati verso un'area che andava a costituire la maggioranza di Governo. Mi sembra di aver capito questo.
  Al di là dei singoli reati contestati, c'è un'indagine in corso, quindi non entriamo nel merito. Ci saranno delle responsabilità che verranno appurate. Però, quello che interessa a questa Commissione è il dossieraggio, sostanzialmente, cioè il fatto che qualcuno abbia avuto la possibilità di acquisire delle informazioni, di traslarla ai giornalisti e che questi giornalisti, in un determinato momento storico, in un determinato momento dell'anno politico hanno deciso di attaccare una determinata parte politica. Questo penso che sia il dato più importante e il compito che questa CommissionePag. 43 deve avere in testa per cercare di capire.
  Noi vorremmo sostanzialmente comprendere qual è la regia di questo dossieraggio, ed è molto, molto complesso. Io le faccio una domanda diretta, della quale presagisco anche la sua risposta. Procuratore, sostanzialmente, lei è in condizione di dirci se Striano avesse o eseguisse dei comandi?

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Se anche fossi in condizione di rispondere, non potrei farlo, neanche in questo momento o in seduta riservata, perché, ovviamente, pregiudicherebbe il corso delle indagini, che sono delicate e difficili.

  DEBORA SERRACCHIANI. Grazie, dottor Melillo. Ovviamente, per sintesi e per non perdere ulteriore tempo, mi limito solo a ringraziarla e mi associo a quello che è già stato detto per il grande lavoro faticoso, come lei diceva, che è stato fatto e di cui credo tutti possiamo ringraziarla.
  Un paio di precisazioni. Forse non le ho comprese io nella complessità dell'esposizione. Lei ha parlato – sono parole, per quanto mi riguarda, molto pesanti, sulle quali credo vada fatta veramente una grande riflessione – di un mercato di informazioni clandestine riservate, va capito se casuale o sofisticato nell'utilizzo di queste informazioni. Quello che vorrei capire io è questo: lei parla di questo enorme mercato delle informazioni riservate facendo riferimento a queste fattispecie che, poi, hanno portato al dossier, a quello di cui stiamo parlando nell'ambito della Direzione nazionale antimafia, oppure, più in generale, di quel mercato che attiene a tutte le banche dati a cui lei fa riferimento dicendo che sono tutte fragili, tutte spesso obsolete e con un facilitato accesso? Spero di essermi spiegata.
  Parliamo di un mercato enorme che poi ha portato a queste rivelazioni o stiamo parlando in generale del mercato enorme che c'è dietro l'uso delle banche dati e – mi consenta di dirlo – anche al fatto che noi, probabilmente, non le stiamo né gestendo né conservando né utilizzando per i fini loro propri? Qui ci sarebbe anche il grande tema di qual è, ad esempio, lo strumento nazionale che dovremmo utilizzare, che non è oggetto di quel DDL, ma che dovrebbe essere oggetto di un'attenzione particolare da parte dell'Agenzia sulla cybersicurezza. Questo è il primo aspetto.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Questo basta per un paio d'ore di risposte.

  DEBORA SERRACCHIANI. Su questo mi accontento di qualche minuto. Sul DDL all'esame della Camera, che effettivamente affronta il tema per la prima volta in modo organico, tra l'altro mettendo insieme i pezzi, quindi mettendo insieme anche l'agenzia sulla cybersecurity, eccetera, c'è una mia prima impressione, Procuratore, che rimetto, però, anche ai colleghi, approfittando della sua presenza di oggi, nella consapevolezza, come lei diceva, che dovrebbe essere un lavoro trasversale e che sarà sicuramente un lavoro trasversale, perché su questo non possiamo certamente, mi auguro, dividerci. Rilevo due questioni. La prima è che è molto spostato sugli aspetti repressivi delle vicende e molto poco sugli aspetti preventivi nell'affrontare queste vicende prima che accadano. Quindi, un inasprimento delle pene, un'indicazione ulteriore di reati più chiari, con qualche lacuna. Come lei ricordava, è colpito l'accesso, non è colpita l'estrazione e l'uso dei dati.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Con il nuovo disegno di legge non sarebbe così.

  DEBORA SERRACCHIANI. Esatto. Questo è un passaggio in più.
  Dopodiché, la cosa che un po' mi preoccupa è quella dicitura, che c'è sempre – però in questo caso è veramente preoccupante, perché l'attività che viene richiesta in quel DDL è veramente una enormità, anche per gli uffici già esistenti – che tutto deve avvenire a invarianza finanziaria e Pag. 44con le risorse umane, strumentali e finanziarie a legislazione vigente.
  Mi pare un po' complicato riuscire a ottenere quell'obiettivo ambizioso che lei dice, alle condizioni date e senza che questo comporti anche una spesa aggiuntiva. A meno che, e questo, magari, me lo chiarisce nella risposta, in quel piano nazionale, nel quale – se non ricordo male – sono stati allocati 38 milioni da una parte e 7 milioni dall'altra dal Viminale, non ci sia anche una sorta...

