[sommcomm]

IN SEDE CONSULTIVA SU ATTI DEL GOVERNO (AG 177) Schema di DPR concernente il perimetro di sicurezza nazionale Doc n. 177 Schema di decreto del Presidente del Consiglio dei ministri in materia di perimetro di sicurezza nazionale cibernetica, adottato in attuazione dell'articolo 1, comma 2, del decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133 (Parere al Ministro per i rapporti con il Parlamento, ai sensi dell'articolo 1, comma 4- bis , del decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133. Esame e rinvio) La relatrice MANTOVANI ( M5S ) riferisce sullo schema di decreto del Presidente del Consiglio dei ministri in titolo, che reca disposizioni in materia di perimetro di sicurezza nazionale cibernetica. Il provvedimento è stato predisposto in attuazione dell'articolo 1, comma 2, del decreto-legge n. 105 del 2019, recante disposizioni urgenti in materia di perimetro di sicurezza nazionale cibernetica e di disciplina dei poteri speciali nei settori di rilevanza strategica. In particolare, lo schema di decreto dà attuazione a due previsioni del decreto-legge: - ai sensi dell'articolo 1, comma 2, lettera a) , definisce modalità e criteri procedurali di individuazione di amministrazioni pubbliche, enti e operatori pubblici e privati inclusi nel perimetro di sicurezza nazionale cibernetica che saranno tenuti al rispetto delle misure e degli obblighi previsti dal decreto-legge; - ai sensi dell'articolo 1, comma 2, lettera b) , definisce i criteri con i quali i soggetti, una volta individuati ai fini dell'inclusione nel perimetro, predispongono e aggiornano l'elenco delle reti, dei sistemi informativi e dei servizi informatici di rispettiva pertinenza, comprensivo della relativa architettura e componentistica, rilevanti per le finalità della normativa introdotta dal decreto-legge. Lo schema si compone di 12 articoli, suddivisi in quattro Capi. L'articolo 1 reca un novero di definizioni utilizzate nel testo. L'articolo 2 definisce i soggetti che esercitano funzioni essenziali e i soggetti che esercitano servizi essenziali. Nello specifico, un soggetto esercita una funzione essenziale dello Stato laddove l'ordinamento gli attribuisca compiti rivolti ad assicurare la continuità dell'azione di Governo e degli organi costituzionali, la sicurezza interna ed esterna e la difesa dello Stato, le relazioni internazionali, la sicurezza e l'ordine pubblico, l'amministrazione della giustizia, la funzionalità dei sistemi economico e finanziario e dei trasporti. Un soggetto eroga invece un servizio essenziale laddove ponga in essere: attività strumentali all'esercizio di funzioni essenziali dello Stato; attività necessarie per l'esercizio e il godimento dei diritti fondamentali; attività necessarie per la continuità degli approvvigionamenti e l'efficienza delle infrastrutture e della logistica; attività di ricerca e attività relative alle realtà produttive nel campo dell'alta tecnologia e in ogni altro settore, ove presentino rilievo economico e sociale, anche ai fini della garanzia dell'autonomia strategica nazionale, della competitività e dello sviluppo del sistema economico nazionale. L'articolo 3 individua i settori di attività all'interno dei quali, in via prioritaria, saranno individuati i soggetti ai fini dell'inclusione nel perimetro di sicurezza nazionale cibernetica. Tali settori sono individuati in: settore governativo, difesa, spazio e aerospazio, energia, telecomunicazioni, economia e finanze, trasporti, servizi digitali, tecnologie critiche, enti previdenziali/lavoro. Sono altresì indicati i Ministeri competenti a individuare i soggetti, operanti in ciascun settore, inclusi nel perimetro. L'articolo 4 stabilisce le modalità e i criteri procedurali di individuazione dei soggetti inclusi nel perimetro, prevedendo una clausola di salvaguardia della specifica disciplina relativa agli organismi di informazione per la sicurezza di cui alla legge n. 124 del 2007. In particolare, si prevede che le amministrazioni indicate all'articolo 3, in relazione ai settori di attività di competenza, identifichino le funzioni e i servizi essenziali che dipendono da reti, sistemi informativi o servizi informatici, la cui interruzione o compromissione possa arrecare un pregiudizio per la sicurezza nazionale. Le medesime amministrazioni, inoltre, individuano le funzioni e i servizi essenziali per i quali, in caso di interruzione o compromissione, il pregiudizio per la sicurezza nazionale sia ritenuto massimo e le possibilità di mitigazione minime e li graduano sulla base di una scala decrescente. Individuano, infine, i soggetti che svolgono tali funzioni e servizi. L'articolo 5 disciplina il procedimento per la predisposizione, l'adozione e la successiva comunicazione agli iscritti dell'elenco dei soggetti inclusi nel perimetro. L'elencazione dei soggetti è contenuta in un decreto del Presidente del Consiglio dei ministri, di natura non regolamentare, adottato e aggiornato su proposta del Comitato interministeriale per la sicurezza della Repubblica (CISR). Nello specifico, si prevede che le amministrazioni, in relazione ai settori di attività di competenza, predispongano una lista di soggetti individuabili ai sensi dell'articolo 4 da sottoporre al CISR ai fini della formulazione della proposta al Presidente del Consiglio dei ministri. La comunicazione di avvenuta iscrizione nell'elenco dei soggetti inclusi nel perimetro è effettuata dal Dipartimento delle informazioni per la sicurezza (DIS). L'articolo 6 istituisce, a supporto del CISR tecnico, il Tavolo interministeriale per l'attuazione del perimetro di sicurezza nazionale cibernetica, presieduto da un vice direttore generale del DIS e composto da due rappresentanti di ciascuna amministrazione CISR, da un rappresentante per ciascuna delle due Agenzie (Agenzia informazioni e sicurezza esterna e Agenzia informazioni e sicurezza interna), nonché da due rappresentanti degli altri Ministeri di volta in volta interessati, che sono chiamati a partecipare alle riunioni, anche su loro richiesta motivata, in relazione agli argomenti da trattare. Il CISR tecnico si avvale del tavolo interministeriale per l'esercizio delle funzioni istruttorie in materia di predisposizione dell'elenco dei soggetti inclusi nel perimetro e per ogni altra attività attribuita dal decreto-legge n. 105 del 2019 al CISR o al CISR tecnico. L'articolo 7 definisce i criteri per la predisposizione e l'aggiornamento, da parte dei soggetti inclusi nel perimetro, degli elenchi delle reti, dei sistemi informativi e dei servizi informatici di rispettiva pertinenza. Al riguardo, i soggetti sono tenuti a valutare l'impatto di un incidente sulle reti, i sistemi informativi e i servizi informatici, in termini sia di limitazione dell'operatività, sia di compromissione della disponibilità, integrità o riservatezza dei dati e delle informazioni trattati.