Document Type: sommcomm
Token Count: $#tokens

SENATO DELLA REPUBBLICA Legislatura 18 Resoconto di Commissione LAVORI PUBBLICI, COMUNICAZIONI (8ª) 273 COLTORTI La seduta inizia alle ore 15,30. SULLA PUBBLICAZIONE DEI DOCUMENTI ACQUISITI Il PRESIDENTE comunica che la documentazione acquisita nel corso delle audizioni informali svolte nell'ambito dell'esame del disegno di legge n. 797 (Disposizioni in materia di libretto dell'infrastruttura) sarà resa disponibile per la pubblica consultazione sulla pagina web della Commissione. La Commissione prende atto. IN SEDE CONSULTIVA n. 388 - Adeguamento della normativa nazionale al regolamento sulla cibersicurezza Doc n. 388 Schema di decreto legislativo recante adeguamento della normativa nazionale alle disposizioni del Titolo III, "Quadro di certificazione della cibersicurezza", del regolamento (UE) 2019/881 relativo all'ENISA, l'Agenzia dell'Unione europea per la cibersicurezza, e alla certificazione della cibersicurezza per le tecnologie dell'informazione e della comunicazione e che abroga il regolamento (UE) n. 526/2013 ("regolamento sulla cibersicurezza") (Osservazioni alla 1 a Commissione. Esame e rinvio) La relatrice VONO ( FIBP-UDC ) illustra il provvedimento in titolo, volto ad adeguare la normativa nazionale alle disposizioni del Titolo III del regolamento europeo (UE) 2019/881, che hanno introdotto un quadro armonizzato in materia di certificazione della cibersicurezza dei prodotti, servizi e processi che utilizzano tecnologie dell'informazione e della comunicazione (TIC), al fine di ridurre la frammentazione del mercato interno, di facilitare il riconoscimento reciproco dei certificati di cibersicurezza tra gli Stati membri e di aumentare il livello di affidabilità per il consumatore, dal punto di vista della sicurezza informatica, dei prodotti e dei servizi che utilizzano tecnologie dell'informazione e della comunicazione. Come evidenziato nella relazione illustrativa, le novità introdotte nella normativa europea cominceranno a produrre i primi effetti successivamente all'adozione - mediante gli atti di esecuzione della Commissione europea previsti dall'articolo 49, paragrafo 7, del citato regolamento (UE) 2019/881 - di sistemi europei di certificazione della cibersicurezza elaborati per specifici ambiti, ai quali dovranno essere adeguati i sistemi di certificazione nazionale eventualmente esistenti. In particolare, la relazione segnala che sono in corso di elaborazione i sistemi di certificazione della cibersicurezza relativi ai servizi cloud , alle reti 5G e alle certificazioni basate sullo standard "Criteri comuni" e che, per i prossimi anni, si prevede l'adozione di sistemi di certificazione specifici anche per i dispositivi IoT ( Internet delle cose) e per gli IACS (Sistemi di automazione industriale e controllo). L'attuazione del quadro europeo implica in ogni caso che i singoli Stati membri procedano ad adeguare i rispettivi ordinamenti a talune delle disposizioni contenute nel Titolo III del regolamento, non immediatamente applicabili. Si tratta in particolare, delle disposizioni che disciplinano l'individuazione di un'Autorità nazionale di certificazione della cibersicurezza, l'attività degli organismi per la valutazione della conformità e l'apparato sanzionatorio. In attuazione della delega specificamente contenuta nell'articolo 18 della legge n. 53 del 2021 (legge di delegazione europea 2019-2020) è stato dunque predisposto lo schema di decreto legislativo in esame. Il Capo I (articoli 1-3) definisce l'oggetto e l'ambito di applicazione della normativa introdotta, disciplina il trattamento dei dati personali e chiarisce le definizioni utilizzate. Nel Capo II (articoli 4-9), l'articolo 4 conferma la designazione, quale autorità nazionale di certificazione della cibersicurezza, dell'Agenzia per la cibersicurezza nazionale, come già previsto dal decreto-legge n. 82 del 2021 che ha trasferito all'Agenzia le funzioni in materia di certificazione di sicurezza cibernetica precedentemente attribuite al Ministero dello sviluppo economico. Le disposizioni ora introdotte stabiliscono inoltre che, con proprio provvedimento, l'Agenzia proceda a definire l'organizzazione e le procedure per lo svolgimento dei nuovi compiti, assicurando tra l'altro che le attività relative al rilascio dei certificati europei di cibersicurezza siano rigorosamente separate dalle attività di vigilanza. L'articolo 5 disciplina l'attività di vigilanza del mercato in ambito nazionale svolta dall'Agenzia. Si prevede che, ai fini della corretta applicazione delle regole previste dai sistemi europei di certificazione della cibersicurezza, l'Agenzia vigili sui soggetti titolari di certificati di cibersicurezza, sui fornitori e fabbricanti che emettono le dichiarazioni UE di conformità e sugli organismi di valutazione della