[ddlpres]

Quanto alle forniture di beni e servizi ICT da impiegare su reti, sistemi e servizi rilevanti del Ministero della difesa, è stato stabilito che il Dicastero proceda, senza nuovi o maggiori oneri a carico della finanza pubblica, attraverso un proprio Centro di valutazione in raccordo con AgID e MiSE per i profili di rispettiva competenza; b) i soggetti individuati quali fornitori di beni, sistemi e servizi destinati alle reti, ai sistemi e ai servizi rilevanti assicurano al CVCN ed al citato Centro del Ministero della difesa, per quanto di rispettiva competenza, la propria collaborazione per l'effettuazione delle attività di test , sostenendone gli oneri. Il CVCN segnala la mancata collaborazione al MiSE, in caso di fornitura destinata a soggetti privati, o all’ AgID, in caso di fornitura destinata a soggetti pubblici o a quelli di cui all'articolo 29 del CAD. Analogamente procede, informandone l'AgID, il Centro di valutazione del Ministero della difesa; c) il MiSE e l'AgID, negli ambiti rispettivamente assegnati loro nel perimetro, svolgono attività di ispezione e verifica in relazione a quanto previsto dal disegno di legge, senza che ciò comporti accesso a dati o metadati personali e amministrativi, impartendo, se necessario, prescrizioni. In tale contesto, in considerazione delle specificità, è stato previsto che per le reti, i sistemi e i servizi rilevanti connessi alla funzione di prevenzione e repressione dei reati, alla tutela dell'ordine e della sicurezza pubblica e alla difesa e sicurezza militare dello Stato, le attività di ispezione e verifica siano svolte, senza nuovi o maggiori oneri a carico della finanza pubblica, dalle strutture specializzate in tema di protezione di reti e sistemi, nonché in tema di prevenzione e contrasto del crimine informatico, delle Amministrazioni da cui dipendono le Forze di polizia e le Forze armate, che ne comunicano gli esiti all'AgID per i profili di competenza. Il comma 6 stabilisce i compiti assunti dal CVCN nell'ambito dell'approvvigionamento ICT destinato a reti, sistemi e servizi rilevanti: a) contributo all'elaborazione delle misure di sicurezza per ciò che concerne affidamenti di forniture di beni e servizi; b) svolgimento delle attività di verifica delle condizioni di sicurezza e dell'assenza di vulnerabilità note, anche in relazione all'ambito di impiego, dettando, se del caso, anche prescrizioni di utilizzo al committente. Al riguardo è previsto che il CVCN si avvalga anche di laboratori accreditati dal medesimo CVCN secondo criteri stabiliti da un decreto del Presidente del Consiglio dei ministri, adottato su proposta del CISR entro dodici mesi dalla data di entrata in vigore della legge, impiegando, per le esigenze delle amministrazioni centrali dello Stato, quelli eventualmente istituiti, senza nuovi o maggiori oneri a carico della finanza pubblica, presso le medesime amministrazioni; c) elaborazione e adozione di schemi di certificazione cibernetica, laddove, per ragioni di sicurezza nazionale e su conforme avviso del CISR-tecnico, gli schemi di certificazione esistenti non siano ritenuti adeguati alle esigenze di tutela del perimetro di sicurezza nazionale cibernetica. Il comma 7 stabilisce modalità di raccordo e semplificazione in materia di osservanza di misure di sicurezza e di assolvimento dell'obbligo di notifica di incidenti per i soggetti inclusi nel perimetro e, al contempo, tenuti al rispetto delle prescrizioni di cui al decreto legislativo 18 maggio 2018, n. 65, o al codice di cui al decreto legislativo 1° agosto 2003, n. 259, e correlate disposizioni attuative. Viene, in particolare, stabilito che i soggetti inclusi nel perimetro osservino le misure di sicurezza stabilite dai citati decreti legislativi, ove di livello almeno equivalente a quelle adottate in applicazione della legge. Le eventuali misure aggiuntive, necessarie al fine di assicurare i livelli di sicurezza previsti, sono definite, in relazione agli ambiti di competenza nel perimetro, dall'AgID e dal MiSE che si raccordano, ove necessario, con le autorità competenti di cui all'articolo 7 del decreto legislativo 18 maggio 2018, n. 65. L'assolvimento dell'obbligo di notifica al CSIRT italiano, ai sensi della presente legge, costituisce anche adempimento degli obblighi di notifica previsti dal codice di cui al decreto legislativo 1° agosto 2003, n. 259, e dal decreto legislativo 18 maggio 2018, n. 65. In relazione a quest'ultimo, il CSIRT italiano ha l'onere di informare l'autorità competente NIS. I commi da 8 a 13 disciplinano un articolato sistema sanzionatorio per i casi di violazione degli obblighi previsti dalla legge. In particolare, è previsto che: siano puniti con la pena della reclusione da uno a cinque anni coloro che, tenuti ad effettuare le comunicazioni richieste nell'espletamento dei procedimenti di cui al comma 2, lettera b) , al comma 5, lettera a) , ovvero delle attività ispettive e di vigilanza previste dal comma 5, lettera c) , forniscono informazioni, dati o fatti non rispondenti al vero, allo scopo di ostacolare o condizionare l'espletamento dei medesimi procedimenti o attività, ovvero allo stesso scopo omettono di comunicare, nei termini prescritti, informazioni, dati o fatti necessari per tali procedimenti o attività; all'ente privato, responsabile ai sensi del decreto legislativo 8 giugno 2001, n. 231, si applica la sanzione pecuniaria fino a quattrocento quote; salvo che il fatto costituisca reato, vengano irrogate sanzioni amministrative pecuniarie – scaglionate, in relazione alla gravità della condotta, su tre livelli (con minimi edittali che ammontano a 200.000, 250.000 e 300.000 euro) – per il cui accertamento e irrogazione sono competenti il MiSE e l'AgID; per i dipendenti pubblici gli stessi inadempimenti possano costituire causa di responsabilità disciplinare e amministrativo-contabile; in caso di inottemperanza alle condizioni o in assenza dell'esito favorevole dei test disposti dal CVCN, la stipula del contratto non produca effetto e sia fatto divieto alle parti di darvi, anche provvisoriamente, esecuzione. La violazione di tale divieto comporta, per coloro che abbiano disposto l'affidamento del contratto, l'incapacità ad assumere incarichi di direzione, amministrazione e controllo nelle società aventi ad oggetto, anche se non principale, attività afferenti al settore ICT, per un periodo di tre anni a decorrere dalla data di accertamento della violazione. Il comma 14 stabilisce che le autorità titolari delle attribuzioni di cui al presente disegno di legge assicurino gli opportuni raccordi con il DIS e con l'organo del Ministero dell'interno per la sicurezza e la regolarità dei servizi di telecomunicazione, quale autorità di contrasto nell'esercizio delle attività di cui all'articolo 7- bis del decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n. 155.