Source: https://www.legislazionetecnica.it/4754346/normativa-edilizia-appalti-professioni-tecniche-sicurezza-ambiente/d-legvo-18-05-2018-n-65/sicurezza-sistemi-informativi
Timestamp: 2020-08-05 13:31:58+00:00

Document:
D. Leg.vo 18/05/2018, n. 65 | Bollettino di Legislazione Tecnica
FAST FIND : NN16603
4754346 6199682
Vista la legge 25 ottobre 2017, n. 163, recante delega al Governo per il recepimento delle direttive europee e l’attuazione di altri atti dell’Unione europea - Legge di delegazione europea 2016-2017;
Vista la direttiva (UE) 1148/2016 del Parlamento europeo e del Consiglio, del 6 luglio 2016, recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione;
Visto il regolamento (CE) 910/2014 del Parlamento europeo e del Consiglio, del 23 luglio 2014, in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la
4754346 6199683
4754346 6199684
1. Il presente decreto stabilisce misure volte a conseguire un livello elevato di sicurezza della rete e dei sistemi informativi in ambito nazionale, contribuendo ad incrementare il livello comune di sicurezza nell’Unione europea.
b) la designazione delle autorità nazionali competenti e del punto di contatto unico, nonché del Gruppo di int
4754346 6199685
Art. 2. - Trattamento dei dati personali
1. Il trattamento dei dati personali in applicazione del presente decreto è effettuato ai sensi del
4754346 6199686
e) rete e sistema informativ
4754346 6199687
Art. 4. - Identificazione degli operatori di servizi essenziali
1. Entro il 9 novembre 2018, con propri provvedimenti, le autorità competenti NIS identificano per ciascun settore e sottosettore di cui all’allegato II, gli operatori di servizi essenziali con una sede nel territorio nazionale. Gli operatori che prestano attività di assistenza sanitaria sono individuati con decreto del Ministro della salute, di intesa con la Conferenza permanente per i rapporti tra lo Stato, le Regioni e le Province autonome di Trento e di Bolzano. Gli operatori che forniscono e distribuiscono acque destinate al consumo umano sono individuati con decreto del Ministro dell’ambiente e della tutela del territorio e del mare, di intesa con la Conferenza permanente per i rapporti tra lo Stato, le Regioni e le Province autonome di Trento e di Bolzano.
4754346 6199688
Art. 5. - Effetti negativi rilevanti
1. Ai fini della determinazione della rilevanza degli effetti negativi di cui all’articolo 4, comma 2, lettera c), le autorità competenti NIS considerano i seguenti fattori intersettoriali:
4754346 6199689
Capo II - CONTESTO STRATEGICO E ISTITUZIONALE
4754346 6199690
Art. 6. - Strategia nazionale di sicurezza cibernetica
2. Nell’ambito della strategia nazionale di sicurezza cibernetica, sono in particolare indicati, per la s
4754346 6199691
Art. 7. - Autorità nazionali competenti e punto di contatto unico
1. Sono designate quali Autorità competenti NIS per i settori e sottosettori di cui all’allegato II e per i servizi di cui all’allegato III:
a) il Ministero dello sviluppo economico per il settore energia, sottosettori energia elettrica, gas e petrolio e per il settore infrastrutture digitali, sottosettori IXP, DNS, TLD, nonché per i servizi digitali;
c) il Ministero dell’economia e delle finanze per il settore ba
4754346 6199692
Art. 8. - Gruppi di intervento per la sicurezza informatica in caso di incidente - CSIRT
1. È istituito, presso la Presidenza del Consiglio dei ministri "- Dipartimento delle informazioni per la sicurezza"N5, il CSIRT italiano, che svolge i compiti e le funzioni del Computer Emergency Response Team (CERT) nazionale, di cui all’articolo 16-bis del decreto legislativo 1° agosto 2003, n. 259, e del CERT-PA, già operante presso l’Agenzia per l’Italia digitale ai sensi dell’articolo 51 del decreto legislativo 7 marzo 2005, n. 82.
4754346 6199693
Art. 9. - Cooperazione a livello nazionale
1. Le autorità competenti NIS, il punto di contatto unico e il CSIRT italiano collaborano per l’adempimento degli obblighi di cui al presente decreto. A tal fine è istituito, presso la Presidenza del Consiglio dei ministri, un Comitato tecnico di raccordo, composto da rappresentanti delle amministrazioni statali competenti ai sensi dell’articolo 7,
4754346 6199694
Capo III - COOPERAZIONE
4754346 6199695
Art. 10. - Gruppo di cooperazione
1. Il punto di contatto unico partecipa alle attività del gruppo di cooperazione composto da rappresentanti degli Stati membri, della Commissione europea e dell’Agenzia dell’Unione europea per la sicurezza delle reti e dell’informazione (ENISA) e, in particolare, contribuisce a:
a) condividere buone pratiche sullo scambio di informazioni relative alla notifica di incidenti di cui all’articolo 12 e all’articolo 14;
b) scambiare migliori pratiche con gli Stati membri e, in collaborazione con l’ENISA, fornire supporto per la creazione di capacità in materia di sicurezza delle reti e dei sistemi in
4754346 6199696
Art. 11. - Rete di CSIRT
1. Il CSIRT italiano partecipa alla rete di CSIRT, composta da rappresentanti dei CSIRT degli Stati membri e del CERT-UE.
