[ddlpres]

Conversione in legge, con modificazioni, del decreto-legge 21 settembre 2019, n. 105, recante disposizioni urgenti in materia di perimetro di sicurezza nazionale cibernetica. Allegato MODIFICAZIONI APPORTATE IN SEDE DI CONVERSIONE AL DECRETO-LEGGE 21 SETTEMBRE 2019, N. 105 All'articolo 1: al comma 1, le parole: « nazionali, pubblici e privati » sono sostituite dalle seguenti: « pubblici e privati aventi una sede nel territorio nazionale » ; al comma 2: alla lettera a): all'alinea, le parole: « nazionali, pubblici e privati di cui al comma 1 » sono sostituite dalle seguenti: « pubblici e privati di cui al comma 1 aventi una sede nel territorio nazionale » ; al numero 2), le parole: « dal cui malfunzionamento, interruzione, anche parziali, ovvero utilizzo improprio possa derivare un pregiudizio per la sicurezza nazionale » sono soppresse; dopo il numero 2) è aggiunto il seguente: « 2- bis ) l'individuazione avviene sulla base di un criterio di gradualità, tenendo conto dell'entità del pregiudizio per la sicurezza nazionale che, in relazione alle specificità dei diversi settori di attività, può derivare dal malfunzionamento, dall'interruzione, anche parziali, ovvero dall'utilizzo improprio delle reti, dei sistemi informativi e dei servizi informatici predetti » ; alla lettera b), le parole: « i criteri in base ai quali » sono sostituite dalle seguenti: « , sulla base di un'analisi del rischio e di un criterio di gradualità che tenga conto delle specificità dei diversi settori di attività, i criteri con i quali » e dopo le parole: « architettura e componentistica » sono inserite le seguenti: « , fermo restando che, per le reti, i sistemi informativi e i servizi informatici attinenti alla gestione delle informazioni classificate, si applica quanto previsto dal regolamento adottato ai sensi dell'articolo 4, comma 3, lettera l) , della legge 3 agosto 2007, n. 124 » ; al comma 3: all'alinea, la parola: « ne » è soppressa; alla lettera b) : all'alinea, dopo le parole: « e dei servizi informatici di cui al comma 2, lettera b) » sono inserite le seguenti: « , tenendo conto degli standard definiti a livello internazionale e dell'Unione europea » ; il numero 1) è sostituito dal seguente: « 1) alla struttura organizzativa preposta alla gestione della sicurezza »; dopo il numero 1) è inserito il seguente: « 1- bis ) alle politiche di sicurezza e alla gestione del rischio » ; al numero 2), le parole: « la sostituzione di » sono sostituite dalle seguenti: « interventi su » ; al numero 8) sono aggiunte, in fine, le seguenti parole: « , di standard e di eventuali limiti » ; dopo il comma 4 è inserito il seguente: « 4- bis . Gli schemi dei decreti di cui ai commi 2 e 3 sono trasmessi alla Camera dei deputati e al Senato della Repubblica per l'espressione del parere delle Commissioni parlamentari competenti per materia, che si pronunciano nel termine di trenta giorni, decorso il quale il decreto può essere comunque adottato » ; al comma 5, le parole: « commi 2, 3 e 4 » sono sostituite dalle seguenti: « commi 2, 3, 4 e 4- bis » ; al comma 6: alla lettera a), le parole da: « fatti salvi i casi » fino a: « disposti dal CVCN » sono sostituite dalle seguenti: « i soggetti di cui al comma 2, lettera a) , ovvero le centrali di committenza alle quali essi fanno ricorso ai sensi dell'articolo 1, comma 512, della legge 28 dicembre 2015, n. 208, che intendano procedere all'affidamento di forniture di beni, sistemi e servizi ICT destinati a essere impiegati sulle reti, sui sistemi informativi e per l'espletamento dei servizi informatici di cui al comma 2, lettera b) , appartenenti a categorie individuate con decreto del Presidente del Consiglio dei ministri, da adottare entro dieci mesi dalla data di entrata in vigore della legge di conversione del presente decreto, sulla base di criteri di natura tecnica, ne danno comunicazione al Centro di valutazione e certificazione nazionale (CVCN), istituito presso il Ministero dello sviluppo economico; la comunicazione comprende anche la valutazione del rischio associato all'oggetto della fornitura, anche in relazione all'ambito di impiego. Entro quarantacinque giorni dalla ricezione della comunicazione, prorogabili di quindici giorni, una sola volta, in caso di particolare complessità, il CVCN può effettuare verifiche preliminari ed eventualmente imporre condizioni e test di hardware e software secondo un approccio gradualmente crescente nelle verifiche di sicurezza. Decorso il termine di cui al precedente periodo senza che il CVCN si sia pronunciato, i soggetti che hanno effettuato la comunicazione possono proseguire nella procedura di affidamento. In caso di imposizione di condizioni e test di hardware e software i relativi bandi di gara e contratti sono integrati con clausole che condizionano, sospensivamente ovvero risolutivamente, il contratto al rispetto delle condizioni e all'esito favorevole dei test disposti dal CVCN , anche in collaborazione con i predetti soggetti, di cui al comma 2, lettera a) . I test devono essere conclusi nel termine di sessanta giorni. Decorso il termine di cui al precedente periodo, i soggetti che hanno effettuato la comunicazione possono proseguire nella procedura di affidamento. Non sono oggetto di comunicazione gli affidamenti delle forniture di beni, sistemi e servizi ICT destinate alle reti, ai sistemi informativi e ai servizi informatici per lo svolgimento delle attività di prevenzione, accertamento e repressione dei reati e i casi di deroga stabiliti dal medesimo regolamento con riguardo alle forniture di beni, sistemi e servizi ICT per le quali sia indispensabile procedere in sede estera » e le parole: « sono utilizzati reti, sistemi informativi e servizi informatici » sono sostituite dalle seguenti: « sono utilizzati beni, sistemi e servizi ICT » ; alla lettera c), dopo le parole: « sicurezza pubblica » sono inserite le seguenti: « , alla difesa civile » e dopo le parole: « protezione di reti e sistemi, nonché » sono inserite le seguenti: « , nei casi in cui siano espressamente previste dalla legge, »; al comma 7, lettera c) , dopo le parole: « schemi di certificazione cibernetica » sono inserite le seguenti: « , tenendo conto degli standard definiti a livello internazionale e dell'Unione europea » ; al comma 9, lettera e) , le parole: « e l'espletamento » sono sostituite dalle seguenti: « e per l'espletamento » ; al comma 10, le parole da: « In caso di inottemperanza » fino a: « di cui al comma 9, lettera e) , la » sono sostituite dalle seguenti: « L'impiego di prodotti e di servizi sulle reti, sui sistemi informativi e per l'espletamento dei servizi informatici di cui al comma 2, lettera b ), in assenza della comunicazione o del superamento dei test o in violazione delle condizioni di cui al comma 6, lettera a ), comporta, oltre alle sanzioni di cui al comma 9, lettere d) ed e) , l'applicazione della » ; al comma 11, la parola: « cinque » è sostituita dalla seguente: « tre » e le parole: