[sommcomm]

XXVII, n. 18 (Proposta di "Piano nazionale di ripresa e resilienza) che si sono svolte nelle riunioni dell'Ufficio di Presidenza del 2 e 4 marzo scorsi, nonché nella riunione dell'Ufficio di Presidenza odierna, alcuni dei soggetti invitati hanno depositato della documentazione, che sarà disponibile per la pubblica consultazione. La seduta termina alle ore 16,25. Allegato SCHEMA DI PARERE PROPOSTO DALLA RELATRICE SCHEMA DI PARERE PROPOSTO DALLA RELATRICE SULL'ATTO DEL GOVERNO N. 240 La Commissione, esaminato lo schema di decreto del Presidente del Consiglio dei ministri in titolo, considerato che lo schema di decreto in esame prevede una decorrenza immediata, alla sua entrata in vigore, degli obblighi di notifica, al CSIRT italiano, di uno degli incidenti individuati nelle tabelle di cui all'allegato A, secondo le procedure definite dall'art. 3 dello stesso schema di decreto, e che in caso di mancato adempimento di tali obblighi è prevista l'applicazione delle disposizioni sanzionatorie di cui all'art. 1, comma 9, del D.L. n. 105 del 2019; ritenuto opportuno prevedere, prima della vigenza degli obblighi di notifica dello schema di decreto in esame, anche in considerazione della particolare delicatezza dei relativi adempimenti, un periodo transitorio di sperimentazione nel corso del quale i soggetti inclusi nel perimetro possano anche ricevere opportuna assistenza per una corretta notifica degli incidenti; considerato che appare opportuno chiarire, nella formulazione della disposizione di cui all'art. 3 dello schema di decreto in esame, che i termini per gli obblighi di notifica degli incidenti, come pure evidenziato nella Relazione illustrativa, decorrono dal momento in cui i soggetti competenti, sulla base dei ruoli definiti in attuazione delle misure di sicurezza, abbiano avuto conoscenza che si sia verificata una delle tipologie di incidente individuate nelle tabelle di cui all'allegato A, attraverso le evidenze ottenute anche mediante l'uso di apposite tecnologie; ritenuto opportuno prevedere la possibilità, relativamente ad alcune tipologie di dati meno sensibili in relazione alle finalità del perimetro di sicurezza nazionale cibernetica, che i soggetti inclusi nel perimetro possano fare ricorso, con le dovute garanzie di sicurezza, ad infrastrutture fisiche e logiche, anche se esternalizzate, localizzate al di fuori del territorio nazionale, ma comunque all'interno dell'Unione europea, esprime parere favorevole con le seguenti osservazioni: 1) in relazione al sistema di notifica obbligatoria degli incidenti, disciplinato dall'articolo 3 dello schema di decreto, sarebbe opportuno prevederne l'entrata in vigore al termine di un periodo transitorio di sperimentazione, che dovrebbe avere una durata non inferiore ai sei mesi; 2) valuti il Governo di riformulare la disposizione di cui all'articolo 3, comma 3, lettere a) e b), nella parte in cui prevede che la notifica debba avvenire entro il termine, rispettivamente, di sei ore o di un'ora "dal momento in cui il soggetto incluso nel perimetro è venuto a conoscenza", al fine di chiarire che il termine per effettuare la notifica degli incidenti decorre da quando le persone competenti nell'ambito dell'organizzazione del soggetto incluso nel perimetro ne abbiano avuto conoscenza attraverso le evidenze ottenute anche mediante l'uso di apposite tecnologie; 3) sarebbe, infine, opportuno rivedere la formulazione della misura di sicurezza 3.3.1 (PR.DS-1), di cui all'allegato B allo schema di decreto in esame, al fine di prevedere che alcune tipologie di dati meno sensibili possano essere conservate, elaborate o estratte, con le dovute garanzie di sicurezza, anche mediante infrastrutture localizzate al di fuori del territorio nazionale, ma comunque all'interno del territorio dell'Unione europea. Allegato