[normattiva_dump]

Art. 12 Organizzazione 1. L'Agenzia, nei limiti stabiliti dall'articolo 6, comma 1, del decreto-legge, e fatto salvo quanto previsto dall'articolo 17, si articola nei seguenti servizi: a) Gabinetto; b) Autorità e sanzioni; c) Certificazione e vigilanza; d) Operazioni; e) Programmi industriali, tecnologici, di ricerca e formazione; f) Risorse umane e strumentali; g) Strategie e cooperazione. 2. Nell'ambito delle competenze e delle funzioni che sono attribuite per legge all'Agenzia e tenuto conto degli indirizzi che saranno progressivamente definiti dal Direttore generale: a) il Gabinetto assicura, a supporto del Direttore generale, il coordinamento tra i diversi Servizi e articolazioni dell'Agenzia e il raccordo tra le relative attività, e svolge funzioni a valenza generale. In particolare, per tali ultime funzioni, operando in stretto raccordo con i Servizi e avvalendosi del relativo supporto: 1) assicura le funzioni di gestione dei flussi documentali, raccolta e canalizzazione di notizie, conoscenze ed esperienze, gestione del protocollo informatico e degli archivi dati, nonché di eventi suscettibili di immediato superiore apprezzamento; 2) assicura il supporto necessario ai fini della tutela della riservatezza dei dati personali; 3) assolve agli obblighi di informazione e comunicazione al Parlamento e al Comitato parlamentare per la sicurezza della Repubblica (COPASIR) di cui all'articolo 30 della legge 3 agosto 2007, n. 124; 4) cura e promuove, anche attraverso il costante monitoraggio dell'attività parlamentare e di Governo, l'espressione di pareri non vincolanti su rilevanti iniziative legislative o regolamentari, ovvero ne propone l'adozione, al fine della definizione e del mantenimento di un quadro giuridico nazionale aggiornato e coerente nel dominio della cybersicurezza, tenendo anche conto degli orientamenti e degli sviluppi in ambito internazionale; 5) sulla base delle attività di competenza del Nucleo per la cybersicurezza, cura le attività di cui all'articolo 7, comma 1, lettera l), del decreto-legge; 6) supporta il Nucleo per la cybersicurezza, fermo restando quanto previsto dalla lettera d), numero 5); 7) cura le collaborazioni istituzionali con altri organi dello Stato e in generale con le altre amministrazioni, ivi compreso il Garante per la protezione dei dati personali e le altre Autorità indipendenti, le Forze armate e di polizia e gli altri enti pubblici; 8) svolge studi e analisi su rilevanti iniziative, politiche e strategie in materia di cybersicurezza, laddove necessari per informare e supportare i processi decisionali dell'Agenzia; b) il Servizio autorità e sanzioni assicura lo svolgimento della funzione di regolamentazione e la connessa attività sanzionatoria attribuite all'Agenzia dalla normativa vigente. A tal fine, in particolare: 1) cura gli adempimenti delle disposizioni del decreto legislativo NIS, con particolare riferimento a quanto previsto in materia di identificazione degli operatori di servizi essenziali e fornitori di servizi digitali e gestione dei rispettivi elenchi, determinazione delle soglie di incidenti, definizione delle misure di sicurezza, raccordo con le autorità di settore, presidenza del Comitato tecnico di raccordo; 2) cura gli adempimenti delle disposizioni del decreto-legge perimetro; 3) cura la definizione delle misure di sicurezza e delle soglie di significatività degli incidenti riguardanti le reti pubbliche di comunicazione o servizi di comunicazione elettronica accessibili al pubblico, ai sensi del Codice delle comunicazioni elettroniche; 4) cura l'attuazione degli articoli 51 e 71 del Codice dell'amministrazione digitale di cui al decreto legislativo 7 marzo 2005, n. 82, con particolare riferimento alla previsione di linee guida contenenti regole tecniche di cybersicurezza della pubblica amministrazione; 5) stabilisce i livelli minimi di sicurezza, capacità elaborativa, risparmio energetico e affidabilità delle infrastrutture digitali per la pubblica amministrazione; 6) provvede all'irrogazione delle sanzioni in caso di inadempimento degli obblighi stabiliti dalle normative vigenti in materia di cybersicurezza di competenza dell'Agenzia, garantendo la necessaria partecipazione procedimentale degli interessati ed una adeguata terzietà rispetto all'articolazione a cui spettano compiti ispettivi; 7) cura il contenzioso dell'Agenzia, con particolare riguardo a quello connesso ai procedimenti sanzionatori, assicurando il supporto all'Avvocatura dello Stato; c) il Servizio Certificazione e vigilanza sovrintende ai processi di certificazione, qualificazione e valutazione, nonché cura l'attività ispettiva e di verifica attribuiti all'Agenzia dalla normativa vigente. A tal fine, in particolare: 1) cura le attività svolte dall'Agenzia in materia di certificazione di sicurezza cibernetica; 2) cura le attività dell'Agenzia quale CVCN, anche ai sensi del decreto-legge perimetro e del decreto-legge 15 marzo 2012, n. 21, convertito, con modificazioni, dalla legge 11 maggio 2012, n. 56; 3) cura e svolge l'attività ispettiva e di verifica di competenza dell'Agenzia concernente gli adempimenti di cybersicurezza nei confronti dei soggetti pubblici e privati; 4) cura le attività dell'Agenzia volte and assicurare l'attuazione del regolamento (UE) n. 2019/881 e, in particolare, garantisce che l'Agenzia assolva al ruolo di autorità nazionale di certificazione in materia di cybersicurezza, ai sensi dell'articolo 58 del regolamento (UE) n. 2019/881, e partecipi ai lavori del Gruppo europeo per la certificazione della cybersicurezza, ai sensi dell'articolo 62 del regolamento (UE) n. 2019/881; 5) è responsabile della promozione e dello svolgimento delle attività volte alla qualificazione dei servizi cloud per la pubblica amministrazione; 6) cura e promuove le attività volte allo sviluppo di algoritmi proprietari e alla valorizzazione della crittografia come strumento di cybersicurezza; d) il Servizio Operazioni contribuisce alla preparazione, prevenzione, gestione e risposta a eventi cibernetici. Nell'ambito del Servizio Operazioni è collocato il CSIRT Italia. Il Servizio Operazioni, a tal fine, in particolare: 1) assicura il funzionamento del CSIRT Italia sulla base dei compiti che sono ad esso attribuiti per legge, tra i quali il monitoraggio e l'analisi dei rischi e delle minacce cyber a livello nazionale, l'emissione di preallarmi, allerte, annunci e la divulgazione di rilevanti informazioni agli operatori interessati, la ricezione di notifiche obbligatorie e volontarie di incidenti cyber, l'analisi degli incidenti e la definizione di modalità di intervento e risposta; 2) cura lo sviluppo e il mantenimento di capacità nazionali di prevenzione, monitoraggio, rilevamento, analisi e risposta, per prevenire e gestire gli incidenti di sicurezza informatica e gli attacchi informatici, anche attraverso il CSIRT Italia; 3) è responsabile per le attività inerenti alla preparazione, prevenzione, gestione e risposta a eventi cibernetici di natura critica, supportando le attività volte al più celere ripristino della situazione ante-evento da parte dei soggetti interessati;