[sommcomm]

entro sei ore dal momento in cui il soggetto incluso nel perimetro è venuto a conoscenza di uno degli incidenti individuati nella tabella 1 ed entro un'ora nel caso di incidenti individuati nella tabella 2. È previsto che il soggetto debba provvedere a una tempestiva integrazione della notifica, qualora venga a conoscenza di nuovi elementi significativi di natura tecnica o comunque correlati all'incidente oggetto di notifica, salvo che l'autorità giudiziaria procedente non abbia previamente comunicato la sussistenza di specifiche esigenze di segretezza investigativa. È prevista anche la possibilità per il CSIRT italiano di richiedere al soggetto notificante sia elementi di aggiornamento sull'incidente in corso, sia, nella fase di risoluzione dell'incidente, la trasmissione di una relazione tecnica che illustri gli elementi significativi dell'incidente, tra cui le conseguenze dell'impatto sui beni ICT e le azioni per porvi rimedio (anche in questo caso, salvo esigenze di segretezza investigativa). Si stabilisce, inoltre, che la notifica di incidente valga anche ai fini dell'adempimento dell'obbligo di notifica previsto dal codice delle comunicazioni elettroniche e dal decreto legislativo n. 65 del 2018 che dà attuazione alla direttiva europea NIS ( Network and information security ). L'articolo 4 disciplina la possibilità, per i soggetti inclusi nel perimetro, di notificare incidenti non rientranti tra quelli per i quali è prevista la notifica obbligatoria. Le notifiche volontarie saranno trattate dal CSIRT in subordine a quelle obbligatorie e a condizione che tale trattamento non costituisca un onere sproporzionato o eccessivo. L'articolo 5 riguarda la trasmissione delle notifiche ricevute dal CSIRT italiano ai diversi soggetti istituzionali destinati a riceverle. Le modalità di inoltro potranno essere concordate mediante apposite intese con ciascuna delle amministrazioni interessate. L'articolo 6 reca disposizioni di carattere ricognitivo. Specifica, per chiarezza normativa ed in linea con quanto già disciplinato dal decreto-legge n. 105 del 2019, che in relazione agli incidenti riguardanti le reti, i sistemi informativi e i servizi informatici attinenti alla gestione delle informazioni classificate non sussiste l'obbligo di notifica previsto dal presente atto. Gli articoli da 7 a 10 rientrano nel Capo III dedicato alle misure di sicurezza. L'articolo 7 rinvia all'allegato B al presente schema per l'individuazione delle misure di sicurezza. Precisa, inoltre, che la corrispondenza tra le misure di sicurezza e gli ambiti elencati all'articolo 1, comma 3, lettera b) , del decreto-legge n. 105 del 2019 è indicata nella tabella in appendice n. 1 dell'allegato B. L'articolo 8 riguarda le modalità e i termini di adozione delle misure di sicurezza. In particolare, sono previsti due differenti termini di adozione delle misure: sei e ventiquattro mesi, a seconda che si tratti di misure, rispettivamente, di più immediata attuazione (categoria A dell'appendice n. 2 dell'allegato B), ovvero per la cui implementazione siano necessari interventi progettuali e programmatici più impegnativi (categoria B dell'appendice n. 2 dell'allegato B). Uguali termini sono previsti per l'adeguamento delle misure di sicurezza adottate e per la comunicazione al DIS delle relative modalità. Si prevede, infine, che il DIS renda disponibili le comunicazioni così ricevute ai soggetti istituzionali deputati allo svolgimento delle attività di ispezione e verifica. L'articolo 9 individua, nell'allegato C allo schema, misure minime di sicurezza di natura tecnica e organizzativa per la tutela delle informazioni relative all'elenco dei soggetti inclusi nel perimetro, all'elenco dei beni ICT, alle notifiche di incidente e alla documentazione relativa all'adozione delle misure di sicurezza. L'articolo 10 specifica che alle reti, ai sistemi informativi e ai servizi informatici attinenti alla gestione delle informazioni classificate, esclusi dall'elenco dei beni ICT, non si applicano le misure di sicurezza previste dal presente decreto. Il Capo IV, infine, si compone del solo articolo 11 che reca la clausola di invarianza finanziaria. Il seguito dell'esame è quindi rinviato. La seduta termina alle ore 15,30.