[sommcomm]

SENATO DELLA REPUBBLICA Legislatura 18 Resoconto di Commissione AFFARI COSTITUZIONALI (1ª) 113 BORGHESI La seduta inizia alle ore 9,15. IN SEDE CONSULTIVA (Doc. XXII, n. 24) Istituzione Commissione inchiesta salute e sicurezza nei luoghi di lavoro Doc Doc. XXII, n. 24 Istituzione di una Commissione parlamentare di inchiesta sulle condizioni di lavoro in Italia, sullo sfruttamento e sulla sicurezza nei luoghi di lavoro (Parere alla 11ª Commissione su emendamenti. Esame. Parere in parte contrario, in parte non ostativo) Il PRESIDENTE , relatore, illustra gli emendamenti riferiti al Documento in titolo, il cui esame è stato rimesso alla sede plenaria dalla Sottocommissione per i pareri, e propone di esprimere un parere in parte contrario e in parte non ostativo, pubblicato in allegato. Accertata la presenza del prescritto numero di senatori, la Commissione approva la proposta di parere avanzata dal relatore. IN SEDE REFERENTE (1570) D-l 105/2019 - sicurezza cibernetica DDL 1570 Conversione in legge, con modificazioni, del decreto-legge 21 settembre 2019, n. 105, recante disposizioni urgenti in materia di perimetro di sicurezza nazionale cibernetica (Esame e rinvio) La relatrice MANTOVANI ( M5S ) illustra il decreto-legge n. 105 del 2019, in materia di sicurezza cibernetica, nel testo modificato dalla Camera dei deputati. Il provvedimento si compone di sette articoli. L'articolo 1 istituisce il perimetro di sicurezza nazionale cibernetica, al fine di assicurare la sicurezza di reti, sistemi informativi e servizi informatici necessari allo svolgimento di funzioni o alla prestazione di servizi, dalla cui discontinuità possa derivare un pregiudizio alla sicurezza nazionale. È demandata a un decreto del Presidente del Consiglio dei ministri, da adottare previo parere delle competenti Commissioni parlamentari, l'individuazione dei soggetti inclusi nel perimetro di sicurezza nazionale cibernetica. In particolare, si fa riferimento ad amministrazioni pubbliche, nonché a enti e operatori nazionali, pubblici e privati  aventi una sede nel territorio nazionale, come specificato nel corso dell'esame presso la Camera - le cui reti e sistemi informativi e informatici sono necessari per l'esercizio di una funzione essenziale dello Stato, per l'assolvimento di un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato e il cui malfunzionamento, interruzione o uso improprio possono pregiudicare la sicurezza nazionale. Il medesimo decreto del Presidente del Consiglio dei ministri dovrà fissare, sulla base di un'analisi del rischio e di un criterio di gradualità che tenga conto delle specificità dei diversi settori di attività, i criteri che i soggetti inclusi nel perimetro dovranno seguire nel compilare l'elenco delle reti, dei sistemi e dei servizi rilevanti ai fini della presente disciplina. Tale elenco dovrà essere aggiornato con cadenza almeno annuale. Resta ferma, per gli organismi di informazione e sicurezza, la specifica disciplina di cui alla legge n. 124 del 2007 recante "Sistema di informazione per la sicurezza della Repubblica e nuova disciplina del segreto". Entro sei mesi dall'entrata in vigore del decreto, gli elenchi così predisposti sono inviati alla Presidenza del Consiglio dei ministri dai soggetti pubblici e dai soggetti che intendono fornire servizi fiduciari qualificati o svolgere l'attività di gestore di posta elettronica certificata o di gestore dell'identità digitale oppure dai soggetti che intendono svolgere l'attività di conservatore di documenti informatici; sono invece inviati al Ministero dello sviluppo economico dai soggetti accreditati dall'AgID. Quindi, la Presidenza del Consiglio dei ministri e il Ministero dello sviluppo economico inoltrano i rispettivi elenchi al Dipartimento delle informazioni per la sicurezza (DIS) e all'organo per la regolarità e sicurezza dei servizi di telecomunicazione presso il Ministero dell'interno. Ancora a un decreto del Presidente del Consiglio dei ministri è demandata la determinazione delle procedure di notifica degli incidenti prodottisi su reti, sistemi informativi e sistemi informatici inclusi nel perimetro di sicurezza nazionale cibernetica e delle misure di sicurezza. Come specificato con una modifica introdotta dalla Camera dei deputati, sullo schema di decreto è acquisito il parere delle competenti Commissioni parlamentari, da esprimere nel termine di 30 giorni. Sono poi determinati i soggetti ministeriali preposti all'elaborazione delle misure di sicurezza ed è previsto un aggiornamento - almeno biennale - di quanto previsto dal decreto del Presidente del Consiglio dei ministri, anche in tal caso con l'acquisizione del parere delle competenti Commissioni parlamentari. Si rimette a un regolamento da emanarsi con decreto del Presidente del Consiglio dei ministri, entro dieci mesi dalla data di entrata in vigore della legge di conversione del decreto-legge, la definizione delle procedure, delle modalità e dei termini ai quali devono attenersi le amministrazioni pubbliche, gli enti e gli operatori nazionali, pubblici e privati, inclusi nel perimetro di sicurezza nazionale cibernetica che intendano procedere all'affidamento di forniture di beni, sistemi e servizi ICT, destinati a essere impiegati sulle reti, sui sistemi informativi e per l'espletamento dei servizi informatici individuati nell'elenco trasmesso alla Presidenza del Consiglio dei ministri e al Ministero dello sviluppo economico. A seguito di una modifica introdotta dalla Camera dei deputati, non si tratterà di tutti i beni, sistemi e servizi ICT potenzialmente oggetto di acquisto ma solo dei beni appartenenti a categorie individuate da un decreto del Presidente del Consiglio dei ministri sulla base di criteri tecnici. Sono inoltre individuati alcuni compiti del Centro di valutazione e certificazione nazionale (CVCN), con riferimento all'approvvigionamento di prodotti, processi, servizi di tecnologie dell'informazione e della comunicazione (ICT) e associate infrastrutture, qualora destinati a reti, sistemi informativi, sistemi informatici ricompresi nel perimetro di sicurezza nazionale cibernetica. Sono previsti alcuni obblighi per gli operatori dei servizi essenziali, i fornitori di servizi digitali e le imprese che forniscono reti pubbliche di comunicazioni o servizi di comunicazione elettronica accessibili al pubblico, inclusi nel perimetro di sicurezza nazionale cibernetica. Ulteriori disposizioni disegnano un articolato sistema sanzionatorio per i casi di violazione degli obblighi previsti dal decreto-legge e individuano nella Presidenza del Consiglio dei ministri e nel Ministero dello sviluppo economico le autorità competenti all'accertamento delle violazioni e all'irrogazione delle sanzioni amministrative, rispettivamente per le amministrazioni, gli enti e gli operatori nazionali pubblici e per gli operatori nazionali privati. Sono previsti opportuni raccordi con il Dipartimento delle informazioni per la sicurezza e con l'organo del Ministero dell'interno per la sicurezza e la regolarità dei servizi di telecomunicazione.