[sommcomm]

SENATO DELLA REPUBBLICA Legislatura 18 Resoconto di Commissione LAVORI PUBBLICI, COMUNICAZIONI (8ª) 213 COLTORTI La seduta inizia alle ore 14,35. IN SEDE CONSULTIVA 2336 - d-l 82/2021 cybersicurezza DDL 2336 Conversione in legge, con modificazioni, del decreto-legge 14 giugno 2021, n. 82, recante disposizioni urgenti in materia di cybersicurezza, definizione dell'architettura nazionale di cybersicurezza e istituzione dell'Agenzia per la cybersicurezza nazionale (Parere alla 1 a Commissione. Esame. Parere favorevole) Il PRESIDENTE segnala che il provvedimento in titolo, recentemente trasmesso dalla Camera dei deputati, è già calendarizzato in Aula nella seduta di questo pomeriggio. Il relatore STEGER ( Aut (SVP-PATT, UV) ) illustra il provvedimento in esame, che introduce disposizioni volte a ridefinire la cornice normativa in materia di sicurezza nazionale cibernetica. L'accresciuta esposizione alle minacce cibernetiche e la progressiva digitalizzazione della società hanno infatti evidenziato, sia a livello nazionale che internazionale, la necessità di sviluppare meccanismi di tutela più idonei e stringenti, che consentano risposte efficaci e tempestive contro i rischi di attacco. Di qui l'esigenza di aggiornare l'architettura nazionale per la cybersicurezza, con interventi che razionalizzino le competenze, consentano una gestione coordinata delle attività di prevenzione e di risposta alle situazioni di crisi e diano attuazione agli impegni assunti nel PNRR, che ha incluso la cybersicurezza tra gli investimenti della Missione 1, "Digitalizzazione, innovazione, cultura e turismo", quale fattore necessario per assicurare lo sviluppo e la crescita dell'economia e dell'industria in una prospettiva di trasformazione digitale. Il provvedimento consta di 19 articoli, il primo dei quali introduce le definizioni. L'articolo 2 pone il Presidente del Consiglio dei ministri quale autorità al vertice dell'architettura della sicurezza cibernetica, attribuendogli in via esclusiva l'alta direzione e la responsabilità generale delle politiche di cybersicurezza. A lui spettano inoltre, sempre in via esclusiva, l'adozione della strategia nazionale di cybersicurezza e la nomina e la revoca, previa deliberazione del Consiglio dei ministri e informandone il COPASIR e le competenti Commissioni parlamentari, del direttore generale e del vice direttore generale della nuova Agenzia per la cybersicurezza nazionale, istituita dall'articolo 5 del provvedimento. L'articolo 3 prevede che il Presidente del Consiglio dei ministri possa delegare all'Autorità delegata per il sistema di informazione per la sicurezza della Repubblica, ove istituita, le funzioni che non sono a lui attribuite in via esclusiva. In relazione alle funzioni delegate, tra l'altro, l'Autorità partecipa alle riunioni del Comitato interministeriale per la transizione digitale. L'articolo 4 istituisce, presso la Presidenza del Consiglio dei ministri, il Comitato interministeriale per la cybersicurezza (CIC), organismo con funzioni di consulenza, proposta e vigilanza in materia di politiche di cybersicurezza, che è presieduto dal Presidente del Consiglio dei ministri e al quale partecipano, tra gli altri, il Ministro dello sviluppo economico, il Ministro delegato per l'innovazione tecnologica e la transizione digitale e il Ministro delle infrastrutture e della mobilità sostenibili. Al CIC sono trasferite le funzioni finora attribuite al Comitato interministeriale per la sicurezza della Repubblica (CISR) dal decreto-legge n. 105 del 2019, con il quale è stato istituito il perimetro di sicurezza nazionale cibernetica, ad eccezione del compito di deliberare, in caso di rischio grave ed imminente per la sicurezza nazionale connesso alla vulnerabilità di reti, sistemi informativi e servizi informatici, la disattivazione, totale o parziale, di uno o più apparati o prodotti impiegati nelle reti, nei sistemi o per l'espletamento dei servizi interessati, che può essere poi disposta dal Presidente del Consiglio. L'articolo 5, a tutela degli interessi nazionali nel campo della cybersicurezza, istituisce l'Agenzia per la cybersicurezza nazionale, con personalità giuridica di diritto pubblico, dotata di autonomia regolamentare, amministrativa, patrimoniale, organizzativa, contabile e finanziaria, della quale si avvalgono il Presidente del Consiglio dei ministri e l'Autorità delegata per l'esercizio delle competenze loro attribuite dal provvedimento. Gli articoli 6, 11 e 12 demandano ad appositi regolamenti la definizione dell'organizzazione e del funzionamento dell'Agenzia nonché delle procedure contabili, di quelle per la stipula dei contratti di appalti di lavori e forniture di beni e servizi per le attività finalizzate alla tutela della sicurezza nazionale nello spazio cibernetico e per la disciplina del personale. Si prevede, in particolare, che il regolamento sulle procedure per la stipula dei contratti sia adottato con DPCM su proposta del direttore generale dell'Agenzia, anche in deroga all'articolo 17 della legge n. 400 del 1988 e alle norme in materia di contratti pubblici, previo parere del COPASIR e sentito il CIC, ferma restando la disciplina vigente in materia di contratti secretati di cui all'articolo 162 del codice dei contratti pubblici. Le funzioni dell'Agenzia sono indicate dall'articolo 7, che la qualifica quale Autorità nazionale per la cybersicurezza, incaricata di assicurare il coordinamento tra i soggetti pubblici coinvolti nel settore a livello nazionale e di promuovere azioni comuni che garantiscano la sicurezza e la resilienza cibernetiche per lo sviluppo della digitalizzazione del Paese, del sistema produttivo e delle pubbliche amministrazioni, nonché per il conseguimento dell'autonomia, nazionale ed europea, riguardo a prodotti e processi informatici di rilevanza strategica a tutela degli interessi nazionali nel settore. In tale quadro, l'Agenzia - che è chiamata a predisporre la strategia nazionale di cybersicurezza - è Autorità nazionale competente e punto di contatto unico in materia di sicurezza delle reti e dei sistemi informativi. La disciplina previgente, contenuta nel decreto legislativo n. 65 del 2018, attuativo della cosiddetta "direttiva NIS", aveva invece delineato un sistema plurale di autorità, nel quale ciascun ministero era qualificato come autorità NIS per il settore di competenza. Il punto di contatto nazionale era poi individuato nel Dipartimento delle informazioni e della sicurezza (DIS). Nel nuovo quadro all'Agenzia sono quindi trasferite una serie di funzioni in materia di cybersicurezza finora svolte da altri organi, quali il Ministero dello sviluppo economico, la Presidenza del Consiglio, il DIS e l'Agenzia per l'Italia digitale. Tra le funzioni trasferite dal MISE figurano, oltre a quelle relative al perimetro di sicurezza nazionale, alla sicurezza e alla integrità delle comunicazioni elettroniche e alla sicurezza delle reti e dei sistemi informativi, anche le funzioni in materia di certificazione della cybersicurezza, in relazione alla quale l'Agenzia è qualificata quale Autorità nazionale.