[sommcomm]

SENATO DELLA REPUBBLICA Legislatura 18 Resoconto di Commissione LAVORI PUBBLICI, COMUNICAZIONI (8ª) 273 COLTORTI La seduta inizia alle ore 15,30. SULLA PUBBLICAZIONE DEI DOCUMENTI ACQUISITI Il PRESIDENTE comunica che la documentazione acquisita nel corso delle audizioni informali svolte nell'ambito dell'esame del disegno di legge n. 797 (Disposizioni in materia di libretto dell'infrastruttura) sarà resa disponibile per la pubblica consultazione sulla pagina web della Commissione. La Commissione prende atto. IN SEDE CONSULTIVA n. 388 - Adeguamento della normativa nazionale al regolamento sulla cibersicurezza Doc n. 388 Schema di decreto legislativo recante adeguamento della normativa nazionale alle disposizioni del Titolo III, "Quadro di certificazione della cibersicurezza", del regolamento (UE) 2019/881 relativo all'ENISA, l'Agenzia dell'Unione europea per la cibersicurezza, e alla certificazione della cibersicurezza per le tecnologie dell'informazione e della comunicazione e che abroga il regolamento (UE) n. 526/2013 ("regolamento sulla cibersicurezza") (Osservazioni alla 1 a Commissione. Esame e rinvio) La relatrice VONO ( FIBP-UDC ) illustra il provvedimento in titolo, volto ad adeguare la normativa nazionale alle disposizioni del Titolo III del regolamento europeo (UE) 2019/881, che hanno introdotto un quadro armonizzato in materia di certificazione della cibersicurezza dei prodotti, servizi e processi che utilizzano tecnologie dell'informazione e della comunicazione (TIC), al fine di ridurre la frammentazione del mercato interno, di facilitare il riconoscimento reciproco dei certificati di cibersicurezza tra gli Stati membri e di aumentare il livello di affidabilità per il consumatore, dal punto di vista della sicurezza informatica, dei prodotti e dei servizi che utilizzano tecnologie dell'informazione e della comunicazione. Come evidenziato nella relazione illustrativa, le novità introdotte nella normativa europea cominceranno a produrre i primi effetti successivamente all'adozione - mediante gli atti di esecuzione della Commissione europea previsti dall'articolo 49, paragrafo 7, del citato regolamento (UE) 2019/881 - di sistemi europei di certificazione della cibersicurezza elaborati per specifici ambiti, ai quali dovranno essere adeguati i sistemi di certificazione nazionale eventualmente esistenti. In particolare, la relazione segnala che sono in corso di elaborazione i sistemi di certificazione della cibersicurezza relativi ai servizi cloud , alle reti 5G e alle certificazioni basate sullo standard "Criteri comuni" e che, per i prossimi anni, si prevede l'adozione di sistemi di certificazione specifici anche per i dispositivi IoT ( Internet delle cose) e per gli IACS (Sistemi di automazione industriale e controllo). L'attuazione del quadro europeo implica in ogni caso che i singoli Stati membri procedano ad adeguare i rispettivi ordinamenti a talune delle disposizioni contenute nel Titolo III del regolamento, non immediatamente applicabili. Si tratta in particolare, delle disposizioni che disciplinano l'individuazione di un'Autorità nazionale di certificazione della cibersicurezza, l'attività degli organismi per la valutazione della conformità e l'apparato sanzionatorio. In attuazione della delega specificamente contenuta nell'articolo 18 della legge n. 53 del 2021 (legge di delegazione europea 2019-2020) è stato dunque predisposto lo schema di decreto legislativo in esame. Il Capo I (articoli 1-3) definisce l'oggetto e l'ambito di applicazione della normativa introdotta, disciplina il trattamento dei dati personali e chiarisce le definizioni utilizzate. Nel Capo II (articoli 4-9), l'articolo 4 conferma la designazione, quale autorità nazionale di certificazione della cibersicurezza, dell'Agenzia per la cibersicurezza nazionale, come già previsto dal decreto-legge n. 82 del 2021 che ha trasferito all'Agenzia le funzioni in materia di certificazione di sicurezza cibernetica precedentemente attribuite al Ministero dello sviluppo economico. Le disposizioni ora introdotte stabiliscono inoltre che, con proprio provvedimento, l'Agenzia proceda a definire l'organizzazione e le procedure per lo svolgimento dei nuovi compiti, assicurando tra l'altro che le attività relative al rilascio dei certificati europei di cibersicurezza siano rigorosamente separate dalle attività di vigilanza. L'articolo 5 disciplina l'attività di vigilanza del mercato in ambito nazionale svolta dall'Agenzia. Si prevede che, ai fini della corretta applicazione delle regole previste dai sistemi europei di certificazione della cibersicurezza, l'Agenzia vigili sui soggetti titolari di certificati di cibersicurezza, sui fornitori e fabbricanti che emettono le dichiarazioni UE di conformità e sugli organismi di valutazione della conformità. Nel caso di certificati non conformi, è disciplinato il potere dell'Agenzia di revocare il certificato o di chiederne la riconduzione a conformità. L'articolo 6 riguarda le modalità per il rilascio dei certificati di cibersicurezza con livello di affidabilità elevato, emessi dall'Agenzia tramite l'Organismo di Certificazione della Sicurezza Informatica, nonché dei certificati con livello di affidabilità sostanziale o di base, che possono essere rilasciati anche dagli organismi di valutazione della conformità accreditati dall'Organismo nazionale di accreditamento. Viene chiarito che la certificazione della cibersicurezza è volontaria, a meno che non sia diversamente specificato dalla normativa europea, dal diritto nazionale o da una regolamentazione tecnica adottata dall'Agenzia previa consultazione dei portatori di interesse. L'articolo 7 disciplina le modalità di rilascio e gestione delle dichiarazioni UE di conformità da parte dei fabbricanti o fornitori, finalizzate a dimostrare il rispetto dei requisiti tecnici previsti da un sistema di certificazione per il livello di affidabilità di base. Anche in questo caso si sottolinea il carattere volontario della dichiarazione di conformità, salvo che sia diversamente specificato. L'articolo 8 riguarda i compiti dell'Organismo nazionale di accreditamento e degli organismi di valutazione della conformità accreditati. Disciplina inoltre il ricorso, da parte dell'Agenzia, a laboratori di prova e a esperti come supporto per le attività di vigilanza e di rilascio dei certificati di cibersicurezza. L'articolo 9 autorizza l'Agenzia a svolgere attività di ricerca, formazione e sperimentazione nel campo della certificazione della cibersicurezza. Nel Capo III (articoli 10-12), l'articolo 10 definisce il nuovo quadro sanzionatorio, individuando nell'Agenzia il soggetto competente ad irrogare le sanzioni nel caso di violazioni del regolamento europeo e dei sistemi europei di certificazione della cibersicurezza. Vengono stabiliti i limiti minimi e massimi delle sanzioni amministrative pecuniarie da applicare in relazione alle varie tipologie di violazioni commesse dai soggetti tenuti al rispetto delle norme in materia di certificazione di cibersicurezza (organismi di valutazione della conformità, fabbricanti e fornitori), mentre la definizione dei relativi criteri di graduazione è rinviata ad un successivo provvedimento dell'Agenzia.