[sommcomm]

SENATO DELLA REPUBBLICA Legislatura 18 Resoconto di Commissione DIFESA (4ª) 112 PINOTTI La seduta inizia alle ore 15. IN SEDE CONSULTIVA 2336 (Cybersicurezza) DDL 2336 Conversione in legge, con modificazioni, del decreto-legge 14 giugno 2021, n. 82, recante disposizioni urgenti in materia di cybersicurezza, definizione dell'architettura nazionale di cybersicurezza e istituzione dell'Agenzia per la cybersicurezza nazionale (Parere alla 1ª Commissione. Esame. Parere favorevole) La presidente PINOTTI ( PD ), relatrice, ricorda che il provvedimento è già inserito nel calendario dell'Assemblea per il pomeriggio di oggi, e che quindi l'esame da parte del Senato sarà inevitabilmente molto rapido. Ritiene tuttavia utile che la Commissione possa esaminare il testo ed esprimere il proprio parere, per l'importanza del tema, come dimostrano i fatti di queste ore relativi agli attacchi al sistema informatico della regione Lazio. Sottolinea infatti che il provvedimento è di grande rilievo e riguarda temi oggetto di un apposito affare assegnato (il numero 423), approfondito dalla Commissione difesa, anche attraverso un ciclo di audizioni, e conclusosi lo scorso aprile con l'approvazione all'unanimità di una Risoluzione (Documento XXIV n. 35), le cui proposte sono state in parte raccolte dal decreto-legge in esame. Evidenza che la nuova configurazione dell'istituenda Agenzia supera le perplessità sollevate in passato, perché viene assicurata la sua autonomia rispetto agli organismi preposti alla sicurezza della Repubblica (che pure restano ovviamente interlocutori essenziali), rendendo l'Agenzia un punto di riferimento per tutti gli attori istituzionali coinvolti nella gestione della sicurezza informatica del Paese. Sottolinea le significative risorse assegnate all'Agenzia, anche in termini di personale, per rendere più rapide le azioni di contrasto agli attacchi cyber . Apprezza la grande attenzione della normativa per i profili della prevenzione, della formazione diffusa e della sensibilizzazione degli utenti, temi che pure la Commissione difesa aveva molto sottolineato nella sua risoluzione. Rileva l'istituzione di un nuovo e dedicato Comitato interministeriale, che fin dalla sua composizione, segnala l'attenzione al tema della ricerca e della protezione delle infrastrutture. Il decreto-legge n. 82 del 2021, all'esame della Commissione per la sua conversione, composto da 19 articoli, ha per obiettivo quello di promuovere ulteriormente la sicurezza cibernetica e di fronteggiare i rischi e le minacce cyber per il nostro Paese, recando - fra le altre misure - la definizione dell'architettura nazionale di cybersicurezza attraverso l'istituzione del Comitato interministeriale per la cybersicurezza (CIC), dell'Agenzia per la cybersicurezza nazionale e del Nucleo per la cybersicurezza. Il fondamento alla base del decreto è che la cybersecurity rappresenti un elemento indefettibile per lo sviluppo dell'economia, rappresentando un fattore fondamentale per lo sviluppo e la crescita del Paese. Gli articoli da 1 a 4 definiscono il sistema nazionale di sicurezza cibernetica, che ha al suo vertice il Presidente del Consiglio dei ministri, cui è attribuita l'alta direzione e la responsabilità generale delle "politiche di cybersicurezza", e a cui spetta l'adozione della relativa strategia nazionale e  previa deliberazione del Consiglio dei ministri - la nomina e la revoca del direttore generale e del vice direttore generale della nuova Agenzia per la cybersicurezza nazionale, istituita dal successivo articolo 5. Il decreto prevede che di tali nomine siano preventivamente informati il COPASIR e le competenti Commissioni parlamentari (articolo 2). Il Presidente del Consiglio dei ministri può delegare all'Autorità delegata per il sistema di informazione per la sicurezza della Repubblica, ove istituita, le funzioni che non sono a lui attribuite in via esclusiva (articolo 3). Presso la Presidenza del Consiglio dei ministri è istituito il Comitato interministeriale per la cybersicurezza (CIC), organismo con funzioni di consulenza, proposta e vigilanza in materia di politiche di cibersicurezza (articolo 4), chiamato a proporre al Presidente del Consiglio gli indirizzi generali da perseguire nel quadro delle politiche di cybersicurezza nazionale, ad esercitare l'alta sorveglianza sull'attuazione della strategia nazionale in materia, a promuovere l'adozione delle iniziative per favorire la collaborazione, a livello nazionale e internazionale, tra i soggetti istituzionali e gli operatori privati interessati alla tematica, nonché ad esprimere il parere sul bilancio preventivo e sul bilancio consuntivo dell'Agenzia per la cybersicurezzanazionale. Il Comitato, presieduto dal Presidente del Consiglio, vede la partecipazione fra gli altri Ministri, anche del Ministro della difesa. Di rilievo è anche l'articolo 1 che, modificato anch'esso nel corso dell'esame presso la Camera dei deputati, reca un quadro delle definizioni utilizzate in tale ambito. Nello specifico, la "cybersicurezza", viene definita come l'insieme delle attività finalizzate alla tutela delle reti, sistemi informativi, servizi informatici e comunicazioni elettroniche per proteggerli dalle minacce informatiche, assicurando la disponibilità, la confidenzialità e l'integrità e garantendone la resilienza, anche ai fini della tutela della sicurezza nazionale e dell'interesse nazionale nello spazio cibernetico. Si rileva al riguardo come, sempre nel corso dell'esame da parte della Camera dei deputati, sia stata introdotta una modifica testuale (articolo 1, comma 1, lettera a) per fare salve le attribuzioni contenute nella legge n. 124 del 2007 di disciplina del Sistema di informazione per la sicurezza della Repubblica e gli obblighi derivanti da trattati internazionali in materia. Ulteriore definizione riguarda la "resilienza nazionale nello spazio cibernetico", intesa quale insieme delle attività volte a prevenire un pregiudizio alla sicurezza nazionale nei termini stabiliti dall'articolo 1, comma 1, lettera f) , del Regolamento in materia di perimetro di sicurezza nazionale cibernetica, di cui al decreto del Presidente del Consiglio dei ministri 30 luglio 2020, n. 131. Vengono inoltre richiamati i termini relativi al "decreto-legge perimetro", ovvero al decreto-legge n. 105 del 2019, recante disposizioni urgenti in materia di perimetro di sicurezza nazionale cibernetica e di disciplina dei poteri speciali nei settori di rilevanza strategica, al "decreto legislativo NIS", ovvero al decreto legislativo n. 65 del 2018, di attuazione della direttiva (UE) 2016/1148 sulle misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell'Unione - Direttiva NIS ( Network and Information Security ), ed infine alla "strategia nazionale di cybersicurezza", come la strategia di cui all'articolo 6 del già richiamato decreto legislativo NIS.