conformità. Nel caso di certificati non conformi, è disciplinato il potere dell'Agenzia di revocare il certificato o di chiederne la riconduzione a conformità. L'articolo 6 riguarda le modalità per il rilascio dei certificati di cibersicurezza con livello di affidabilità elevato, emessi dall'Agenzia tramite l'Organismo di Certificazione della Sicurezza Informatica, nonché dei certificati con livello di affidabilità sostanziale o di base, che possono essere rilasciati anche dagli organismi di valutazione della conformità accreditati dall'Organismo nazionale di accreditamento. Viene chiarito che la certificazione della cibersicurezza è volontaria, a meno che non sia diversamente specificato dalla normativa europea, dal diritto nazionale o da una regolamentazione tecnica adottata dall'Agenzia previa consultazione dei portatori di interesse. L'articolo 7 disciplina le modalità di rilascio e gestione delle dichiarazioni UE di conformità da parte dei fabbricanti o fornitori, finalizzate a dimostrare il rispetto dei requisiti tecnici previsti da un sistema di certificazione per il livello di affidabilità di base. Anche in questo caso si sottolinea il carattere volontario della dichiarazione di conformità, salvo che sia diversamente specificato. L'articolo 8 riguarda i compiti dell'Organismo nazionale di accreditamento e degli organismi di valutazione della conformità accreditati. Disciplina inoltre il ricorso, da parte dell'Agenzia, a laboratori di prova e a esperti come supporto per le attività di vigilanza e di rilascio dei certificati di cibersicurezza. L'articolo 9 autorizza l'Agenzia a svolgere attività di ricerca, formazione e sperimentazione nel campo della certificazione della cibersicurezza. Nel Capo III (articoli 10-12), l'articolo 10 definisce il nuovo quadro sanzionatorio, individuando nell'Agenzia il soggetto competente ad irrogare le sanzioni nel caso di violazioni del regolamento europeo e dei sistemi europei di certificazione della cibersicurezza. Vengono stabiliti i limiti minimi e massimi delle sanzioni amministrative pecuniarie da applicare in relazione alle varie tipologie di violazioni commesse dai soggetti tenuti al rispetto delle norme in materia di certificazione di cibersicurezza (organismi di valutazione della conformità, fabbricanti e fornitori), mentre la definizione dei relativi criteri di graduazione è rinviata ad un successivo provvedimento dell'Agenzia. In via generale, il limite minimo delle sanzioni è fissato in 15.000 euro e si prevede che esse non possano comunque superare i 5 milioni di euro. Fermo restando tale limite, i valori previsti per le singole violazioni sono triplicati se la violazione ha riguardato la certificazione relativa ad un prodotto, un servizio o un processo TIC, rilasciato nell'ambito di un sistema di certificazione destinato ad un servizio essenziale ai sensi dell'allegato II del decreto legislativo n. 65 del 2018 o a un servizio di comunicazione elettronica, come definito dal decreto legislativo n. 259 del 2003. Il suddetto decreto legislativo n. 65, nell'introdurre misure per la sicurezza delle reti e dei sistemi informativi in attuazione della cosiddetta direttiva NIS, all'allegato II individua gli operatori dei servizi essenziali dei vari settori, tra i quali sono ricompresi il settore dei trasporti e delle infrastrutture digitali. L'articolo 11 disciplina i reclami sui certificati di cibersicurezza e sulle dichiarazioni UE di conformità, mentre l'articolo 12 riguarda i ricorsi giurisdizionali. Nel Capo IV (articoli 13 e 14), l'articolo 13 contiene disposizioni relative alla destinazione dei proventi derivanti dall'attività dell'Agenzia e l''articolo 14 reca ulteriori disposizioni finanziarie. Il Capo V è costituito dal solo articolo 15, nel quale si dispone che all'attuazione dei nuovi sistemi europei di certificazione eventualmente adottati dalla Commissione si provvede mediante provvedimenti adottati dall'Agenzia per la cibersicurezza nazionale. Il seguito dell'esame è rinviato. 2598 - d-l 36/2022 - ulteriori misure attuazione PNRR DDL 2598 Conversione in legge del decreto-legge 30 aprile 2022, n. 36, recante ulteriori misure urgenti per l'attuazione del Piano nazionale di ripresa e resilienza (PNRR) (Parere alle Commissioni 1 a e 7 a riunite. Seguito e conclusione dell'esame. Parere favorevole con osservazioni) Prosegue l'esame, sospeso nella seduta del 17 maggio. Il relatore FEDE ( M5S ) illustra uno schema di parere favorevole con osservazioni, pubblicato in allegato. Non essendovi richieste di intervento, il PRESIDENTE , verificata la presenza del numero legale, pone in votazione lo schema di parere favorevole con osservazioni del relatore, che risulta approvato. La seduta termina alle ore 15,35. Allegato PARERE APPROVATO DALLA COMMISSIONE PARERE APPROVATO DALLA COMMISSIONE SUL DISEGNO DI LEGGE N. 