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. No. Quelli sono riservati alla nostra banca dati.

  DEBORA SERRACCHIANI. Allora vede che manca qualcosa per poter fare qualcosa di più? Vede, allora, che manca qualcosa perché questo possa avvenire in modo ambizioso, così come mi sembra?
  Da quello che poi lei ha detto, e concludo, mi pare evidente, ma lo anticipava già il collega Verini, che forse un approfondimento andrebbe fatto anche sul versante Guardia di finanza e utilizzo degli strumenti a disposizione della Guardia di finanza quanto a banche dati, macchine e quant'altro. Mi pare evidente che se, rispetto ai dossier di cui ricordava il Procuratore, l'accesso non era neppure della Direzione nazionale antimafia, qualcosa non ha funzionato.
  Lei ci ha detto di chiedere a Cantone – sintetizzo, anche qui – di verificare quanti accessi sono quelli effettivi delle SOS, di verificare attraverso quali database questi accessi avvenivano, se della DNA oppure di altre banche dati, e quanti di questi accessi non riguardano affatto le SOS. Lei è in grado di fornire al procuratore Cantone il numero di questi accessi, quali erano delle SOS, quanti non erano attinenti alle SOS, e se questi sono già oggetto di quell'accertamento di cui parleremo anche domani? Per capire se c'è un tracciamento di ciò che è stato fatto prima del suo intervento.

  PRESIDENTE. Chiedo scusa, per chiarezza verso i commissari, magari mi sono spiegata male io. Negli inviti a comparire trovate già questa risposta.

  DEBORA SERRACCHIANI. Ad averli prima, non avrei fatto la domanda, ovviamente.

  PRESIDENTE. Nel senso che non gli sono contestati solo accessi abusivi alla SIVA, voglio essere chiara.

  DEBORA SERRACCHIANI. Questo mi è chiaro. Ho fatto un'altra domanda, però: è in grado di dire come, quando, dove e perché? Da dopo che lei è arrivato mi è chiaro, ma quello che era prima non lo so.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Le rispondo subito. Tutte le esigenze di accertamento riferite ai nostri sistemi sono state svolte attraverso la collaborazione del mio ufficio. Io posso disporre verifiche per sapere chi ha fatto cosa. Da questo punto di vista, ho una buona conoscenza di quello che è accaduto, purtroppo, nel mio ufficio. Sono stati forniti dal procuratore di Perugia tutti gli elementi informativi che, di regola, è lo stesso gruppo SOS a raccogliere e a elaborare.
  Mi lasci dire due cose, però. Ritorniamo alla prima domanda. Io ho parlato di un mercato di informazioni riservate, che ovviamente è un mercato clandestino, perché non si svolge alla luce del sole, che ha una grande complessità, perché attraversa i detentori delle informazioni, coloro i quali sono interessati ad acquisire quelle informazioni e coloro i quali, poi, utilizzano quelle informazioni per le finalità più varie. Ho anche precisato che anche le reti prettamente criminali, mafiose o terroristiche hanno comparti finalizzati ad acquisire informazioni sulle indagini che si svolgono. È una sorta di ossessione, per un'organizzazione, quella di entrare in possesso di informazioni riservate. Questa è un'ossessione che riguarda anche una parte del mondo dell'impresa, per le finalità più diverse. Può riguardare chiunque.
  Dinanzi a questo bisogno, perché siamo nella civiltà delle informazioni, le informazioniPag. 45 hanno un valore ormai neanche più determinabile in termini economici, è necessario fare una serie di sforzi convergenti. Io mi occupo di quelli che riguardano l'attività di accertamento dei reati, l'attività investigativa, prodromica all'accertamento dei reati. Da questo punto di vista, credo che l'azione di coordinamento sia estremamente importante. A volte, è la prova della possibilità di attribuzione – si è verificato recentemente – di un incarico negli atti di un fascicolo di una procura che non sa nulla dell'attacco che, invece, è oggetto dell'indagine di un'altra procura.
  Non trova la mia condivisione l'idea che il disegno di legge sia sbilanciato sul versante della repressione, anche se ammetto che questa può essere l'impressione, perché c'è un corposo apparato normativo dedicato a questo. In realtà, questa impressione deve tener conto del ritardo accumulato. I diritti scritti nel 2005, sulla base della Convenzione di Budapest del 2000, riflettono un'altra era geologica, soprattutto in tempi di conflitti ibridi. Stiamo parlando di un altro mondo, che esige una rapida evoluzione. Da questo punto di vista, noi abbiamo un patrimonio di esperienza, anche normativa, che ci consente di non doverci inventare tantissimo, ma di prendere le cose migliori di quel patrimonio, in quanto applicabili anche a nuovi fenomeni, e utilizzarle, avendo sempre nella massima cura la ricerca di un equilibrio complessivo.
  Quanto alla consistenza e alla dimensione preventiva, io non sono un esperto, però credo che di questo potremo discutere, spero, anche nel corso dell'esame di questo disegno di legge, che mi permetterei ancora una volta di sottolineare come urgente. Il G7 credo che avrà, tra poco, per oggetto proprio questa materia. Sarebbe importante andare a un evento così importante avendo messo alle spalle la necessità di superamento di uno scoglio così rilevante.
  La sua seconda domanda riguardava l'invarianza finanziaria. Deve chiedere al Ministro dell'economia e delle finanze, al Ragioniere generale e al Governo tutto. Ho già troppi problemi per conto mio.

