Document Type: sommcomm
Token Count: $#tokens

SENATO DELLA REPUBBLICA Legislatura 18 Resoconto di Commissione DIFESA (4ª) 112 PINOTTI La seduta inizia alle ore 15. IN SEDE CONSULTIVA 2336 (Cybersicurezza) DDL 2336 Conversione in legge, con modificazioni, del decreto-legge 14 giugno 2021, n. 82, recante disposizioni urgenti in materia di cybersicurezza, definizione dell'architettura nazionale di cybersicurezza e istituzione dell'Agenzia per la cybersicurezza nazionale (Parere alla 1ª Commissione. Esame. Parere favorevole) La presidente PINOTTI ( PD ), relatrice, ricorda che il provvedimento è già inserito nel calendario dell'Assemblea per il pomeriggio di oggi, e che quindi l'esame da parte del Senato sarà inevitabilmente molto rapido. Ritiene tuttavia utile che la Commissione possa esaminare il testo ed esprimere il proprio parere, per l'importanza del tema, come dimostrano i fatti di queste ore relativi agli attacchi al sistema informatico della regione Lazio. Sottolinea infatti che il provvedimento è di grande rilievo e riguarda temi oggetto di un apposito affare assegnato (il numero 423), approfondito dalla Commissione difesa, anche attraverso un ciclo di audizioni, e conclusosi lo scorso aprile con l'approvazione all'unanimità di una Risoluzione (Documento XXIV n. 35), le cui proposte sono state in parte raccolte dal decreto-legge in esame. Evidenza che la nuova configurazione dell'istituenda Agenzia supera le perplessità sollevate in passato, perché viene assicurata la sua autonomia rispetto agli organismi preposti alla sicurezza della Repubblica (che pure restano ovviamente interlocutori essenziali), rendendo l'Agenzia un punto di riferimento per tutti gli attori istituzionali coinvolti nella gestione della sicurezza informatica del Paese. Sottolinea le significative risorse assegnate all'Agenzia, anche in termini di personale, per rendere più rapide le azioni di contrasto agli attacchi cyber . Apprezza la grande attenzione della normativa per i profili della prevenzione, della formazione diffusa e della sensibilizzazione degli utenti, temi che pure la Commissione difesa aveva molto sottolineato nella sua risoluzione. Rileva l'istituzione di un nuovo e dedicato Comitato interministeriale, che fin dalla sua composizione, segnala l'attenzione al tema della ricerca e della protezione delle infrastrutture. Il decreto-legge n. 82 del 2021, all'esame della Commissione per la sua conversione, composto da 19 articoli, ha per obiettivo quello di promuovere ulteriormente la sicurezza cibernetica e di fronteggiare i rischi e le minacce cyber per il nostro Paese, recando - fra le altre misure - la definizione dell'architettura nazionale di cybersicurezza attraverso l'istituzione del Comitato interministeriale per la cybersicurezza (CIC), dell'Agenzia per la cybersicurezza nazionale e del Nucleo per la cybersicurezza. Il fondamento alla base del decreto è che la cybersecurity rappresenti un elemento indefettibile per lo sviluppo dell'economia, rappresentando un fattore fondamentale per lo sviluppo e la crescita del Paese. Gli articoli da 1 a 4 definiscono il sistema nazionale di sicurezza cibernetica, che ha al suo vertice il Presidente del Consiglio dei ministri, cui è attribuita l'alta direzione e la responsabilità generale delle "politiche di cybersicurezza", e a cui spetta l'adozione della relativa strategia nazionale e  previa deliberazione del Consiglio dei ministri - la nomina e la revoca del direttore generale e del vice direttore generale della nuova Agenzia per la cybersicurezza nazionale, istituita dal successivo articolo 5. Il decreto prevede che di tali nomine siano preventivamente informati il COPASIR e le competenti Commissioni parlamentari (articolo 2). Il Presidente del Consiglio dei ministri può delegare all'Autorità delegata per il sistema di informazione per la sicurezza della Repubblica, ove istituita, le funzioni che non sono a lui attribuite in via esclusiva (articolo 3). Presso la Presidenza del Consiglio dei ministri è istituito il Comitato interministeriale per la cybersicurezza (CIC), organismo con funzioni di consulenza, proposta e vigilanza in materia di politiche di cibersicurezza (articolo 4), chiamato a proporre al Presidente del Consiglio gli indirizzi generali da perseguire nel quadro delle politiche di cybersicurezza nazionale, ad esercitare l'alta sorveglianza sull'attuazione della strategia nazionale in materia, a promuovere l'adozione delle iniziative per favorire la collaborazione, a livello nazionale e internazionale, tra i soggetti istituzionali e gli operatori privati interessati alla tematica, nonché ad esprimere il parere sul bilancio preventivo e sul bilancio consuntivo dell'Agenzia per la cybersicurezzanazionale. Il Comitato, presieduto dal Presidente del Consiglio, vede la partecipazione fra gli altri Ministri, anche del Ministro della difesa. Di rilievo è anche l'articolo 1 che, modificato anch'esso nel corso dell'esame presso la Camera dei deputati, reca un quadro delle definizioni utilizzate in tale ambito. Nello specifico, la "cybersicurezza", viene definita come l'insieme delle attività finalizzate alla tutela delle reti, sistemi informativi, servizi informatici e comunicazioni elettroniche per proteggerli dalle minacce informatiche, assicurando la disponibilità, la confidenzialità e l'integrità e garantendone la resilienza, anche ai fini della tutela della sicurezza nazionale e dell'interesse nazionale nello spazio cibernetico. Si rileva al riguardo come, sempre nel corso dell'esame da parte della Camera dei deputati, sia stata introdotta una modifica testuale (articolo 1, comma 1, lettera a) per fare salve le attribuzioni contenute nella legge n. 124 del 2007 di disciplina del Sistema di informazione per la sicurezza della Repubblica e gli obblighi derivanti da trattati internazionali in materia. Ulteriore definizione riguarda la "resilienza nazionale nello spazio cibernetico", intesa quale insieme delle attività volte a prevenire un pregiudizio alla sicurezza nazionale nei termini stabiliti dall'articolo 1, comma 1, lettera f) , del Regolamento in materia di perimetro di sicurezza nazionale cibernetica, di cui al decreto del Presidente del Consiglio dei ministri 30 luglio 2020, n. 131. Vengono inoltre richiamati i termini relativi al "decreto-legge perimetro", ovvero al decreto-legge n. 105 del 2019, recante disposizioni urgenti in materia di perimetro di sicurezza nazionale cibernetica e di disciplina dei poteri speciali nei settori di rilevanza strategica, al "decreto legislativo NIS", ovvero al decreto legislativo n. 65 del 2018, di attuazione della direttiva (UE) 2016/1148 sulle misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell'Unione - Direttiva NIS ( Network and Information Security ), ed infine alla "strategia nazionale di cybersicurezza", come la strategia di cui all'articolo 6 del già richiamato decreto legislativo NIS. L'articolo 5 del decreto in esame istituisce quindi, come già anticipato, l'Agenzia per la cybersicurezza nazionale a tutela degli interessi nazionali nel campo della cybersicurezza, strumentale all'esercizio delle competenze che il decreto-legge assegna al Presidente del Consiglio dei ministri e all'Autorità delegata. Per lo svolgimento dei suoi compiti istituzionali, è previsto che l'Agenzia possa richiedere, anche sulla base di apposite convenzioni e nel rispetto degli ambiti di rispettiva competenza, la collaborazione di altri organi dello Stato, di altre amministrazioni, delle Forze di polizia o di enti pubblici, nonché delle Forze armate (articolo 5, comma 5). Il decreto stabilisce che l'Agenzia ha personalità giuridica di diritto pubblico ed è dotata di autonomia regolamentare, amministrativa, patrimoniale, organizzativa, contabile e finanziaria. In relazione al personale dell'Agenzia, viene precisato come essa possa impiegare anche personale del Ministero della difesa, secondo termini e modalità che dovranno essere definiti con un apposito decreto del Presidente del Consiglio dei ministri (articolo 12, comma 2, lettera e) . Quale Autorità nazionale per la cybersicurezza, l'Agenzia è chiamata a predisporre la strategia nazionale di cybersicurezza, a svolgere ogni necessaria attività di supporto al funzionamento del Nucleo per la cybersicurezza, oltre che a svolgere il ruolo di Autorità nazionale competente e punto di contatto unico in materia di sicurezza delle reti e dei sistemi informativi, e di Autorità nazionale di certificazione della cibersicurezza (articolo 7). Inoltre l'Agenzia assume tutte le funzioni in materia di cybersicurezza già attribuite dalle disposizioni vigenti al Ministero dello sviluppo economico, partecipa (per gli ambiti di competenza) al gruppo di coordinamento istituito dalle disposizioni attuative del decreto-legge n. 21 del 2012, recante norme in materia di poteri speciali sugli assetti societari nei settori della difesa e della sicurezza nazionale, nonché per le