[sommcomm]

SENATO DELLA REPUBBLICA Legislatura 18 Resoconto di Commissione ISTRUZIONE PUBBLICA, BENI CULTURALI (7ª) 252 NENCINI La seduta inizia alle ore 15,05. IN SEDE CONSULTIVA dl 82/2021 cybersicurezza DDL 2336 Conversione in legge, con modificazioni, del decreto-legge 14 giugno 2021, n. 82, recante disposizioni urgenti in materia di cybersicurezza, definizione dell'architettura nazionale di cybersicurezza e istituzione dell'Agenzia per la cybersicurezza nazionale, (Parere alla 1 a Commissione. Esame. Parere favorevole) Il relatore RAMPI ( PD ) illustra, per le parti di competenza, il provvedimento in titolo, che reca misure urgenti in materia di cybersicurezza ed è diretto a rafforzare la protezione delle infrastrutture strategiche del Paese dagli attacchi cyber , che rappresentano una crescente minaccia a livello internazionale. Ricorda che la sicurezza cibernetica del Paese costituisce uno degli obiettivi del Piano nazionale di ripresa e resilienza (PNRR): la cybersicurezza è infatti uno dei sette investimenti programmati nell'ambito della Digitalizzazione della pubblica amministrazione, che è il primo asse di intervento della componente 1 («Digitalizzazione, innovazione e sicurezza nella PA»), a sua volta compresa nella Missione 1 («Digitalizzazione, innovazione, competitività, cultura e turismo»). Dà quindi conto degli investimenti previsti, diretti alla creazione e al rafforzamento delle infrastrutture preposte alla protezione cibernetica del Paese. Gli articoli da 1 a 4 del decreto-legge in esame definiscono il sistema nazionale di sicurezza cibernetica, che ha al suo vertice il Presidente del Consiglio dei ministri, cui è attribuita l'alta direzione e la responsabilità generale delle «politiche di cybersicurezza» e cui spetta l'adozione della relativa strategia nazionale, oltre che la nomina e la revoca del direttore generale e del vicedirettore generale della costituenda Agenzia per la cybersicurezza nazionale. Presso la Presidenza del Consiglio dei ministri è poi istituito il Comitato interministeriale per la cybersicurezza (CIC), organismo con funzioni di consulenza, proposta e vigilanza in materia di politiche di cybersicurezza, composto dal Presidente del Consiglio, dall'Autorità delegata, ove istituita, e da nove ministri, tra cui il Ministro dell'università e della ricerca. L'articolo 5 istituisce l'Agenzia per la cybersicurezza nazionale a tutela degli interessi nazionali in tale ambito, anche ai fini della tutela della sicurezza nazionale nello spazio cibernetico. L'articolo 6 disciplina l'organizzazione dell'Agenzia, che è composta dal direttore generale, con competenze gestionali, e il collegio dei revisori dei conti, organo di controllo interno. Il direttore dell'Agenzia è nominato dal Presidente del Consiglio dei ministri nell'ambito delle seguenti categorie, fra cui professori universitari di ruolo. Le funzioni dell'Agenzia sono disciplinate dall'articolo 7. Sul punto, segnala che l'Agenzia persegue obiettivi di eccellenza, supporta negli ambiti di competenza, mediante il coinvolgimento del sistema dell'università e della ricerca, nonché del sistema produttivo nazionali, lo sviluppo di competenze e capacità industriali, tecnologiche e scientifiche. A seguito di una modifica introdotta in prima lettura, a supporto di alcune delle funzioni dell'Agenzia, presso quest'ultima è istituito un Comitato tecnico-scientifico, con compiti di consulenza e di proposta, presieduto dal direttore generale e composto da altro personale della stessa Agenzia e da qualificati rappresentanti dell'industria, degli enti di ricerca, dell'accademia e delle associazioni del settore della sicurezza, designati con decreto del Presidente del Consiglio dei ministri. Ai sensi dell'articolo 8 presso l'Agenzia è costituito, in via permanente, il Nucleo per la cybersicurezza, a supporto del Presidente del Consiglio dei ministri per gli aspetti relativi alla prevenzione e preparazione ad eventuali situazioni di crisi e per l'attivazione delle procedure di allertamento. Del Nucleo fanno parte, oltre al direttore generale dell'Agenzia o dal vice direttore generale da lui designato con funzione di presidente, tra gli altri, un rappresentante del Ministero dell'università e della ricerca. In base agli argomenti delle riunioni possono anche essere chiamati a partecipare anche rappresentanti di università o di enti e istituti di ricerca. L'articolo 12 riguarda la disciplina del personale dell'Agenzia, che può avvalersi di un contingente di esperti, non superiore a cinquanta unità, composto da personale proveniente da pubbliche amministrazioni, con esclusione del personale delle istituzioni scolastiche. In caso di assunzione di professori universitari di ruolo o di ricercatori universitari confermati, è previsto che si applichino le disposizioni di cui all'articolo 12 del DPR n. 382 del 1980, che disciplina l'autorizzazione ai professori universitari chiamati alla direzione di istituti e laboratori extrauniversitari di ricerca. Si apre la discussione generale. La senatrice SAPONARA ( L-SP-PSd'Az ) fa presente che, al di là dei limitati aspetti di competenza della Commissione, il tema della cybersicurezza riveste un ruolo di rilevante importanza per il Paese. Nell'osservare che l'impianto del provvedimento ruota intorno alla costituzione dell'Agenzia per la cybersicurezza, facente capo alla Presidenza del Consiglio dei ministri, plaude alla disposizione, contenuta nell'articolo 14, che prevede il coinvolgimento del Parlamento sull'attività svolta dall'Agenzia medesima: al riguardo, ritiene che il Parlamento debba svolgere un effettivo ruolo di controllo. Auspica inoltre che siano evitate sovrapposizioni di compiti e di ruoli con altri organismi già preposti alla sicurezza delle reti e dei sistemi informativi. Anche alla luce delle recenti notizie di attacchi informatici avvenuti al server della Regione Lazio, ritiene che l'Agenzia debba interloquire con enti territoriali, università, enti pubblici, nonché con i privati e le PMI. Da ultimo, si dichiara d'accordo con la proposta dell'Accademia della Crusca di italianizzare il termine «cybersicurezza» in «cibersicurezza». Il senatore CANGINI ( FIBP-UDC ) si associa alla senatrice Saponara nel ritenere di grande rilievo il provvedimento in esame, anche alla luce della manifesta inadeguatezza tecnologica a difendere dati sensibili dimostrata da server istituzionali, come testimoniato purtroppo dalla vicenda che ha colpito quello della Regione Lazio. Giudica necessari controlli ferrei da parte dei servizi e delle Agenzie all'uopo costituite sull'uso dei dati da parte dei server, considerato che l'uso pervasivo dei dispositivi digitali fa sì che l'insieme di dati di ogni singolo individuo sia spesso racchiuso in file facilmente esposti a furti e soggetti al rischio di usi impropri. Anche in merito all'utilizzo delle intercettazioni telefoniche, le cui registrazioni sono affidate a società private, occorre a suo giudizio una riflessione. Non essendoci ulteriori richieste di intervento, il PRESIDENTE dichiara chiusa la discussione generale e cede la parola al relatore la formulazione della sua proposta di parere.