  SANDRO SISLER. Signor presidente, sarò anch'io molto sintetico.
  Innanzitutto, tengo a ringraziare il presidente Chiara Colosimo per aver immediatamente accolto la richiesta sua, dottor Melillo, e del dottor Cantone di essere auditi in questa Commissione. D'altronde, la gravità di quanto è emerso sulla stampa e di quanto è emerso oggi richiedeva celerità. Il presidente ha giustamente subito convocato lei e il dottor Cantone.
  Volevo fare una premessa, dottore. Come è stato detto, ma ci tengo a ribadirlo, nessuno di noi vuole sottovalutare l'importanza del nostro sistema antiriciclaggio né tantomeno la fondamentale importanza della Direzione nazionale antimafia, che lei oggi dirige. Anzi, siamo convinti che siano un fiore all'occhiello del nostro Paese. Questo è il motivo per cui siamo qui con lei, particolarmente preoccupati per quanto è accaduto.
  Lei ha trovato una situazione disastrosa ed è stato bravo, da quello che ho sentito oggi, a rimediare a una carenza strutturale, che evidentemente c'è, con un modello organizzativo che – e qui chiedo conferma a lei – dovrebbe impedire in futuro che ciò accada. O meglio, non l'azione illecita in sé dell'accesso abusivo, ma che non ci si accorga per lungo tempo di quanto accaduto.
  Di questa gravità direi anche – ci tengo a dirlo perché mi è piaciuta la sua frase – se questa ridotta propensione all'equanimità degli sforzi avesse avvantaggiato la mia parte politica a scapito degli altri. Questo credo riguardi la tenuta democratica del nostro Stato.
  C'è la conferma, dicevo, che ci si accorgerà in tempi molto più rapidi rispetto al passato di questi accessi abusivi. Anch'io, come lei, con molta meno competenza ed esperienza rispetto alla sua, credo non siano azioni di un unico soggetto, ma che ci sia un sistema dietro. Non si può pensare che un solo soggetto – e qui vado anche ad arricchire il curriculum, così il senatore Zanettin è contento – possa porre in essere un numero così alto, solo per divertimento personale, di accessi abusivi.
  Qui arrivo alla domanda, che completerà il curriculum per il senatore Zanettin. Pag. 46Ho letto sulla stampa che gli accessi – non mi interessa la separazione, dico complessivamente – sono circa 800. Vorrei sapere se il suo ufficio riesce a capire se gli accessi sono stati effettivamente 800 o sono molti di più. Credo che questo sia un dato importante, non solo numerico.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Senatore, davvero grazie, però mi lasci dire una cosa. È vero che c'è un sistema sofisticato e complesso da inquadrare e decifrare nelle sue componenti non conformi alla legge e anche contrastanti, però le assicuro che c'è un sistema anche da questa parte, c'è un sistema fatto di collaborazione istituzionale innanzitutto con la Guardia di finanza, ma anche con le altre forze di polizia giudiziaria. È talmente banale, basterebbe dire che le indagini della procura di Perugia hanno il fondamentale supporto del Nucleo speciale di polizia valutaria della Guardia di finanza per rendersene conto.
  Io credo che noi abbiamo un capitale fatto di intelligenza, di competenza, di professionalità, di abitudine a lavorare in maniera coordinata, che ha bisogno di essere investito anche su questo versante. Da questo punto di vista, c'è uno straordinario bisogno di elevazione delle infrastrutture digitali e degli strumenti digitali a disposizione delle nostre forze di polizia.

