[ddlpres]

Il disegno di legge non è corredato di relazione AIR in quanto rientrante nel caso di esclusione di cui all'articolo 6, comma 1, lettera c) , del decreto del Presidente del Consiglio dei ministri 15 settembre 2017, n. 169.. 1 (Perimetro di sicurezza nazionale cibernetica) 1 Al fine di assicurare un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, degli enti e degli operatori nazionali, pubblici e privati, da cui dipende l'esercizio di una funzione essenziale dello Stato, ovvero la prestazione di un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato e dal cui malfunzionamento, interruzione, anche parziali, ovvero utilizzo improprio, possa derivare un pregiudizio per la sicurezza nazionale, è istituito il perimetro di sicurezza nazionale cibernetica. 2 Entro sei mesi dalla data di entrata in vigore della presente legge, con decreto del Presidente del Consiglio dei ministri, che ne disciplina altresì i relativi termini e modalità attuative, adottato su proposta del Comitato interministeriale per la sicurezza della Repubblica (CISR): a fermo restando che per gli organismi di informazione per la sicurezza si applicano le norme previste dalla legge 3 agosto 2007, n. 124, sono individuati le amministrazioni pubbliche, gli enti e gli operatori nazionali, pubblici e privati, di cui al comma 1, inclusi nel perimetro di sicurezza nazionale cibernetica e tenuti al rispetto delle misure e degli obblighi previsti dal presente articolo; all'individuazione si procede sulla base dei seguenti criteri: 1 il soggetto esercita una funzione essenziale dello Stato, ovvero assicura un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato; 2 l'esercizio di tale funzione o la prestazione di tale servizio dipende da reti, sistemi informativi e servizi informatici; b sono definiti i criteri in base ai quali i soggetti di cui alla lettera a) predispongono e aggiornano con cadenza almeno annuale un elenco delle reti, dei sistemi informativi e dei servizi informatici di cui al comma 1, di rispettiva pertinenza, comprensivo della relativa architettura e componentistica; all'elaborazione di tali criteri provvede, adottando opportuni moduli organizzativi, l'organismo tecnico di supporto al CISR, integrato con un rappresentante dell'Agenzia per l'Italia digitale (AgID); entro sei mesi dalla data di entrata in vigore della presente legge, i soggetti pubblici e quelli di cui all'articolo 29 del codice dell'amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82, individuati ai sensi della lettera a) , trasmettono tali elenchi all'AgID; i soggetti privati di cui alla medesima lettera a) trasmettono tali elenchi al Ministero dello sviluppo economico; l'AgID e il Ministero dello sviluppo economico inoltrano gli elenchi di rispettiva pertinenza al Dipartimento delle informazioni per la sicurezza, anche per le attività di prevenzione, preparazione e gestione di crisi cibernetiche affidate al Nucleo per la sicurezza cibernetica, nonché all'organo del Ministero dell'interno per la sicurezza e la regolarità dei servizi di telecomunicazione di cui all'articolo 7 -bis del decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n. 155. 3 Entro dodici mesi dalla data di entrata in vigore della presente legge, con decreto del Presidente del Consiglio dei ministri, che ne disciplina altresì i relativi termini e modalità attuative, adottato su proposta del CISR: a sono definite le procedure secondo cui i soggetti individuati ai sensi del comma 2, lettera a) , notificano gli incidenti aventi impatto su reti, sistemi informativi e servizi informatici di cui al comma 2, lettera b) , al Gruppo di intervento per la sicurezza informatica in caso di incidente (CSIRT) italiano, che inoltra tali notifiche, tempestivamente, al Dipartimento delle informazioni per la sicurezza anche per le attività demandate al Nucleo per la sicurezza cibernetica; il Dipartimento delle informazioni per la sicurezza assicura la trasmissione delle notifiche così ricevute all'organo del Ministero dell'interno per la sicurezza e la regolarità dei servizi di telecomunicazione di cui all'articolo 7- bis del decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n. 155, nonché all'AgID, se provenienti da un soggetto pubblico o di cui all'articolo 29 del codice dell'amministrazione elettronica, di cui al decreto legislativo 7 marzo 2005, n. 82, ovvero al Ministero dello sviluppo economico, se effettuate da un soggetto privato; b sono stabilite misure volte a garantire elevati livelli di sicurezza delle reti, dei sistemi informativi e dei servizi informatici di cui al comma 2, lettera b) , relative a: politiche di sicurezza; gestione del rischio; prevenzione, mitigazione e gestione di incidenti; struttura organizzativa in materia di sicurezza; protezione fisica e logica; protezione dei dati; integrità delle reti e dei sistemi informativi; continuità operativa; gestione operativa; monitoraggio, test e controllo; formazione e consapevolezza; affidamento di forniture di beni, sistemi e servizi di Information and Communications Technology (ICT) , anche mediante definizione di caratteristiche e requisiti di carattere generale; all'elaborazione di tali misure provvedono, secondo gli ambiti di competenza delineati dalla presente legge, il Ministero dello sviluppo economico e l'AgID, d'intesa con il Ministero della difesa, il Ministero dell'interno, il Ministero dell'economia e delle finanze e il Dipartimento delle informazioni per la sicurezza. 4 Per l'aggiornamento di quanto previsto dai decreti di cui ai commi 2 e 3 si procede secondo le medesime modalità di cui ai medesimi commi con cadenza almeno biennale. 5 Con regolamento, adottato ai sensi dell'articolo 17, comma 1, della legge 23 agosto 1988, n. 400, entro dodici mesi dalla data di entrata in vigore della presente legge, sono disciplinati le procedure, le modalità e i termini con cui: