Source: https://legislazionetecnica.it/5823243/normativa-edilizia-appalti-professioni-tecniche-sicurezza-ambiente/dl-21-09-2019-n-105/sicurezza-cibernetica
Timestamp: 2020-04-08 18:53:56+00:00

Document:
D.L. 21/09/2019, n. 105 | Bollettino di Legislazione Tecnica
FAST FIND : NN17136
Disposizioni urgenti in materia di perimetro di sicurezza nazionale cibernetica e di disciplina dei poteri speciali nei settori di rilevanza strategica.
G.U. 21/09/2019, n. 222
L. 18/11/2019, n. 133
Il Decreto, in vigore dal 22/09/2019 istituisce il perimetro di sicurezza nazionale cibernetica, al fine di assicurare un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, degli enti e degli operatori pubblici e privati aventi una sede nel territorio nazionale, da cui dipende l’esercizio di una funzione essenziale dello Stato, ovvero la prestazione di un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato e dal cui malfunzionamento, interruzione, anche parziali, ovvero utilizzo improprio, possa derivare un pregiudizio per la sicurezza nazionale.
Articolo 4, comma 5; articolo 9, comma 3.
Articolo 1, commi 2, 2-bis, 3, 4-bis, 4-ter, 6, 8, 9, 12, 14, 18 e 19-ter; articolo 3, comma 1.
In vigore dal 22/09/2019
- L. 18/11/2019, n. 133 (Legge di conversione). In vigore dal 21/11/2019, in corsivo.
5823243 6199743
Considerata la straordinaria necessità ed urgenza, nell’attuale quadro normativo ed a fronte della realizzazione in corso di importanti e strategiche infrastrutture tecnologiche, anche in relazione a rece
5823243 6199744
Art. 1. - Perimetro di sicurezza nazionale cibernetica
1. Al fine di assicurare un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, degli enti e degli operatori pubblici e privati aventi una sede nel territorio nazionale, da cui dipende l’esercizio di una funzione essenziale dello Stato, ovvero la prestazione di un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato e dal cui malfunzionamento, interruzione, anche parziali, ovvero utilizzo improprio, possa derivare un pregiudizio per la sicurezza nazionale, è istituito il perimetro di sicurezza nazionale cibernetica.
2. Entro quattro mesi dalla data di entrata in vigore della legge di conversione del presente decreto, con decreto del Presidente del Consiglio dei ministri, adottato su proposta del Comitato interministeriale per la sicurezza della Repubblica (CISR):
a) “sono definiti modalità e criteri procedurali di individuazione di amministrazioni pubbliche, enti e operatori pubblici e privati” N6di cui al comma 1 aventi una sede nel territorio nazionale, inclusi nel perimetro di sicurezza nazionale cibernetica e tenuti al rispetto delle misure e degli obblighi previsti dal presente articolo; “ai fini dell’” N6 individuazione, fermo restando che per gli Organismi di informazione per la sicurezza si applicano le norme previste dalla legge 3 agosto 2007, n. 124, si procede sulla base dei seguenti criteri:
1) il soggetto esercita una funzione essenziale dello Stato, ovvero assicura un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato;
2) l’esercizio di tale funzione o la prestazione di tale servizio dipende da reti, sistemi informativi e servizi informatici N1;
2-bis) l’individuazione avviene sulla base di un criterio di gradualità, tenendo conto dell’entità del pregiudizio per la sicurezza nazionale che, in relazione alle specificità dei diversi settori di attività, può derivare dal malfunzionamento, dall’interruzione, anche parziali, ovvero dall’utilizzo improprio delle reti, dei sistemi informativi e dei servizi informatici predetti;
b) sono definiti, sulla base di un’analisi del rischio e di un criterio di gradualità che tenga conto delle specificità dei diversi settori di attività, i criteri con i quali “i soggetti di cui al comma 2-bis” N6 predispongono e aggiornano con cadenza almeno annuale un elenco delle reti, dei sistemi informativi e dei servizi informatici di cui al comma 1, di rispettiva pertinenza, comprensivo della relativa architettura e componentistica, fermo restando che, per le reti, i sistemi informativi e i servizi informatici attinenti alla gestione delle informazioni classificate, si applica quanto previsto dal regolamento adottato ai sensi dell’articolo 4, comma 3, lettera l), della legge 3 agosto 2007, n. 124; all’elaborazione di tali criteri provvede, adottando opportuni moduli organizzativi, l’organismo tecnico di supporto al CISR, integrato con un rappresentante della Presidenza del Consiglio dei ministri; entro sei mesi “dalla data della comunicazione, prevista dal comma 2-bis, a ciascuno dei soggetti iscritti nell’elenco di cui al medesimo comma,” N6 i soggetti pubblici e quelli di cui all’articolo 29 del codice dell’amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82, nonché quelli privati, “di cui al comma 2-bis” N6 trasmettono tali elenchi, rispettivamente, alla Presidenza del Consiglio dei ministri e al Ministero dello sviluppo economico; la Presidenza del Consiglio dei ministri e il Ministero dello sviluppo economico inoltrano gli elenchi di rispettiva pertinenza al Dipartimento delle informazioni per la sicurezza, anche per le attività di prevenzione, preparazione e gestione di crisi cibernetiche affidate al Nucleo per la sicurezza cibernetica, nonché all’organo del Ministero dell’interno per la sicurezza e la regolarità dei servizi di telecomunicazione di cui all’articolo 7-bis del decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n. 155.
2-bis. L’elencazione dei soggetti individuati ai sensi del comma 2, lettera a), è contenuta in un atto amministrativo, adottato dal Presidente del Consiglio dei ministri, su proposta del CISR, entro trenta giorni dalla data di entrata in vigore del decreto del Presidente del Consiglio dei ministri di cui al comma 2. Il predetto atto amministrativo, per il quale è escluso il diritto di accesso, non è soggetto a pubblicazione, fermo restando che a ciascun soggetto è data, separatamente, comunicazione senza ritardo dell’avvenuta iscrizione nell’elenco. L’aggiornamento del predetto atto amministrativo è effettuato con le medesime modalità di cui al presente comma. N7
3. Entro dieci mesi dalla data di entrata in vigore della legge di conversione del presente decreto, con decreto del Presidente del Consiglio dei ministri, che N2 disciplina altresì i relativi termini e modalità attuative, adottato su proposta del CISR:
a) sono definite le procedure secondo cui “i soggetti di cui al comma 2-bis” N6, notificano gli incidenti aventi impatto su reti, sistemi informativi e servizi informatici di cui al comma 2, lettera b), al Gruppo di intervento per la sicurezza informa
5823243 6199745
Art. 2. - Personale per esigenze di funzionamento del CVCN e della Presidenza del Consiglio dei ministri
1. Tenuto conto dell’esigenza di disporre di personale in possesso della professionalità necessaria per lo svolgimento delle funzioni del CVCN, di cui all’articolo 1, commi 6 e 7, il Ministero dello sviluppo economico è autorizzato ad assumere a tempo indeterminato, con incremento della vigente dotazione organica nel limite delle unità eccedenti, in aggiunta alle ordinarie facoltà assunzionali, un contingente massimo di settantasette unità di personale, di cui sessantasette di area terza e dieci di area seconda, nel limite di spesa di euro 3.005.000 annui a decorrere dall’anno 2020.
2. Fino al completamento delle procedure di cui al comma 1, il Ministero dello sviluppo economico, fatte salve le unità dedicate all’assolvimento delle esigenze connesse alle operazioni condotte dalle Forze armate per la difesa nazionale anche nell’ambito del Trattato dell’Atlantico del Nord, può avvalersi, per le esigenze del CVCN di un contingente di personale non dirigenziale appartenente alle pubbliche amministrazioni di cui all&rs
5823243 6199746
Art. 3. - Disposizioni in materia di reti di telecomunicazione elettronica a banda larga con tecnologia 5G
1. Le disposizioni di cui al presente decreto, fatta eccezione per quanto previsto dall’articolo 1, comma 6, lettera a), si applicano “ai soggetti di cui all’articolo 1, comma 2-bis” N6, anche nei casi in cui sono tenuti alla notifica di cui all’articolo 1-bis del decreto-legge 15 marzo 2012, n. 21, convertito, con modificazioni, dalla
5823243 6199747
Art. 4. - Disposizioni in materia di infrastrutture e tecnologie critiche
Soppresso. N5
5823243 6199748
Art. 4-bis - Modifiche alla disciplina dei poteri speciali nei settori di rilevanza strategica
1. Al fine di rafforzare la tutela della sicurezza nazionale in ambiti di rilevanza strategica, al decreto-legge 15 marzo 2012, n. 21, convertito, con modificazioni, dalla legge 11 maggio 2012, n. 56, sono apportate le seguenti modificazioni:
1) al comma 1, alinea, la parola: “contestualmente” è sostituita dalle seguenti: “tempestivamente e per estratto”;
2) al comma 1, lettera b):
2.1) dopo le parole: “all’adozione di delibere” sono inserite le seguenti: “, atti od operazioni”;
2.2) le parole: “il mutamento” sono sostituite dalle seguenti: “la modifica”;
2.3) dopo le parole: “di vincoli che ne condizionino l’impiego” sono aggiunte le seguenti: “, anche in ragione della sottoposizione dell’impresa a procedure concorsuali”;
3) al comma 2:
3.1) dopo le parole: “derivante dalle delibere” sono inserite le seguenti: “, dagli atti o dalle operazioni”;
3.2) dopo le parole: “oggetto della delibera,” sono inserite le seguenti: “dell’atto o dell’operazione,”;
3.3) dopo le parole: “risultante dalla delibera” sono inserite le seguenti: “, dall’atto”;
“3-bis. Qualora l’acquisto delle partecipazioni di cui al comma 1, lettere a) e c), sia effettuato da un soggetto esterno all’Unione europea, di cui all’articolo 2, comma 5-bis, il Governo può considerare altresì le seguenti circostanze:
a) che l’acquirente sia direttamente o indirettamente controllato dall’amministrazione pubblica, compresi organismi statali o forze armate, di un Paese non appartenente all’Unione europea, anche attraverso l’assetto proprietario o finanziamenti consistenti;
b) che l’acquirente sia già stato coinvolto in attività che incidono sulla sicurezza o sull’ordine pubblico in uno Stato membro dell’Unione europea;
c) che vi sia un grave rischio che l’acquirente intraprenda attività illegali o criminali.”;
5.1) al primo periodo, le parole: “o sull’atto” sono sostituite dalle seguenti: “, sull’atto o sull’operazione”;
5.2) al terzo periodo, la parola: “quindici” è sostituita dalla seguente: “quarantacinque”;
5.3) dopo il quarto periodo è inserito il seguente: “Qualora si renda necessario formulare richieste istruttorie a soggetti terzi, il predetto termine di quarantacinque giorni è sospeso, per una sola volta, fino al ricevimento delle informazioni richieste, che sono rese entro il termine di venti giorni”;
5.4) al quinto periodo, dopo le parole: “Le richieste di informazioni” sono inserite le seguenti: “e le richieste istruttorie a soggetti terzi”;
5.5) dopo il quinto periodo è inserito il seguente: “In caso di incompletezza della notifica, il termine di quarantacinque giorni previsto dal presente comma decorre dal ricevimento delle informazioni o degli elementi che la integrano”;
5.6) al decimo periodo, le parole: “le disposizioni di cui al presente comma” sono sostituite dalle seguenti: “gli obblighi di cui al presente comma, ivi compresi quelli derivanti dal provvedimento di esercizio del potere di cui al comma 1, lettera b), eventualmente esercitato nella forma dell’imposizione di specifiche prescrizioni o condizioni,”;
6.1) al secondo periodo, le parole: “prevista dall’articolo 120, comma 2, del testo unico di cui al decreto legislativo 24 febbraio 1998, n. 58, e successive modificazioni” sono sostituite dalle seguenti: “del 3 per cento”;
6.2) al secondo periodo, le parole: “3 per cento,” sono soppresse;
6.3) al secondo periodo, le parole: “20 per cento e 25 per cento” sono sostituite dalle seguenti: “20 per cento, 25 per cento e 50 per cento”;
6.4) dopo il secondo periodo è inserito il seguente: “Nel caso in cui l’acquisizione abbia ad oggetto azioni o quote di una società non ammessa alla negoziazione nei mercati regolamentati, la notifica deve essere effettuata qualora l’acquirente venga a detenere, a seguito dell’acquisizione, una partecipazione superiore alle soglie indicate nel secondo periodo”;
6.5) al terzo periodo, la parola: “quindici” è sostituita dalla seguente: “quarantacinque”;
6.6) dopo il quarto periodo è inserito il seguente: “Qualora si renda necessario formulare richieste istruttorie a soggetti terzi, il predetto termine di quarantacinque giorni è sospeso, per una sola volta, fino al ricevimento delle informazioni richieste, che sono rese entro il termine di venti giorni&rdq
5823243 6199749
Art. 5. - Determinazioni del Presidente del Consiglio dei ministri in caso di crisi di natura cibernetica
1. Il Presidente del Consiglio dei ministri, in presenza di un rischio grave e imminente per la sicurezza nazionale connesso alla vulnerabilit&agra
5823243 6199750
Art. 6. - Copertura finanziaria
1. Agli oneri di cui agli articoli 1, comma 19, e 2, commi 1 e 3, per complessivi euro 3.400.000 per l’anno 2019, euro 7.995.000 per ciascuno degli anni 2020 e 2021, euro 6.495.000 per ciascuno degli anni 2022 e 2023 ed euro 4.395.000 annui a decorrere dall’anno 2024, si provvede:
a) quanto a euro 4.395.000 annui a
5823243 6199751

References: Articolo 4
 articolo 9

Articolo 1
 articolo 3

Art. 1

Art. 2

Art. 3

Art. 4

Art. 4

Art. 5

Art. 6