  SANDRO SISLER. Questo lei l'ha detto benissimo anche in Commissione giustizia al Senato, quindi lo sta ribadendo oggi.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Assolutamente sì, vi è bisogno di un ulteriore grande potenziamento dell'organismo nel Ministero dell'interno che è deputato al contrasto di tutti gli attacchi che convergono verso il perimetro della sicurezza cibernetica nazionale. Nello stesso tempo, vi è bisogno di far crescere una cultura della riservatezza, che nel nostro Paese ha qualche oscillazione e anche qualche rilevante deficit, che riguardano un po' tutti. Io credo che siano pochi, per esempio, i pubblici ufficiali, i magistrati e gli ufficiali di polizia giudiziaria che, avendo accesso ad atti riservati, quando lasciano l'ufficio non ne fanno una copia per le proprie memorie, per le proprie autobiografie, a futura memoria, eccetera. Questa, per esempio, potrebbe essere tranquillamente una regola da introdurre legislativamente. Noi veniamo a conoscenza di documenti riservati per l'esercizio delle nostre funzioni e non abbiamo nessuna ragione di conservarli per una sorta di ultrattività di quelle funzioni.
  È un tema delicato e complesso, su cui sarebbe interessante sentire il direttore dell'Archivio centrale dello Stato, perché addirittura rispetto a figure che hanno svolto funzioni apicali di Governo, Presidenti del Consiglio o Ministri, sarebbe interessante vedere quanti atti vengono conferiti di quelli acquisiti nell'esercizio delle funzioni nei termini e nelle condizioni di legge dell'Archivio centrale, o invece finiscono in fondazioni private. Faccio un esempio banale: la Fondazione Spadolini conserva tutta la documentazione acquisita dal senatore anche durante l'esercizio delle funzioni di Presidente del Consiglio e Ministro della difesa e stabilisce che tutti gli atti saranno conoscibili solo dopo cinquant'anni. È una disciplina parallela e alternativa a quella prefissata dalla legge sul segreto di Stato. Adesso ho citato la Fondazione Spadolini, ma di queste fondazioni ce ne sono tantissime.
  Noi abbiamo gravi ritardi anche sulla percezione del valore delle informazioni coperte da segreto, sia esso di Stato, investigativo o semplicemente d'ufficio, e su questo versante una riflessione credo sia opportuna anche in sede parlamentare. È un sommesso suggerimento.
  Per esempio, il libro di Benedetta Tobagi Segreti e lacune che affronta anche questo tema, è uno strumento utile di conoscenza. È stato pubblicato da poco. Il tema della trasparenza e dell'effettività dei nostri sistemi di protezione dei segreti è un tema molto delicato e complesso.

  ELISABETTA PICCOLOTTI. Grazie per questa audizione e soprattutto per l'attenzione e la cura ai dettagli, che certamente l'hanno resa lunga, ma l'hanno resa anche Pag. 47molto utile, in primo luogo a difendere la Direzione nazionale antimafia, perché abbiamo visto attacchi scomposti che – e su questo sono d'accordo – possono indebolire l'autorevolezza di questa importantissima Istituzione e, quindi, anche il suo fondamentale e irrinunciabile contributo nella lotta alla criminalità organizzata.
  Ho almeno tre domande puntuali da fare e una più generale.
  Prima domanda. Ci siamo molto soffermati sulla figura di Striano, ma molto poco su quella di Laudati, che pure è coinvolto. Il Corriere della Sera scrive oggi che Laudati avrebbe fatto fare le verifiche su Gravina anche su sollecitazione di una persona vicina a Lotito, che era preoccupata penso per una gara. Infatti, Lotito verrà ascoltato come testimone. Io le vorrei chiedere se questa notizia della richiesta da parte di una persona vicina a Lotito è emersa dai suoi colloqui con Laudati o, comunque, nell'ambito dei suoi rapporti con Laudati, oppure il Corriere della Sera la scrive perché l'ha acquisita in un contesto diverso, quello dell'inchiesta di Perugia.
  Seconda domanda. Le vorrei chiedere, inoltre, quali erano i rapporti fra Laudati e Striano, perché Laudati era il coordinatore del gruppo delle SOS e mi sono chiesta se poteva e doveva controllare l'attività di Striano nel suo ruolo, se riceveva dei report da Striano rispetto alle sue attività o se poteva in autonomia vedere gli accessi alle banche dati, vederli tutti uno ad uno, per comprendere che cosa faceva Striano nelle sue funzioni.
  La terza domanda puntuale riguarda il dossier Crosetto, che lei ci ha raccontato esserle giunto in una busta chiusa tre mesi dopo la rimozione di Striano. Vorrei chiederle perché, secondo lei, gliel'ha mandato tre mesi dopo e in questa formula. Lei gliel'ha richiesto, oppure lo ha fatto di sua spontanea volontà? Penso di aver inteso che l'abbia fatto di sua spontanea volontà ma, siccome forse sono stata distratta, nel dettaglio glielo richiedo.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. È proprio vero che bisogna sempre essere certi di essere stati chiari. Ho detto che ho ricevuto il dossier tre mesi dopo per indicare un segno eclatante del fatto che quell'attività non aveva nulla a che fare con il mio ufficio. È giunto in un plico trasmesso dalla polizia valutaria, alla quale era stato consegnato con l'indicazione di darlo a me, sotto la voce «accertamenti pre-investigativi». Se vuole la mia opinione, il dato era coerente con il tentativo di giustificare le attività di raccolta di informazione abusiva che erano state svolte nei confronti del Ministro Crosetto. Però, credo che la materia sia una di quelle sulle quali il procuratore di Perugia potrà pronunciarsi più efficacemente di me.
  Rispetto alle altre due domande, onorevole, pur disponendo di elementi di giudizio, trattandosi di circostanze non dedotte – che io sappia – nell'invito a comparire, devono considerarsi ancora coperte dal segreto investigativo. Soltanto il dottor Cantone, ossia il procuratore della Repubblica di Perugia, potrà eventualmente decidere se parlarne e in quali forme, in quali momenti e in quali circostanze.
  Quanto alle possibilità di controllo dell'operato di Striano, credo di aver diffusamente detto, quindi non ritengo di dover aggiungere altro. Ma spero che la stringatezza delle mie risposte non sia considerata una sottrazione alle sue esigenze di chiarimento.

