Document Type: sommcomm
Token Count: $#tokens

SENATO DELLA REPUBBLICA Legislatura 18 Resoconto di Commissione LAVORI PUBBLICI, COMUNICAZIONI (8ª) 213 COLTORTI La seduta inizia alle ore 14,35. IN SEDE CONSULTIVA 2336 - d-l 82/2021 cybersicurezza DDL 2336 Conversione in legge, con modificazioni, del decreto-legge 14 giugno 2021, n. 82, recante disposizioni urgenti in materia di cybersicurezza, definizione dell'architettura nazionale di cybersicurezza e istituzione dell'Agenzia per la cybersicurezza nazionale (Parere alla 1 a Commissione. Esame. Parere favorevole) Il PRESIDENTE segnala che il provvedimento in titolo, recentemente trasmesso dalla Camera dei deputati, è già calendarizzato in Aula nella seduta di questo pomeriggio. Il relatore STEGER ( Aut (SVP-PATT, UV) ) illustra il provvedimento in esame, che introduce disposizioni volte a ridefinire la cornice normativa in materia di sicurezza nazionale cibernetica. L'accresciuta esposizione alle minacce cibernetiche e la progressiva digitalizzazione della società hanno infatti evidenziato, sia a livello nazionale che internazionale, la necessità di sviluppare meccanismi di tutela più idonei e stringenti, che consentano risposte efficaci e tempestive contro i rischi di attacco. Di qui l'esigenza di aggiornare l'architettura nazionale per la cybersicurezza, con interventi che razionalizzino le competenze, consentano una gestione coordinata delle attività di prevenzione e di risposta alle situazioni di crisi e diano attuazione agli impegni assunti nel PNRR, che ha incluso la cybersicurezza tra gli investimenti della Missione 1, "Digitalizzazione, innovazione, cultura e turismo", quale fattore necessario per assicurare lo sviluppo e la crescita dell'economia e dell'industria in una prospettiva di trasformazione digitale. Il provvedimento consta di 19 articoli, il primo dei quali introduce le definizioni. L'articolo 2 pone il Presidente del Consiglio dei ministri quale autorità al vertice dell'architettura della sicurezza cibernetica, attribuendogli in via esclusiva l'alta direzione e la responsabilità generale delle politiche di cybersicurezza. A lui spettano inoltre, sempre in via esclusiva, l'adozione della strategia nazionale di cybersicurezza e la nomina e la revoca, previa deliberazione del Consiglio dei ministri e informandone il COPASIR e le competenti Commissioni parlamentari, del direttore generale e del vice direttore generale della nuova Agenzia per la cybersicurezza nazionale, istituita dall'articolo 5 del provvedimento. L'articolo 3 prevede che il Presidente del Consiglio dei ministri possa delegare all'Autorità delegata per il sistema di informazione per la sicurezza della Repubblica, ove istituita, le funzioni che non sono a lui attribuite in via esclusiva. In relazione alle funzioni delegate, tra l'altro, l'Autorità partecipa alle riunioni del Comitato interministeriale per la transizione digitale. L'articolo 4 istituisce, presso la Presidenza del Consiglio dei ministri, il Comitato interministeriale per la cybersicurezza (CIC), organismo con funzioni di consulenza, proposta e vigilanza in materia di politiche di cybersicurezza, che è presieduto dal Presidente del Consiglio dei ministri e al quale partecipano, tra gli altri, il Ministro dello sviluppo economico, il Ministro delegato per l'innovazione tecnologica e la transizione digitale e il Ministro delle infrastrutture e della mobilità sostenibili. Al CIC sono trasferite le funzioni finora attribuite al Comitato interministeriale per la sicurezza della Repubblica (CISR) dal decreto-legge n. 105 del 2019, con il quale è stato istituito il perimetro di sicurezza nazionale cibernetica, ad eccezione del compito di deliberare, in caso di rischio grave ed imminente per la sicurezza nazionale connesso alla vulnerabilità di reti, sistemi informativi e servizi informatici, la disattivazione, totale o parziale, di uno o più apparati o prodotti impiegati nelle reti, nei sistemi o per l'espletamento dei servizi interessati, che può essere poi disposta dal Presidente del Consiglio. L'articolo 5, a tutela degli interessi nazionali nel campo della cybersicurezza, istituisce l'Agenzia per la cybersicurezza nazionale, con personalità giuridica di diritto pubblico, dotata di autonomia regolamentare, amministrativa, patrimoniale, organizzativa, contabile e finanziaria, della quale si avvalgono il Presidente del Consiglio dei ministri e l'Autorità delegata per l'esercizio delle competenze loro attribuite dal provvedimento. Gli articoli 6, 11 e 12 demandano ad appositi regolamenti la definizione dell'organizzazione e del funzionamento dell'Agenzia nonché delle procedure contabili, di quelle per la stipula dei contratti di appalti di lavori e forniture di beni e servizi per le attività finalizzate alla tutela della sicurezza nazionale nello spazio cibernetico e per la disciplina del personale. Si prevede, in particolare, che il regolamento sulle procedure per la stipula dei contratti sia adottato con DPCM su proposta del direttore generale dell'Agenzia, anche in deroga all'articolo 17 della legge n. 400 del 1988 e alle norme in materia di contratti pubblici, previo parere del COPASIR e sentito il CIC, ferma restando la disciplina vigente in materia di contratti secretati di cui all'articolo 162 del codice dei contratti pubblici. Le funzioni dell'Agenzia sono indicate dall'articolo 7, che la qualifica quale Autorità nazionale per la cybersicurezza, incaricata di assicurare il coordinamento tra i soggetti pubblici coinvolti nel settore a livello nazionale e di promuovere azioni comuni che garantiscano la sicurezza e la resilienza cibernetiche per lo sviluppo della digitalizzazione del Paese, del sistema produttivo e delle pubbliche amministrazioni, nonché per il conseguimento dell'autonomia, nazionale ed europea, riguardo a prodotti e processi informatici di rilevanza strategica a tutela degli interessi nazionali nel settore. In tale quadro, l'Agenzia - che è chiamata a predisporre la strategia nazionale di cybersicurezza - è Autorità nazionale competente e punto di contatto unico in materia di sicurezza delle reti e dei sistemi informativi. La disciplina previgente, contenuta nel decreto legislativo n. 65 del 2018, attuativo della cosiddetta "direttiva NIS", aveva invece delineato un sistema plurale di autorità, nel quale ciascun ministero era qualificato come autorità NIS per il settore di competenza. Il punto di contatto nazionale era poi individuato nel Dipartimento delle informazioni e della sicurezza (DIS). Nel nuovo quadro all'Agenzia sono quindi trasferite una serie di funzioni in materia di cybersicurezza finora svolte da altri organi, quali il Ministero dello sviluppo economico, la Presidenza del Consiglio, il DIS e l'Agenzia per l'Italia digitale. Tra le funzioni trasferite dal MISE figurano, oltre a quelle relative al perimetro di sicurezza nazionale, alla sicurezza e alla integrità delle comunicazioni elettroniche e alla sicurezza delle reti e dei sistemi informativi, anche le funzioni in materia di certificazione della cybersicurezza, in relazione alla quale l'Agenzia è qualificata quale Autorità nazionale. Sono quindi trasferiti presso l'Agenzia sia il Centro di valutazione e certificazione nazionale (CVCN),istituitopresso il MISE, che il CSIRT italiano, cioè il gruppo di gestione degli incidenti di sicurezza informatica istituito presso il DIS con il compito di trattare gli incidenti e i rischi, secondo una procedura definita. Tra le ulteriori funzioni dell'Agenzia, una integrazione approvata dalla Camera dei deputati ha inoltre inserito anche quella di provvedere alla qualificazione dei servizi cloud per la pubblica amministrazione. L'articolo 8 istituisce presso l'Agenzia il Nucleo per la cybersicurezza, a supporto del Presidente del Consiglio dei ministri per gli aspetti relativi alla prevenzione e preparazione ad eventuali situazioni di crisi e per l'attivazione delle procedure di allertamento, mentre gli articoli 9 e 10 ne indicano nel dettaglio le funzioni. L'articolo 13 riguarda il trattamento dei dati personali per finalità di sicurezza nazionale, mentre l'articolo 14 prevede la trasmissione annuale di relazioni informative al Parlamento e al COPASIR. L'articolo 15 adegua il decreto legislativo n. 65 del 2018 al nuovo assetto dell'architettura nazionale di cybersicurezza delineato con il provvedimento in esame. A seguito dell'assunzione del ruolo di Autorità nazionale da parte dell'Agenzia e al conseguente trasferimento di competenze, tra le altre modifiche, viene precisato che il Ministero dello sviluppo economico e il Ministero delle infrastrutture e della mobilità sostenibili sono ora autorità di settore, rispettivamente, per il settore delle infrastrutture digitali, sottosettori IXP, DSN, TLD, e per i servizi digitali, nonché per il settore dei trasporti, sottosettori aereo, ferroviario, vie d'acqua e stradale. Sono inoltre modificate le modalità per l'aggiornamento dell'elenco degli operatori di servizi essenziali, prevedendo che ad esso provveda l'Agenzia nazionale, su proposta delle autorità di settore. L'articolo 16 introduce norme per il coordinamento con il nuovo quadro giuridico e istituzionale in materia di cybersicurezza di ulteriori disposizioni legislative, tra le quali quelle contenute nella legge n. 124 del 2007 e nel decreto-legge n. 105 del 2019. Talune delle modifiche riguardano le comunicazioni e le procedure cui sono tenute le imprese che acquisiscano beni, servizi e componenti relativi a servizi di comunicazione elettronica a banda larga basati sulla tecnologia 5G, ai fini dell'esercizio dei poteri speciali. L'articolo 17 reca una serie di disposizioni transitorie e finali, l'articolo 18 riguarda la copertura finanziaria mentre l'articolo 19 dispone in merito all'entrata in vigore del provvedimento. In conclusione, considerato che il provvedimento è già calendarizzato in Aula per la seduta di questo pomeriggio, formula fin d'ora una proposta di parere favorevole. Il PRESIDENTE dichiara aperta la discussione generale. Il senatore MALLEGNI ( FIBP-UDC ) considera il provvedimento in esame fondamentale, anche alla luce dell'attacco informatico in corso nei confronti della regione Lazio. Nel merito, valuta molto favorevolmente l'istituzione dell'Agenzia per la cybersicurezza nazionale e la configurazione di un forte ruolo di indirizzo da parte del Presidente del Consiglio dei ministri, eventualmente esercitabile per il tramite dell'Autorità delegata, ma ritiene che alcune competenze potrebbero essere ripartite in maniera più chiara, specie tra decisore politico e tecnici, e che le modalità di coinvolgimento del Parlamento previste nel provvedimento siano insufficienti. Dal punto di vista del metodo, si esprime criticamente sul fatto che, per l'ennesima volta, uno dei due rami del Parlamento sia chiamato a ratificare l'operato dell'altro, senza poter fornire alcun tipo di apporto. Il senatore CAMPARI ( L-SP-PSd'Az ) si associa alle lamentele formulate dal senatore Mallegni in merito al fatto che anche il decreto-legge in esame, così come è avvenuto di recente con il "sostegni bis" e sul "semplificazioni", giunga in Senato sostanzialmente blindato e condivide la necessità che il Parlamento recuperi il suo ruolo di principale attore politico. L'attacco nei confronti della regione Lazio mette a nudo tutte le criticità del processo di digitalizzazione e il ritardo dell'Italia, rispetto ad altri Paesi, nel disciplinare fenomeni che la tecnologia fa evolvere molto rapidamente, come il passaggio dalla moneta cartacea a quella elettronica. L'Italia deve essere pronta ad affrontare il progresso, trovando soluzioni ai rischi che esso pone. Il senatore CORTI ( L-SP-PSd'Az ) osserva che la pandemia ha comportato l'aumento delle attività svolte in via telematica e dunque della richiesta di connettività e ciò ha determinato, a sua volta, una crescita molto significativa dei rischi e delle minacce informatiche. Sarebbe stato quindi auspicabile, a suo avviso, avere a disposizione uno spazio maggiore di confronto, in quanto l'Agenzia è destinata a svolgere un ruolo sempre più importante e necessita dunque di essere bene inquadrata sin dall'inizio. Peraltro, la transizione digitale richiede anche che sia affrontato il problema delle grandi differenze di copertura tra le varie aree del Paese. Conclude sottolineando che la sua parte politica ha comunque dato prova di disponibilità e ha fornito indicazioni costruttive. Il senatore RUSPANDINI ( FdI ) ritiene che le criticità e i rischi resi evidenti dall'attacco nei confronti della regione Lazio costituiscano un tema centrale per la vita delle nazioni e che l'agenda politica dei Governi debba conferire massima attenzione ai problemi connessi alla digitalizzazione. Si passa dunque alla votazione. In assenza di richieste di intervento in dichiarazione di voto, il PRESIDENTE , verificata la presenza del prescritto numero di senatori, pone in votazione la proposta di parere favorevole del relatore, che risulta approvata. SUI LAVORI DELLA COMMISSIONE Il PRESIDENTE propone di convocare ulteriormente la Commissione per giovedì 5 agosto, alle ore 9, per la conclusione dell'esame delle relazioni sulla partecipazione dell'Italia all'Unione europea. La Commissione conviene. Il PRESIDENTE informa che è stato assegnato alla Commissione, in sede referente, il disegno di legge n. 2330, recante "Delega al Governo in materia di contratti pubblici", d'iniziativa del Presidente del Consiglio dei ministri e del Ministro delle infrastrutture e della mobilità sostenibili e chiede l'orientamento dei Gruppi in merito alla tempistica dell'esame dello stesso. In seguito ad un breve dibattito sull'ordine dei lavori in cui intervengono i senatori Mallegni, Pergreffi e Di Girolamo, la Commissione conviene di incardinare il disegno di legge alla ripresa dei lavori dopo la sospensione estiva, alla luce delle decisioni che varranno adottate dalla Conferenza dei capigruppo. CONVOCAZIONE DI UNA NUOVA SEDUTA DELLA COMMISSIONE Il PRESIDENTE comunica che la Commissione è nuovamente convocata giovedì 5 agosto 2021, alle ore 9. La Commissione prende atto. La seduta termina alle ore 15,05.