[sommcomm]

SENATO DELLA REPUBBLICA Legislatura 18 Resoconto di Commissione INDUSTRIA, COMMERCIO, TURISMO (10ª) 171 GIROTTO La seduta inizia alle ore 15,35. SUI DISEGNI DI LEGGE NN. 2021 E 2335 IN MATERIA DI CONTRASTO ALLE DELOCALIZZAZIONI Il PRESIDENTE comunica che, come convenuto nell'Ufficio di presidenza integrato dai rappresentanti dei Gruppi della settimana scorsa, la Commissione avvierà, non appena possibile, la discussione dei disegni di legge nn. 2021 (Misure per il contrasto alle delocalizzazioni e la salvaguardia dei livelli occupazionali), a prima firma del senatore Ruotolo, e 2335 (Misure di contrasto alle delocalizzazioni produttive), a prima firma del senatore Romagnoli. L'Ufficio di presidenza ha convenuto di iniziare la discussione congiuntamente, non appena sarà assegnato anche il disegno di legge n. 2335, che dei due non è ancora assegnato. Pertanto, potrebbe essere integrato l'ordine del giorno anche nella settimana corrente. La Commissione prende atto. IN SEDE CONSULTIVA Conversione in legge, con modificazioni, del decreto-legge 14 giugno 2021, n. 82, recante disposizioni urgenti in materia di cybersicurezza, definizione dell'architettura nazionale di cybersicurezza e istituzione dell'Agenzia per la cybersicurezza nazionale DDL 2336 Conversione in legge, con modificazioni, del decreto-legge 14 giugno 2021, n. 82, recante disposizioni urgenti in materia di cybersicurezza, definizione dell'architettura nazionale di cybersicurezza e istituzione dell'Agenzia per la cybersicurezza nazionale (Parere alla 1ª Commissione. Esame. Parere favorevole con raccomandazione) Il presidente GIROTTO ( M5S ), in luogo del relatore Vaccaro, ricorda preliminarmente che, a livello di Unione europea, la direttiva (UE) 2016/1148 del 6 luglio 2016 reca misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell'Unione (cosiddetta direttiva NIS - Network and Information Security ). La direttiva è stata recepita nell'ordinamento italiano con il decreto legislativo n. 65 del 18 maggio 2018, che detta quindi la cornice legislativa delle misure da adottare per la sicurezza delle reti e dei sistemi informativi ed individua i soggetti competenti per dare attuazione agli obblighi previsti dalla direttiva NIS. Successivamente, il decreto-legge n. 105 del 2019 è stato adottato al fine di assicurare un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, nonché degli enti e degli operatori nazionali, pubblici e privati, attraverso l'istituzione di un perimetro di sicurezza nazionale cibernetica e la previsione di misure volte a garantire i necessari standard di sicurezza rivolti a minimizzare i rischi. Rammenta altresì che la sicurezza cibernetica costituisce uno degli interventi previsti dal Piano nazionale di ripresa e resilienza (PNRR), che la cybersecurity è uno dei sette investimenti della Digitalizzazione della pubblica amministrazione, primo asse di intervento della componente 1 "Digitalizzazione, innovazione e sicurezza nella PA", compresa nella Missione 1 "Digitalizzazione, innovazione, competitività, cultura e turismo". Passando all'articolato, illustra l'articolo 1 che reca le definizioni ricorrenti nel testo. Segnala che - in base all'articolo 2 - il Presidente del Consiglio dei ministri è l'autorità al vertice dell'architettura della sicurezza cibernetica, in quanto è a lui attribuita in via esclusiva l'alta direzione e la responsabilità generale delle politiche di cybersicurezza. Inoltre, al Presidente del Consiglio spetta, sempre in via esclusiva, l'adozione della strategia nazionale di cybersicurezza, la quale individua: gli obiettivi e le priorità in materia di sicurezza delle reti e dei sistemi informativi; il quadro di governance per conseguire gli obiettivi e le priorità, inclusi i ruoli e le responsabilità degli organismi pubblici e degli altri attori pertinenti; le misure di preparazione, risposta e recupero, inclusa la collaborazione tra settore pubblico e settore privato; i programmi di formazione, sensibilizzazione e istruzione relativi alla strategia in materia di sicurezza delle reti e dei sistemi informativi; i piani di ricerca e sviluppo; un piano di valutazione dei rischi; l'elenco dei vari attori coinvolti nell'attuazione. L'articolo 3 - prosegue il relatore - prevede che il Presidente del Consiglio dei ministri possa delegare all'Autorità delegata per il sistema di informazione per la sicurezza della Repubblica (di cui all'articolo 3 della legge n. 124 del 2007), ove istituita, le funzioni che non sono a lui attribuite in via esclusiva. Pertanto, all'Autorità non possono essere delegate, in particolare, le funzioni di alta direzione e responsabilità generale in materia di cybersicurezza, di adozione della strategia nazionale di cybersicurezza e di nomina dei vertici dell'Agenzia. Puntualizza in proposito che il Governo attualmente in carica ha provveduto ad istituire l'Autorità delegata con la nomina del prefetto Franco Gabrielli a Sottosegretario di Stato alla Presidenza del Consiglio; detta Autorità delegata, in relazione alle funzioni delegate, partecipa alle riunioni del Comitato interministeriale per la transizione digitale di cui all'articolo 8 del decreto-legge 1° marzo 2021, n. 22. Dopo essersi soffermato sull'articolo 4, che istituisce, presso la Presidenza del Consiglio dei ministri, il "Comitato interministeriale per la cybersicurezza" (CIC), organismo con funzioni di consulenza, proposta e vigilanza in materia di politiche di cybersicurezza, ne descrive la composizione, segnalando che ad esso partecipano - per quanto di interesse - anche il Ministro dello sviluppo economico e il Ministro della transizione ecologica. Nel descrivere brevemente gli articoli 5, 6, 11 e 12, che istituiscono e disciplinano l'"Agenzia per la cybersicurezza nazionale" a tutela degli interessi nazionali nel campo della cybersicurezza, fa presente che il regolamento sul personale dell'Agenzia definisce le modalità di applicazione del Codice della proprietà industriale ai prodotti dell'ingegno e alle invenzioni dei dipendenti dell'Agenzia. Dà indi conto dell'articolo 7, che determina le funzioni dell'Agenzia per la cybersicurezza nazionale quale Autorità nazionale di certificazione della cybersicurezza. Dopo aver precisato che la certificazione di prodotti, servizi, processi delle tecnologie dell'informazione è oggetto di disciplina europea, rileva che l'Agenzia assume tutte le funzioni in materia di certificazione di sicurezza cibernetica già attribuite al Ministero dello sviluppo economico, comprese quelle relative all'accertamento delle violazioni ed all'irrogazione delle sanzioni. Essa assume inoltre tutte le funzioni in materia di cybersicurezza già attribuite dalle disposizioni vigenti al Ministero dello sviluppo economico. Ne segue che siano traslate all'Agenzia le competenze di questo Ministero relative, tra l'altro, al perimetro di sicurezza nazionale cibernetica, alla sicurezza ed integrità delle informazioni elettroniche, alla sicurezza delle reti e dei sistemi informativi.