  ELISABETTA PICCOLOTTI. Grazie.
  L'altra questione, quella più generale, riguarda la sua definizione di «estrema gravità», che io condivido perché, come è stato ricordato anche da altri commissari, la gravità va in due direzioni: il tema della violazione della privacy, ovverosia delle notizie, che poi vengono riportate dai giornali; il tema dell'accesso ad informazioni che potrebbe essere fatto attraverso metodi illeciti sia dalla criminalità organizzata, sia dal terrorismo, sia, come lei ha spiegato, da alcune imprese, che magari vogliono conoscere le indagini.
  A tal proposito lei, parlando all'inizio, ha detto che non c'è solo questo caso, ma ci sono molti procedimenti che riguardano accessi abusivi a informazioni e banche dati. Io non so se esista un modo per sapere quanti sono questi procedimenti per accessoPag. 48 abusivo anche ad altre banche dati e che si sono tenuti in altre occasioni. Glielo chiedo perché sarebbe anche di interesse al fine della protezione delle numerose banche dati di cui si può fare saccheggio attraverso attacchi informatici e anche per capire se questo caso si inserisce in una rete più ampia di accessi abusivi.
  Lo dico perché – questa è l'ultima domanda – io, ma la mia conoscenza è limitata, ho rintracciato un caso di accesso abusivo del 2010, perché nel 2010 ci fu da parte di un finanziere un accesso abusivo al database di SERPICO, che portò all'uscita sulla rivista Panorama, con pezzi firmati dal giornalista Giacomo Amadori, di molte informazioni che riguardavano anche in quel caso politici e giornalisti. C'era Nichi Vendola, c'era Antonio Di Pietro, c'era Beppe Grillo. Pare che furono fatte 1.200 ricerche, 1.200 accessi abusivi. Alla fine l'inchiesta si concluse con un patteggiamento del giornalista e credo anche del finanziere infedele. Questo segnala che fughe di dati e fughe di notizie ci sono da moltissimi anni e probabilmente ci sono state in tantissime occasioni. Prima delle banche informatiche ipotizzo che ci fosse il passaggio delle carte, che molto spesso venivano indebitamente pubblicate sui giornali. Quindi, di questo mercato delle informazioni, che oggi è più largo, è più pericoloso, è più potente perché ci sono le banche informatiche, in realtà ne siamo a conoscenza da molti anni.
  Le vorrei chiedere perché, secondo lei, le inchieste precedenti a questa non sono mai arrivate – lei prima l'ha sottolineato – a ricostruire le reti di relazioni e rapporti, ma si sono sempre fermate al singolo.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Intanto i poteri di coordinamento del Procuratore nazionale antimafia in questa materia sono stati introdotti a novembre e non riguardano solo i reati futuri, ma anche i procedimenti aperti, anche se commessi precedentemente. Però, i fatti del 2010 sono ormai consegnati agli archivi.
  Ciò che lei dice conferma, comunque, che non si tratta di un problema che scopriamo improvvisamente oggi. Altri casi erano indicati anche in alcuni articoli di stampa non ricordo se di ieri o di oggi, leggo la stampa molto presto, per cui non so se è il giorno precedente. C'è una dimensione del fenomeno estremamente preoccupante, estremamente diffusa, per la quale è importante mettere in campo tutti gli strumenti di cui disponiamo. Oggi c'è quello del coordinamento investigativo, spero arrivino presto quelli previsti nel disegno di legge di iniziativa governativa.
  Tenga presente che abbiamo già iniziato a discuterne con i procuratori distrettuali, perché questi reati finora venivano trattati da magistrati che non avevano occasione di contatto con la Procura nazionale, perché erano inseriti in gruppi di lavoro diversi da quelli della criminalità organizzata e del terrorismo.
  C'è l'esigenza per tutti gli uffici di rivedere i loro assetti organizzativi. Alcuni uffici lo hanno già fatto e altri lo stanno facendo. Tutti, però, sono consapevoli – io credo – che il futuro delle indagini su questa materia è legato allo stesso principio fondativo dell'esperienza della Direzione nazionale antimafia, vale a dire il principio di specializzazione del lavoro giudiziario. Nel 1991, quando fu introdotto, ricorderete quante resistenze ebbe, c'erano resistenze anche di tipo culturale, rappresentate dal crollo del mito per il quale il magistrato, il giudice è capace di applicare il diritto indifferentemente a ogni caso. Non è così. Non esistono specialisti di ogni cosa. Soprattutto sul terreno investigativo è necessario far crescere un sapere, una professionalità, delle esperienze specifiche, delle attitudini specifiche, che dobbiamo sviluppare anche noi. È uno sforzo. Si tratta di attrarre nella cultura del coordinamento uffici dove operano bravissimi magistrati, che, però, finora partecipavano poco all'idea di lavorare – anzi per niente, a volte – con la Procura nazionale, con una banca dati; conservavano ciascuno i propri dati nel proprio computer o, tutt'al più, riversavano gli atti destinati nei documentari dell'amministrazione della giustizia, senza, però, alcuna stratificazione delle informazioni.Pag. 49
  C'è da fare proprio un grande lavoro di diffusione della cultura del coordinamento, degli strumenti del coordinamento, che non si fa dall'oggi al domani. Abbiamo cominciato. Anche questo sarà un lavoro ancora più faticoso di quello che abbiamo fatto finora, ma sarà un lavoro collettivo. L'approvazione del disegno di legge in campo sarà una risorsa fondamentale per fare questo lavoro.
  Gli uffici faranno scelte in piena autonomia. Alcuni, per esempio, hanno fatto scelte che io considero molto lungimiranti. Per esempio, la procura di Milano ha scelto di riservare la trattazione di questi casi agli stessi magistrati che si occupano di terrorismo. È una scelta che ha una visione dietro che condivido. Altri uffici stanno facendo scelte analoghe. Altri faranno scelte diverse. L'importante è che si affermi, in materia di cyber, una cultura del lavoro giudiziario specializzato, che dal punto di vista della nostra esperienza di uffici requirenti è fondamentale per definire anche la cifra reale della nostra capacità di accertamento di questi reati. Se mi consente, è essenziale anche per rendere effettivo il principio per cui le indagini le dirige il pubblico ministero. Un pubblico ministero non specializzato, in qualunque campo, si pone in una condizione di subalternità cognitiva rispetto a chi detiene il sapere, sia la polizia giudiziaria, il consulente o altro.
  Di consulenti di polizia giudiziaria ci sarà, ovviamente, sempre bisogno, ma è necessario che il pubblico ministero abbia una posizione, sia inquadrato in un sistema ordinamentale e organizzativo che consenta di valorizzare quelle caratteristiche.

  PRESIDENTE. Comunico che con l'iscrizione dell'onorevole Bicchielli ho chiuso gli interventi anche per correttezza nei confronti del Procuratore.