attività di rilevanza strategica nei settori dell'energia, dei trasporti e delle comunicazioni. Viene altresì previsto che essa assuma le funzioni in materia di perimetro di sicurezza nazionale cibernetica attribuite alla Presidenza del Consiglio, nonché tutte le funzioni già attribuite al Dipartimento delle informazioni per la sicurezza, che provveda alle attività necessarie per l'attuazione e il controllo dell'esecuzione dei provvedimenti assunti dal Presidente del Consiglio dei ministri in materia, e inoltre che assuma tutte le funzioni in materia di cibersicurezza già attribuite all'Agenzia per l'Italia digitale. A seguito di modifiche introdotte dalla Camera dei deputati, è stato stabilito che l'Agenzia debba assumere iniziative idonee a valorizzare la crittografia come strumento di cibersicurezza, e a provvedere alla qualificazione dei servizi cloud per la pubblica amministrazione. Ulteriori funzioni attribuite all'Agenzia riguardano lo sviluppo delle capacità nazionali di prevenzione, monitoraggio, rilevamento, analisi e risposta, per prevenire e gestire gli incidenti di sicurezza informatica e gli attacchi informatici, e la partecipazione alle esercitazioni nazionali e internazionali in ordine alla simulazione di eventi di natura cibernetica, onde incrementare la "resilienza" del Paese. L'Agenzia, inoltre, cura e promuove la definizione ed il mantenimento di un quadro giuridico nazionale aggiornato e coerente nel dominio della cibersicurezza, tenendo anche conto degli orientamenti e degli sviluppi in ambito internazionale, coordina, "in raccordo" con il Ministero degli affari esteri e della cooperazione internazionale, la cooperazione internazionale nella materia della cibersicurezza, sostiene (negli ambiti di competenza) lo sviluppo di competenze e capacità industriali, tecnologiche e scientifiche (in particolare assicurando il necessario raccordo con le altre amministrazioni a cui la legge attribuisca competenze in materia di cibersicurezza - in particolare, secondo una modifica introdotta in sede referente, con il Ministero della difesa per gli aspetti inerenti alla ricerca militare), stipula accordi bilaterali e multilaterali - anche mediante il coinvolgimento del settore privato e industriale - con istituzioni, enti e organismi di altri Paesi, per la partecipazione dell'Italia a programmi di cibersicurezza (ferme restando le competenze in materia del Ministero degli affari esteri e della cooperazione internazionale). Infine l'Agenzia promuove, sostiene e coordina la partecipazione italiana a progetti e iniziative dell'Unione europea ed internazionali, anche mediante il coinvolgimento di soggetti pubblici e privati nazionali (in particolare, assicurando il raccordo con il Ministero della difesa per gli aspetti inerenti a progetti e iniziative in collaborazione con la NATO e con l'Agenzia Europea per la Difesa), svolge attività di comunicazione e promozione della "consapevolezza" in materia di cibersicurezza "al fine di contribuire allo sviluppo di una cultura nazionale in materia, promuove la formazione, la crescita tecnico-professionale e la qualificazione delle risorse umane nel campo della cibersicurezza, può costituire e partecipare a partenariati pubblico-privato sul territorio nazionale, nonché (previa autorizzazione del Presidente del Consiglio) a consorzi, fondazioni o società con soggetti pubblici e privati, italiani e stranieri, ed è Centro nazionale di coordinamento, ai sensi del Regolamento (UE) 2021/887 che istituisce il Centro europeo di competenza per la cibersicurezza nell'ambito industriale, tecnologico e della ricerca e la rete dei centri nazionali di coordinamento. L'articolo 8, modificato dalla Camera dei deputati, dispone la costituzione, presso l'Agenzia, di un Nucleo per la cybersicurezza, previsto in via permanente quale supporto del Presidente del Consiglio riguardo alle tematiche della cybersicurezza, per gli aspetti relativi alla prevenzione e preparazione ad eventuali situazioni di crisi e per l'attivazione delle procedure di allertamento. Presieduto dal direttore generale dell'Agenzia, è composto - fra gli altri - dal Consigliere militare del Presidente del Consiglio, da un rappresentante del Dipartimento dell'informazione per la sicurezza (DIS), da un rappresentante dell'Agenzia informazioni e sicurezza esterna (AISE), da un rappresentante dell'Agenzia informazioni e sicurezza interna (AISI), da un rappresentante di ciascuno dei Ministeri rappresentati