[ddlpres]

Disposizioni in materia di perimetro di sicurezza nazionale cibernetica. Onorevoli Senatori . – La pervasività assunta dalle reti e dai sistemi informativi e dai servizi informatici per l'espletamento di funzioni essenziali dello Stato, ovvero per la prestazione di servizi essenziali per il mantenimento di attività civili, sociali o economiche fondamentali rende immediata e sempre più grave e concreta l'evenienza di situazioni di possibile malfunzionamento, interruzione, anche parziale, ovvero utilizzo improprio di tali reti, sistemi informativi e servizi informatici, con serio pregiudizio per la sicurezza nazionale: è quindi urgente la necessità di apprestare misure e procedure idonee a garantire i necessari standard di sicurezza rivolti a minimizzare i rischi consentendo, al contempo, la estesa fruizione dei più avanzati strumenti offerti dalle tecnologie dell'informazione e della comunicazione. Il disegno di legge reca disposizioni volte ad assicurare, attraverso l'istituzione di un perimetro di sicurezza nazionale cibernetica (di seguito « perimetro »), un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, degli enti e degli operatori nazionali, pubblici e privati, da cui dipende l'esercizio di una funzione essenziale dello Stato, ovvero la prestazione di un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato, e dal cui malfunzionamento o interruzione, anche parziali, ovvero utilizzo improprio, possa derivare un pregiudizio per la sicurezza nazionale. La formulazione delle norme è improntata ai seguenti criteri: definizione delle finalità del perimetro e delle modalità di individuazione tanto dei soggetti pubblici e privati che ne fanno parte quanto delle rispettive reti, sistemi informativi e servizi informatici rilevanti per le finalità di sicurezza nazionale cibernetica (di seguito « reti, sistemi e servizi rilevanti »), per i quali si applicano le misure di sicurezza e le procedure che vengono introdotte con l'intervento normativo. Al fine di circoscrivere il novero dei soggetti da includere nel perimetro sono stati introdotti – come già praticato dal legislatore nel decreto legislativo n. 65 del 2018 di recepimento della direttiva (UE) 2016/1148 (recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell'Unione) per la designazione degli operatori di servizi essenziali – criteri di carattere generale in base ai quali il Comitato interministeriale per la sicurezza della Repubblica (CISR) procederà alla loro individuazione ; previsione di un'architettura normativa snella. In particolare, l'attuazione è demandata, con scadenze temporali diversificate, a due decreti del Presidente del Consiglio dei ministri adottati su proposta del CISR, e a un regolamento da emanare ai sensi dell'articolo 17, comma 1, della legge 23 agosto 1988, n. 400; possibilità di agevole aggiornamento dei citati decreti del Presidente del Consiglio dei ministri, per rispondere a una duplice finalità: mantenere la normativa al passo con l'evoluzione tecnologica e consentire un graduale ampliamento del novero dei soggetti da includere nel perimetro; coinvolgimento del CISR quale proponente dei decreti del Presidente del Consiglio dei ministri applicativi. Ciò, in quanto si tratta di provvedimenti che dettano misure rivolte alla tutela della sicurezza nazionale in campo cibernetico. In questo ambito il CISR si avvale, quale supporto a fini istruttori, del cosiddetto CISR-tecnico di cui all'articolo 5 del decreto del Presidente del Consiglio dei ministri 17 febbraio 2017, pubblicato nella Gazzetta Ufficiale n. 87 del 13 aprile 2017, presieduto dal Direttore generale del Dipartimento delle informazioni per la sicurezza (DIS), con la partecipazione dei vertici amministrativi dei dicasteri interessati. In tal modo è pertanto assicurata la collegialità dei processi attuativi del perimetro; previsione di misure volte a garantire elevati livelli di sicurezza delle reti, dei sistemi e dei servizi rilevanti ; istituzione di un meccanismo teso ad assicurare un procurement più sicuro per i soggetti inclusi nel perimetro che intendano procedere all'affidamento di forniture di beni e servizi ICT destinati a essere impiegati sulle reti, sui sistemi e per i servizi rilevanti. Il processo di verifica viene effettuato dal Centro di valutazione e certificazione nazionale (CVCN), sulla base di una valutazione del rischio anche in relazione all'ambito di impiego e in un'ottica di gradualità, limitando le procedure più onerose in termini di tempi e costi solamente alla componentistica più critica. In proposito sono stati esclusi gli approvvigionamenti necessari per le attività di prevenzione, accertamento e repressione dei reati ed è stato previsto di demandare al decreto del Presidente della Repubblica attuativo la disciplina dei casi di deroga per le forniture in sede estera; individuazione delle competenze del Ministero dello sviluppo economico (MiSE) – per i soggetti privati inclusi nel perimetro – e dell'Agenzia per l'Italia digitale (AgID) – per le amministrazioni pubbliche e i soggetti di cui all'articolo 29 del codice dell'amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82, (CAD) inclusi nel perimetro – in coerenza con le funzioni già esercitate da tali soggetti istituzionali alla luce delle norme vigenti. In particolare, il MiSE quale: autorità competente con poteri ispettivi e sanzionatori (per i settori energia, infrastrutture digitali e per i servizi digitali) e depositario dell'elenco degli operatori di servizi essenziali ai sensi del citato decreto legislativo 18 maggio 2018, n. 65, di recepimento della direttiva europea NIS; autorità di riferimento con poteri ispettivi e sanzionatori verso i fornitori di servizi di comunicazione elettronica ai sensi del codice delle comunicazioni elettroniche, di cui al decreto legislativo 1° agosto 2003, n. 259, e correlate disposizioni attuative; organismo di certificazione e sicurezza informatica presso cui è stato istituito il Centro di valutazione e certificazione nazionale (CVCN), ai sensi dell'articolo 11 del decreto del Presidente del Consiglio dei ministri del 17 febbraio 2017;