  SAVERIO CONGEDO. Mi associo ai ringraziamenti di tutti i colleghi innanzitutto per il richiamo che lei ha fatto a noi tutti a tenere alta l'attenzione e l'impegno sulla sicurezza cibernetica, soprattutto come azione di contrasto alla criminalità organizzata, che mi piace ricordare essere tra le priorità dell'azione di Governo e di questa maggioranza.
  La ringrazio, ovviamente, per la sua relazione, puntuale, diretta, senza fronzoli. Immagino che ogni passaggio, ogni frase, ogni parola siano state adeguatamente pesate. Non so se la relazione lei ce la lascerà.

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Avete il servizio di trascrizione.

  SAVERIO CONGEDO. In quel caso, meriterebbe una lettura attenta, soffermandosi sulle parole che lei ha utilizzato, perché sono parole...

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Sono appunti informi.

  SAVERIO CONGEDO. Va bene. Immagino, però, che le parole, le sue osservazioni siano state pesate. Lei ha parlato di fatti di gravità estrema, mercato clandestino di informazioni riservate, esiti sconfortanti delle ispezioni, debolezza e vulnerabilità estrema del nostro sistema informatico, comportamenti infedeli di uomini dello Stato, non compatibili con logiche di deviazioni individuali. Sostanzialmente, lei ha tracciato un quadro obiettivamente – questo sì – sconfortante di un'istituzione. Talmente sconfortante che immediatamente si è accorto della situazione, tanto da promuovere prima un'attività ispettiva e successivamente una riorganizzazione dell'intero sistema.
  Forse da cittadino, come lei ha detto, prima ancora che da parlamentare e commissario, una domanda me la pongo: possibile che un'Istituzione dell'importanza, del prestigio, dell'autorevolezza della DNA possa aver affrontato una materia così sensibile con una sottovalutazione macroscopica del deficit strutturale o, addirittura, con incuria, tanto da permettere a un uomo infedele dello Stato, a uno o più uomini infedeli dello Stato di poter agire in maniera disinvolta, indossando comunque la maglia – mi scusi la metafora calcistica, per richiamarmi a uno dei filoni dell'indagine,Pag. 50 dell'inchiesta – con la casacca della DNA? Da cittadino si fa fatica a immaginare che dipenda solamente da questo. L'idea è che, magari facendo anche del complottismo, ci sia potuta essere una regia dietro.
  L'altra domanda, collegata a questo, è forse una curiosità. Nella sua attività di riorganizzazione dell'intero sistema e di sostituzione dell'organigramma, di rimodulazione delle funzioni e dei compiti, ha trovato resistenze, se non addirittura ostacoli?

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Lei ha ripercorso molte delle cose che ho detto, quindi non vorrei ripeterle ulteriormente. Quello che le dico è che non esiste sistema che sia protetto dal rischio. Il problema è ridurre la dimensione del rischio ed elevare la capacità di prevenzione e di controllo successivo.
  Il fatto che siano state «attaccate» – lo dico tra virgolette, ma, in realtà, di attacchi si tratta – plurime banche dati nella disponibilità di strutture importanti, tecnologicamente molto evolute, come quella della Guardia di finanza, rivela che anche quando si possono vantare sistemi più evoluti di quelli dai quali spero di liberarmi presto, per passare a una banca dati progettata nel modo in cui siamo riusciti a farlo, con quelle collaborazioni istituzionali che ricordavo, in realtà resta sul tavolo il rischio di deviazione. Quello è un rischio fronteggiabile soltanto dotandosi di strumenti di controllo organizzativo, ma anche di strumenti di controllo investigativo. E ritorniamo alla necessità di un deciso avanzamento della frontiera normativa delle indagini in materia di reati cibernetici.
  Se ho trovato ostacoli nel rinnovamento? Certo che ne ho trovati. Non è facile cambiare le abitudini, non è facile spiegare a tante persone che devono essere rimandate nei loro uffici di appartenenza a fare altre cose, anche se obiettivamente non hanno alcuna colpa. Occorre introdurre, infatti, princìpi di rotazione. Quando si cambiano le abitudini, quando si cambiano i metodi di lavoro, quando si cambiano le prassi, ci sono sempre resistenze. Ma non sono questi gli ostacoli di cui parlo. L'ostacolo principale è rappresentato, secondo me, da uno stato dell'organizzazione dei servizi relativi alla giustizia, in particolare di quelli che servono, che è condizionato da una visione di lunga data, pauperistica e inadeguata rispetto alla complessità dei compiti che la magistratura deve svolgere. Ecco, di questo c'è bisogno.
  Lei pensa davvero che io sarei «felice» di attacchi alla magistratura sul terreno dell'organizzazione giudiziaria, piuttosto che sul versante delle attribuzioni normative? No, degli attacchi non si è mai felici. Mi lasci correggere. Però, è una dimensione cruciale per definire la qualità della risposta giudiziaria in ogni campo, che è largamente sottovalutata, come dimostrano gli interventi normativi a costo zero o che rinviano l'attuazione di due anni, magari giusto il tempo per dar modo a qualcun altro di prendere atto che non è possibile effettivamente applicarli.
  Quando la discussione intorno ai temi della giustizia si decontaminerà dalle contrapposizioni polemiche, dagli interessi particolari e dalla pressione degli interessi particolari o delle visioni pregiudiziali, secondo me non sarà mai troppo tardi. Però, mi rendo conto che è un mero auspicio, che formulavo già molti e molti anni fa, ma che è rimasto tale.

  PRESIDENTE. Grazie mille.
  Comunico che l'onorevole Bicchielli ha rinunciato alla domanda in quanto simile a quella dell'onorevole Congedo. Quindi, abbiamo l'ultima domanda, che so essere velocissima, del senatore Russo.

  RAOUL RUSSO. Nella sua relazione parlava del suo processo di verifica del sistema che ha trovato e ha fatto un passaggio che vorrei approfondire. Lei ha detto, se ho capito bene, che ha trovato una prassi di affidamenti fiduciari a fornitori esterni per i servizi informatici, o qualcosa del genere. Penso che si riferisse a coloro i quali hanno la manutenzione del software e dell'hardware e quant'altro. Le chiedo se questa «eccessiva fiducia» in società esterne abbia reso o possa rendere i sistemi ancora più vulnerabili agli accessi.

Pag. 51

  GIOVANNI MELILLO, Procuratore nazionale antimafia e antiterrorismo. Una delle principali debolezze del sistema è rappresentata dalla rinuncia – parlo dell'amministrazione della giustizia, perché la conosco un po' meglio – a governare i processi tecnologici. Nell'era analogica era lo Stato che forniva, per esempio, gli strumenti per le intercettazioni.
  Questo è un discorso che ho fatto infinite volte e infinite volte ho ribadito che non ho nulla contro l'apporto del privato allo sviluppo di funzioni statali, anche di quelle investigative. Anzi, direi che è un apporto assolutamente indispensabile, perché soltanto l'impresa privata garantisce quella rapidità dei processi di ricerca e di avanzamento tecnologico che nessuna amministrazione statale può mettere in campo, se non per periodi limitati e in settori estremamente riservati. Ormai anche le conquiste nello spazio vedono l'impresa privata in campo. Io sono sempre ricorso – lo ripeto per l'ennesima volta – a una metafora ferroviaria: i vagoni possono essere privati, ma i binari devono essere pubblici. Questo perché è chi fissa i binari che stabilisce le regole del gioco, le direzioni di marcia, i divieti di ingresso o di accesso, i limiti di velocità, i limiti di carico nei punti critici della rete e tutte le altre possibili moltiplicazioni di questa piccola metafora ferroviaria.
  Da questo punto di vista ci sono delle scelte in campo, alle quali io guardo con fiducia, mista a grande preoccupazione. Una di quelle è, per esempio, la finalmente avvenuta approvazione dell'idea di costruire delle sale server interdistrettuali per l'esecuzione delle intercettazioni. Questo non per tirare fuori le società private che anzi, per i contatti che ho avuto ufficialmente, perché sono venute a parlarmene, sono felici di entrare in un nuovo mondo e sono pronte a collaborare, ma perché è necessario che l'amministrazione della giustizia assuma la responsabilità dell'architettura dei sistemi e della configurazione delle linee fondamentali della gestione di dati personali così rilevanti.
  È in campo un processo normativo, che sta per giungere, mi pare, al terzo decreto attuativo, e spero che siano messe in campo risorse finanziarie e tecnologiche. Ma non sono in grado di verificarlo. Posso dire soltanto che in quel piano decennale di investimenti che fu approvato dal Ragioniere generale dello Stato già nel 2017 erano previsti 40 milioni di euro per realizzare quattro sale server interdistrettuali. Ebbene, credo sia stato speso molto di più per fare mille interventi tampone su 140 sale server, senza in alcun modo elevarne la sicurezza. Ma sono domande che credo possano più utilmente essere poste al Ministro della giustizia, anche ai precedenti.

  PRESIDENTE. Grazie mille.
  Permettetemi di rinnovare, a nome di tutti, il ringraziamento al Procuratore nazionale per questa audizione fiume, ma dettagliata e fondamentale per lo sviluppo dei nostri lavori.
  Vi ricordo che siamo convocati domani, alle ore 10, per l'audizione del procuratore Cantone.
  Grazie a tutti.

  La seduta termina alle 21.20.