nel CIC, da un rappresentante del Dipartimento della protezione civile della Presidenza del Consiglio e, limitatamente alla trattazione di informazioni classificate, da un rappresentante dell'Ufficio centrale per la segretezza. Le funzioni del Nucleo per la cybersicurezza sono disciplinate dall'articolo 9 e consistono nella formulazione di proposte di iniziative in materia di cybersicurezza, nella promozione della programmazione e la pianificazione operativa, da parte delle amministrazioni e degli operatori privati interessati, della risposta a situazioni di crisi cibernetica, nonché nella promozione e nel coordinamento dello svolgimento di esercitazioni interministeriali - o la partecipazione italiana ad esercitazioni internazionali - di simulazione di eventi di natura cibernetica. Il Nucleo, inoltre, valuta e promuove procedure di condivisione delle informazioni, anche con gli operatori privati interessati, ed in raccordo con le amministrazioni competenti, per specifici profili della cybersicurezza, ai fini della diffusione di allarmi relativi ad eventi cibernetici e per la gestione delle crisi. Il Nucleo è chiamato altresì ad acquisire le comunicazioni circa i casi di violazioni o tentativi di violazione della sicurezza o di perdita dell'integrità significativi ai fini del corretto funzionamento delle reti e del servizi dagli organismi di informazione DIS, AISE e AISI, dalle Forze di polizia, dall'organo del Ministero dell'interno per la sicurezza e per la regolarità dei servizi di telecomunicazione, dalle strutture del Ministero della difesa, dalle altre amministrazioni che compongono il Nucleo, a ricevere dal CSIRT Italia le notifiche di incidente, a valutare se le violazioni della sicurezza o i casi di perdita dell'integrità significativi o gli incidenti assumano dimensioni, intensità o natura tali da non poter essere fronteggiati dalle singole amministrazioni competenti in via ordinaria e da richiedere l'assunzione di decisioni coordinate in sede interministeriale. Il successivo articolo 10 disciplina le procedure da seguire per la gestione delle crisi che coinvolgono aspetti di cibersicurezza, prevedendo che, nelle situazioni di crisi che coinvolgono aspetti di cibersicurezza - nei casi in cui il Presidente del Consiglio dei ministri convochi il Comitato interministeriale per la sicurezza della Repubblica (CISR) in materia di gestione delle predette situazioni di crisi  siano chiamati a partecipare alle sedute del CISR il Ministro delegato per l'innovazione tecnologica e la transizione digitale e il direttore generale dell'Agenzia. È altresì previsto che in situazioni di crisi di natura cibernetica il Nucleo sia integrato, in ragione della necessità, con un rappresentante, rispettivamente del Ministero della salute, del Ministero dell'interno-Dipartimento dei Vigili del fuoco, del soccorso pubblico e della difesa civile, in rappresentanza anche della Commissione interministeriale tecnica di difesa civile. L'articolo 13 prevede che i trattamenti di dati personali per finalità di sicurezza nazionale, in applicazione del decreto-legge in esame, siano effettuati ai sensi del Codice in materia di protezione dei dati personali, con particolare riguardo alle specifiche disposizioni previste per finalità di difesa o di sicurezza dello Stato. Al Parlamento deve essere trasmessa, ai sensi dell'articolo 14, comma 1, una relazione entro il 30 aprile di ogni anno sull'attività svolta dall'Agenzia nell'anno precedente in materia di cybersicurezza nazionale. In sede di prima applicazione, tuttavia, è previsto che la relazione venga trasmessa alle Camere entro il 30 novembre 2022. Gli articoli 15 e 16 recano alcune modifiche puntuali alla legislazione vigente conseguenti al nuovo assetto dell'architettura nazionale di cybersicurezza disposta dal decreto in esame. Da ultimo, gli articoli 17, 18 e 19 recano, rispettivamente, disposizioni transitorie e finali, quelle relative alla copertura finanziaria e l'entrata in vigore del decreto. Propone infine di formulare un parere favorevole sul provvedimento in esame. Non essendovi richieste di intervento in sede di discussione generale, interviene il sottosegretario MULE' che, nell'esprimere apprezzamento per il lavoro svolto dalla Presidente nella sua veste di relatrice, sottolinea l'apporto offerto dal Ministero della difesa e dalle strutture ad esso afferenti al provvedimento in esame. Sottolinea come, anche grazie agli interventi migliorativi apportati al