[ddlpres]

– (Ridefinizione dei poteri speciali in materia di comunicazione elettronica a banda larga basati sulla tecnologia 5G e cloud ) La disposizione sostituisce l'articolo 1- bis del decreto-legge 15 marzo 2012, n. 21, convertito, con modificazioni, dalla legge 11 maggio 2012, n. 56, introduce una disciplina transitoria e abroga il comma 10 dell'articolo 16 del decreto-legge 14 giugno 2021, n. 82, convertito, con modificazioni, dalla legge 4 agosto 2021, n. 109. La riformulazione dell'articolo 1- bis è volta, da un lato, ad ampliare l'ambito applicativo degli attivi ivi compresi, non più limitati alle reti di telecomunicazione elettronica a banda larga con tecnologia 5G, ma estesi anche ad altri attivi, ivi inclusi quelli relativi alla tecnologia cloud , da dettagliare con normativa secondaria (comma 1). Dall'altro (comma 2), l'obbligo di notifica in capo alle imprese, e il conseguente vaglio governativo, concerne la programmazione annuale degli acquisti delle imprese medesime e non più il singolo contratto; la norma specifica i contenuti del piano annuale, rinviando ad eventuali ulteriori dettagli in sede di normazione secondaria. Il comma 3, in maniera non dissimile dal regime previgente, delinea la procedura e le tempistiche per addivenire all'approvazione del piano annuale. Si prevede inoltre che, salvo diversa previsione nel decreto di approvazione del piano, rimane ferma l'efficacia dei decreti del Presidente del Consiglio dei ministri già adottati alla data di entrata in vigore della norma in questione. Il comma 4 delinea, similmente al regime previgente, in ossequio ai princìpi di proporzionalità e adeguatezza, le possibilità di diversi provvedimenti di esercizio dei poteri speciali. Inoltre, l'approvazione del piano per un periodo limitato, con indicazione di un termine per l'eventuale sostituzione di determinati beni o servizi, o l'esercizio del potere di veto, qualora le prescrizioni o condizioni non risultino sufficienti ad assicurare la tutela dei citati interessi, tengono conto dei contenuti del piano notificato, dell'obsolescenza, del costo e dei tempi di sostituzione degli apparati e dell'esigenza di non rallentare lo sviluppo della tecnologia 5G o di altre tecnologie nel Paese. Il comma 5 disciplina il sistema di enforcement per la violazione degli obblighi previsti dalla normativa in questione. Il comma 6 individua la composizione del gruppo di coordinamento per l'esercizio dei poteri speciali inerenti alle reti di telecomunicazione elettronica a banda larga con tecnologia 5G, ai sistemi cloud e ad altri attivi di riferimento. Tale gruppo di coordinamento si avvale anche del Centro di valutazione e certificazione nazionale (CVCN), istituito presso l'Agenzia per la cybersicurezza nazionale, e delle articolazioni tecniche dei Ministeri dell'interno e della difesa, per le valutazioni tecniche della documentazione relativa al piano annuale e ai suoi eventuali aggiornamenti. Il comma 7 disciplina il monitoraggio, delineandone organizzazione, potestà e obblighi in capo all'impresa soggetta al monitoraggio. Il comma 9 prevede che con decreto del Presidente del Consiglio dei ministri, sentito il gruppo di coordinamento di cui al presente articolo, possono essere individuate misure di semplificazione delle modalità di notifica, dei termini e delle procedure relativi all'istruttoria ai fini dell'eventuale esercizio dei poteri di cui al presente articolo. Il comma 2 dell'articolo 28 prevede una disciplina transitoria. In particolare, in sede di prima applicazione, il piano di cui al comma 2 dell'articolo 1- bis include altresì l'informativa completa sui contratti o sugli accordi relativi ai servizi di comunicazione elettronica a banda larga basati sulla tecnologia 5G già autorizzati. Ferma l'efficacia dei decreti del Presidente del Consiglio dei ministri già adottati ai sensi dell'articolo 1- bis del decreto-legge n. 21 del 2012, i procedimenti in corso alla data di entrata in vigore del presente decreto sono dichiarati estinti dal predetto gruppo di coordinamento e il relativo esame è effettuato in sede di valutazione del piano annuale. Infine, il comma 3 abroga l'articolo 16, comma 10, del decreto-legge 14 giugno 2021, n. 82, convertito, con modificazioni, dalla legge 4 agosto 2021, n. 109. Capo II – CYBERSICUREZZA DELLE RETI, DEI SISTEMI INFORMATIVI E DEI SERVIZI INFORMATICI E APPROVVIGIONAMENTO DI MATERIE PRIME CRITICHE Art. 29. – (Rafforzamento della disciplina cyber ) L'evoluzione della situazione internazionale e del contesto geopolitico ha fatto emergere la necessità di rivalutare lo scenario di rischio tecnologico di prodotti e servizi di sicurezza informatica, che, per loro caratteristiche intrinseche e a prescindere dagli elevati livelli prestazionali, possono allo stesso tempo costituire un vettore di minaccia. In tale scenario, in conseguenza della crisi in Ucraina, anche il livello di rischio connesso all'utilizzo di tali tipologie di prodotti e servizi è mutato. Pertanto, al fine di prevenire pregiudizi alla sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle pubbliche amministrazioni, si è reso necessario e urgente intervenire affinché le stesse amministrazioni procedano tempestivamente all'avvio di un processo di diversificazione di talune tipologie di prodotti caratterizzate da un alto livello di pervasività sulle reti e dei sistemi in cui operano, con conseguente potenziale impatto sul rischio complessivo, assicurando la continuità dei servizi di sicurezza. In particolare, è previsto che le pubbliche amministrazioni procedano a tale diversificazione, acquisendo un ulteriore prodotto o servizio, laddove in uso, per ciascuna delle categorie individuate con circolare dell'Agenzia per la cybersicurezza nazionale. Si tratta nello specifico delle seguenti tipologie di prodotti o servizi: – sicurezza dei dispositivi ( endpoint security ), ivi compresi applicativi antivirus , antimalware ed « endpoint detection and response » (EDR). Si tratta di applicativi volti alla sicurezza dei dispositivi, delle postazioni di lavoro e dei server contro le minacce informatiche, tramite l'utilizzo di firme, euristiche, modelli comportamentali, eccetera; – « web application firewall » (WAF), prodotti necessari per ridurre il rischio di compromissione di reti e sistemi mediante lo sfruttamento di vulnerabilità su applicazioni web , attraverso l'analisi automatica e l'eventuale filtraggio delle richieste web . Al fine di salvaguardare da azioni di responsabilità per danno erariale, in ragione dell'acquisto di un ulteriore prodotto di sicurezza informatica, la disposizione prevede, poi, che dall'attuazione dei commi 1, 2 e 3 non possano derivare effetti che possano a loro volta costituire presupposto per l'azione di responsabilità di cui all'articolo 1 della legge 14 gennaio 1994, n. 20. Nell'attuale scenario conseguente alla crisi in Ucraina, si rende necessario e urgente procedere all'adeguamento delle disposizioni in materia di possibili determinazioni del Presidente del Consiglio dei ministri in presenza di rischi gravi e imminenti per la sicurezza nazionale connessi alla vulnerabilità di reti, sistemi informativi e servizi informatici.