2598 La Commissione, esaminato per quanto di propria competenza il disegno di legge in titolo, premesso che: il decreto-legge 30 aprile 2022, n. 36, rappresenta un ulteriore passo per il raggiungimento degli obiettivi del Piano nazionale di ripresa e resilienza (PNRR), volto a semplificare e accelerarne le procedure e a rafforzare la capacità amministrativa delle amministrazioni titolari degli interventi; considerato che: - l'articolo 10 del provvedimento in oggetto, con i commi 1 e 2, consente, fino al 31 dicembre 2026, il conferimento, da parte delle amministrazioni titolari di interventi previsti nel PNRR, di incarichi retribuiti di lavoro autonomo a soggetti collocati in quiescenza da almeno due anni, specificando che tra tali incarichi siano compresi quelli di cui all'articolo 31, comma 8, del codice dei contratti pubblici nonché, in presenza di particolari esigenze, l'incarico di responsabile unico del procedimento. Sebbene sia evidente la ratio della disposizione di cui al comma 3, meno comprensibile appare la ragione per la quale si sia ravvisata la necessità di prevedere, con il successivo comma 4, la possibilità per le pubbliche amministrazioni di ricorrere a modalità speciali e semplificate per il reclutamento di personale a tempo determinato e per il conferimento di incarichi di collaborazione anche non connessi all'attuazione del PNRR; - per quanto riguarda la realizzazione dei Progetti bandiera, di cui all'articolo 33, comma 3, lettera b), del decreto-legge n. 152 del 2021, risulta apprezzabile la previsione di cui all'articolo 21 del provvedimento in oggetto, il quale dispone la possibilità per le amministrazioni titolari degli interventi di destinare a tale scopo le eventuali economie realizzate nell'ambito dell'attuazione delle misure previste dal PNRR e non utilizzate per la compensazione degli oneri derivanti dall'incremento dei prezzi dei materiali; - si ritiene condivisibile la disposizione, di cui all'articolo 29, che consente alle pubbliche amministrazioni l'acquisizione di servizi cloud infrastrutturali in deroga ai limiti di spesa per l'acquisto di beni e servizi previsti dalla normativa vigente; - riguardo ai servizi cloud infrastrutturali s'impone una sempre maggiore attenzione nonché misure a tutela della sicurezza dei dati e della dotazione informatica da parte delle pubbliche amministrazioni, anche nel rinnovato scenario in materia di cibersicurezza a seguito dello scoppio del conflitto russo-ucraino, e in tal senso è necessario rafforzare il coinvolgimento del Parlamento per assicurare piena trasparenza e una costante informazione sulla procedura di gara nonché una vigilanza continuativa sulla realizzazione del Polo Strategico Nazionale; - indispensabili per il raggiungimento degli obiettivi connessi alla Missione M3C2-4 Riforma 1.3 sono le disposizioni contenute nell'articolo 33, finalizzate a semplificare e accelerare le procedure di autorizzazione di opere e impianti di elettrificazione dei porti (c.d. di cold ironing ) nonché delle opere e infrastrutture connesse, necessarie alla costruzione, alla elettrificazione e all'esercizio degli impianti stessi, esprime, per quanto di competenza, parere favorevole con le seguenti osservazioni: - con riferimento all'articolo 10, comma 1, si valuti l'opportunità di chiarire se il termine del 31 dicembre 2026 si riferisca alla possibilità di conferimento degli incarichi oppure al limite ultimo per la collocazione temporale dei medesimi; - si valuti di rivedere la previsione di cui all'articolo 10, comma 4, che consente alle pubbliche amministrazioni di ricorrere a modalità speciali e semplificate per il reclutamento di personale a tempo determinato e per il conferimento di incarichi di collaborazione anche non connessi all'attuazione del PNRR; - in relazione all'acquisto di servizi cloud infrastrutturali, garantire la rapida e al tempo stesso massimamente trasparente conclusione della procedura per l'affidamento della realizzazione e gestione del Polo Strategico Nazionale e assicurarne così una celere e piena operatività, anche al fine di prevederne l'utilizzo in via prioritaria e di disporre un obbligo di motivazione anticipata e qualificata in capo alla pubblica amministrazione che decida di non avvalersene; - per garantire la massima trasparenza dell'affidamento e della realizzazione di un servizio così essenziale e delicato, si valuti l'opportunità di presentare alle competenti Commissioni parlamentari una relazione sull'espletamento delle procedure di gara per la realizzazione del Polo Strategico Nazionale, nonché prevedere che il Ministro per l'innovazione tecnologica e la transizione digitale riferisca periodicamente alle Camere sullo stato di avanzamento dei lavori relativi alla realizzazione del PSN e sul livello di adesione della pubblica amministrazione all'infrastruttura.