[ddlpres]

disciplina dei compiti del CVCN nell'ambito dell'approvvigionamento ICT destinato a reti, sistemi e servizi rilevanti; semplificazione della procedura di notifica di incidente per i soggetti (OSE, FSD e operatori « Telco ») che siano ad un tempo inclusi nel perimetro e sottoposti agli obblighi stabiliti dal decreto legislativo 18 maggio 2018, n. 65, o dal codice di cui al decreto legislativo 1° agosto 2003, n. 259, prevedendo che le segnalazioni effettuate secondo la presente disciplina valgano anche quale adempimento degli analoghi obblighi previsti dai suddetti ambiti normativi; istituzione di un sistema di vigilanza e controllo sul rispetto degli obblighi introdotti – prevedendo che AgID e MiSE svolgano attività di ispezione e verifica e impartiscano, ove necessario, le opportune prescrizioni – nonché di un articolato sistema sanzionatorio per i casi di violazione, nella forma della sanzione penale e amministrativa pecuniaria nonché della misura interdittiva a ricoprire incarichi societari nel settore ICT, prevedendone altresì, per i dipendenti pubblici, la valutazione sotto i profili della responsabilità disciplinare e amministrativo-contabile. Una specifica disciplina in tema di ispezioni e verifiche è stata prevista per le reti, i sistemi e i servizi rilevanti connessi alla funzione di prevenzione e repressione dei reati, alla tutela dell'ordine e della sicurezza pubblica nonché per quelli connessi alla difesa e sicurezza militare dello Stato; svolgimento delle attività di ispezione e verifica, senza nuovi o maggiori oneri a carico della finanza pubblica, dalle strutture specializzate in tema di protezione di reti e sistemi nonché, per quanto riguarda la prevenzione e il contrasto del crimine informatico, delle Amministrazioni da cui dipendono le Forze di polizia e le Forze armate, che ne comunicano gli esiti all'AgID per i profili di competenza; previsione di un raccordo tra le autorità titolari delle attribuzioni di cui alla presente legge, il Dipartimento delle informazioni per la sicurezza (DIS) e l'organo del Ministero dell'interno per la sicurezza e la regolarità dei servizi di telecomunicazione, quale autorità di contrasto nell'esercizio delle attività di cui all'articolo 7- bis del decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n. 155. L'articolo 1 definisce finalità e ambito di applicazione del perimetro. Il comma 2 dell'articolo 1 demanda a un decreto del Presidente del Consiglio dei ministri, da adottare su proposta del CISR entro sei mesi dalla data di entrata in vigore della legge, l'individuazione dei soggetti rientranti nel perimetro – ferma restando, per gli organismi di informazione e sicurezza, la specifica disciplina di cui alla legge 3 agosto 2007, n. 124 – e dei criteri per la formazione degli elenchi delle reti, dei sistemi e dei servizi rilevanti. L'elaborazione di tali criteri è affidata al CISR-tecnico, organismo già esistente, di supporto del CISR, di cui all'articolo 5 della medesima legge n. 124 del 2007, che, allo scopo, adotterà i più idonei moduli organizzativi – integrato con la partecipazione di un rappresentante dell'AgID. Sul punto è stato, inoltre, stabilito che, all'interno del perimetro, le amministrazioni pubbliche e i soggetti di cui all'articolo 29 del CAD trasmettano tali elenchi all'AgID e che i soggetti privati li inviino al MiSE. AgID e MiSE, a loro volta, li inoltrano, in relazione alle attività di rispettiva competenza, al DIS e all'organo del Ministero dell'interno per la sicurezza e la regolarità dei servizi di telecomunicazione di cui all'articolo 7- bis del decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n. 155. Il comma 3 demanda a un decreto del Presidente del Consiglio dei ministri – da adottare su proposta del CISR entro dodici mesi dalla data di entrata in vigore della legge – la definizione, con la previsione di termini e modalità attuative: a) delle procedure per la notifica di incidenti, aventi impatto sulle reti, i sistemi e i servizi rilevanti, al CSIRT italiano, che le inoltra al DIS. Il Dipartimento ne assicura la successiva trasmissione all'organo del Ministero dell'interno per la sicurezza e la regolarità dei servizi di telecomunicazione di cui all'articolo 7- bis del decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n. 155, nonché all'AgID, se provenienti da un soggetto pubblico o di cui all'articolo 29 del CAD, ovvero al MiSE, se effettuate da un soggetto privato; b) delle misure volte a garantire un elevato livello di sicurezza delle reti, dei sistemi e dei servizi rilevanti, che devono essere rispettate dai soggetti inclusi nel perimetro. Al riguardo, viene disposto che all'elaborazione di tali misure provvedano, secondo gli ambiti di competenza delineati dal presente disegno di legge, il Ministero dello sviluppo economico e l'AgID, d'intesa con il Ministero della difesa, il Ministero dell'interno, il Ministero dell'economia e delle finanze e il Dipartimento delle informazioni per la sicurezza. Il comma 4 prevede che all'aggiornamento di quanto previsto dai decreti di cui ai commi 2 e 3 si provveda secondo le modalità di cui ai medesimi commi con cadenza almeno biennale. Il comma 5 demanda a un regolamento – da emanare ai sensi dell'articolo 17, comma 1, della legge 23 agosto 1988, n. 400, entro dodici mesi dalla data di entrata in vigore della legge – la definizione di procedure, modalità e termini con cui: a) i soggetti inclusi nel perimetro, per l'affidamento di forniture di beni, sistemi e servizi ICT destinati a essere impiegati sulle reti, sui sistemi e per l'espletamento dei servizi rilevanti, sono tenuti a darne comunicazione al CVCN che – entro trenta giorni – può imporre condizioni, quali una certificazione di sicurezza informatica, e test di hardware e software sulla base di una valutazione del rischio, anche in relazione all'ambito di impiego e in un'ottica di gradualità. In questo caso, i relativi bandi di gara o contratti devono essere integrati con clausole che subordinano l'affidamento della fornitura o del servizio al rispetto delle condizioni e all'esito favorevole dei test disposti dal CVCN. In proposito, sono state eccettuate le forniture necessarie per le attività di prevenzione, accertamento e repressione dei reati ed è stato previsto di demandare al decreto del Presidente della Repubblica attuativo la disciplina dei casi di deroga per le forniture cui sia indispensabile procedere in sede estera. Anche in tali casi, resta ferma la necessità di utilizzare reti, sistemi informativi e servizi informatici conformi ai livelli di sicurezza previsti dal perimetro, qualora non incompatibili con gli specifici impieghi cui essi sono destinati.