testo durante l'esame svolto presso la Camera dei deputati, il Ministero della difesa potrà svolgere un ruolo qualificante sul piano della formazione, fino alla creazione di un centro di alta formazione, attivo non solo nei confronti delle strutture della pubblica amministrazione, ma anche in relazione ai soggetti privati operanti nell'ambito del perimetro di sicurezza nazionale cibernetica. Il senatore CANDURA ( L-SP-PSd'Az ), nel ringraziare la Presidente per il lavoro svolto in tale materia, anche in relazione al richiamato affare assegnato, interviene per dichiarazioni di voto, preannunciando il voto favorevole del suo gruppo di appartenenza. Lamenta tuttavia il poco tempo a disposizione del Senato per l'esame del provvedimento. Il senatore VATTUONE ( PD ) preannuncia il voto favorevole del suo gruppo, osservando come la materia, e non solo in ragione dei recentissimi accadimenti, rappresenti una questione di assoluta centralità per la sicurezza del Paese. Anche la senatrice MINUTO ( FIBP-UDC ) preannuncia il voto favorevole del suo gruppo di appartenenza. La senatrice DONNO ( M5S ) evidenzia che la tematica della cybersecurity costituisce un tema di grande rilievo, molto opportunamente trattato dalla Commissione nell'ambito dell'affare assegnato richiamato dalla Presidente, come dimostrano molte delle questioni che stanno emergendo in queste ore in relazione agli attacchi condotti contro il sistema informatico della regione Lazio. Preannuncia il voto favorevole del suo gruppo di appartenenza. La senatrice RAUTI ( FdI ), pur condividendo molti dei contenuti del provvedimento in via di conversione, preannuncia l'astensione del suo gruppo di appartenenza, in ragione del fatto che esso appare tardivo e attuato troppo a ridosso di emergenze già in atto. Non essendovi altre richieste di intervento, la PRESIDENTE pone in votazione la proposta di parere favorevole formulata sul provvedimento in esame, che, previa verifica della presenza del prescritto numero legale, risulta approvata. IN SEDE REFERENTE Libertà sindacale delle Forze armate DDL 1893 Norme sull'esercizio della libertà sindacale del personale delle Forze armate e delle Forze di polizia a ordinamento militare, nonché delega al Governo per il coordinamento normativo DDL 1542 Norme sulla libertà di associazione sindacale dei militari e delega al Governo per il coordinamento normativo DDL 1950 Norme sull'esercizio della libertà sindacale del personale delle Forze armate e delle Forze di polizia ad ordinamento militare, nonché delega al Governo per il coordinamento normativo (Seguito dell'esame congiunto e rinvio) Prosegue l'esame congiunto, sospeso nella seduta del 23 marzo. La presidente PINOTTI ricorda come da diversi mesi la Commissione sia in attesa del parere della Commissione bilancio, non solo sugli emendamenti e subemendamenti presentati in Commissione, ma anche sul testo del provvedimento, nonostante questo sia stato già approvato dalla Camera. Le diverse amministrazioni interessate - i Ministeri della difesa, dell'economia e delle finanze e della pubblica amministrazione - hanno in corso una interlocuzione per chiarire alcuni aspetti e per assicurare la necessaria copertura finanziaria del provvedimento, sia pure piuttosto ridotta. Segnala, peraltro, come dovrebbero esservi notizie positive in proposito. Dà quindi la parola relatore. Il relatore VATTUONE ( PD ) informa come l'interlocuzione in atto fra le amministrazioni richiamate stia arrivando ad una positiva conclusione. A tal riguardo, presenta tre nuovi emendamenti al testo, eminentemente di carattere tecnico, per chiarire alcuni punti del provvedimento. Tali emendamenti individuano un'area negoziale per il personale dirigente, precisano che il riparto delle prerogative sindacali tra le costituende associazioni professionali non possa prescindere dalla preventiva determinazione, in sede di contrattazione, dei relativi contingenti massimi e della copertura degli oneri conseguenti. La PRESIDENTE precisa che i tre nuovi emendamenti presentati dal relatore, pubblicati in allegato, saranno inviati alla Commissione bilancio, per i relativi pareri. Nel raccogliere le indicazioni emerse a tal riguardo fra i Commissari, propone di fissare a giovedì 5 agosto, alle ore 12, il termine per la presentazione di eventuali subemendamenti ai nuovi emendamenti del relatore. La Commissione conviene. Il seguito dell'esame congiunto è quindi rinviato. La seduta termina alle ore 15,30. Allegato