2. Il CSIRT italiano, ai fini del comma 1, provvede a:
a) scambiare informazioni sui servizi, sulle operazioni e sulle capacità di cooperazione dei CSIRT;
b) su richiesta del rappresentante di un CSIRT di uno St
4754346 6199697
Capo IV - SICUREZZA DELLA RETE E DEI SISTEMI INFORMATIVI DEGLI OPERATORI DI SERVIZI ESSENZIALI
4754346 6199698
Art. 12. - Obblighi in materia di sicurezza e notifica degli incidenti
1. Gli operatori di servizi essenziali adottano misure tecniche e organizzative adeguate e proporzionate alla gestione dei rischi posti alla sicurezza della rete e dei sistemi informativi che utilizzano nelle loro operazioni. Tenuto conto delle conoscenze più aggiornate in materia, dette misure assicurano un livello di sicurezza della rete e dei sistemi informativi adeguato al rischio esistente.
2. Gli operatori di servizi essenziali adottano misure adeguate per prevenire e minimizzare l’impatto di incidenti a carico della sicurezza della rete e dei sistemi informativi utilizzati per la fornitura dei servizi essenziali, al fine di assicurare la continuità di tali servizi.
3. Nell’adozione delle misure di cui ai commi 1 e 2, gli operatori di servizi essenziali tengono conto delle linee guida predisposte dal gruppo di cooperazione di cui all’articolo 10, nonché delle linee guida di cui al co
4754346 6199699
Art. 13. - Attuazione e controllo
1. Le autorità competenti NIS valutano il rispetto da parte degli operatori di servizi essenziali degli obblighi previsti dall’articolo 12, nonché i relativi effetti sulla sicurezza della rete e dei sistemi informativi.
2. Ai fini del comma 1, gli operatori di se
4754346 6199700
Capo V - SICUREZZA DELLA RETE E DEI SISTEMI INFORMATIVI DEI FORNITORI DI SERVIZI DIGITALI
4754346 6199701
Art. 14. - Obblighi in materia di sicurezza e notifica degli incidenti
2. Tenuto conto delle conoscenze più aggiornate in materia, tali misure assicurano un livello di sicurezza della rete e dei sistemi informativi adeguato al rischio esistente e tengono conto dei seguenti elementi:
c) gestione della continuità operativa;
e) conformità con le norme internazionali.
4754346 6199702
Art. 15. - Attuazione e controllo
1. Nel caso in cui sia dimostrato il mancato rispetto degli obblighi di cui all’articolo 14 da parte dei fornitori di servizi digitali, l’autorità competente NIS può adottare misure di vigilanza ex post adeguate alla natura dei servizi e delle operazioni. La dimostrazione del mancato rispett
4754346 6199703
Art. 16. - Giurisdizione e territorialità
1. Ai fini del presente decreto, un fornitore di servizi digitali è considerato soggetto alla giurisdizione dello Stato membro in cui ha lo stabilimento principale. Un fornitore di servizi digitali è com
4754346 6199704
Capo VI - NORMAZIONE E NOTIFICA VOLONTARIA
4754346 6199705
Art. 17. - Normazione
1. Ai fini dell’attuazione armonizzata dell’articolo 12, commi 1 e 2, e dell’articolo 14, commi 1, 2 e 3, le auto
4754346 6199706
Art. 18. - Notifica volontaria
1. I soggetti che non sono stati identificati come operatori di servizi essenziali e non sono fornitori di servizi digitali possono notificare, su base volontaria, gli incidenti aventi
4754346 6199707
4754346 6199708
Art. 19. - Poteri ispettivi
1. L’attività di ispezione e verifica necessarie per le misure previste dagli articoli 12, 13, 14 e 15, fatte salve l
4754346 6199709
Art. 20. - Autorità competente e regime dell’accertamento e dell’irrogazione delle sanzioni amministrative
1. Le autorità competenti NIS di cui all’articolo 7, comma 1, lettere a), b), c), d) ed e), per i rispettivi
4754346 6199710
Art. 21. - Sanzioni amministrative
1. Salvo che il fatto costituisca reato, l’operatore di servizi essenziali che non adotta le misure tecniche e organizzative adeguate e proporzionate per la gestione del rischio per la sicurezza della rete e dei sistemi informativi, ai sensi dell’articolo 12, comma 1, è soggetto ad una sanzione amministrativa pecuniaria da 12.000 euro a 120.000 euro. La sanzione è ridotta di un terzo se lo stesso fatto è commesso da un fornitore di servizio digitale, in violazione degli obblighi di cui all’articolo 14, comma 1.
2. Salvo che il fatto costituisca reato, l’operatore di servizi essenziali che non adotta le misure adeguate per pre
4754346 6199711
1. Agli oneri derivanti dagli articoli 7 e 8, pari a 5.300.000 euro per l’anno 2018 e 3.300.000 euro annui a decorrere dall’anno 2019, si provvede mediante corrispondente riduzione del Fondo per il recepimento della normativa europea di cui all’
4754346 6199712
ALLEGATO I - (di cui all’art. 8) - REQUISITI E COMPITI DEI GRUPPI DI INTERVENTO PER LA SICUREZZA INFORMATICA IN CASO DI INCIDENTE (CSIRT)
I requisiti e i compiti del CSIRT sono adeguatamente e chiaramente definiti ai sensi del presente decreto e del decreto del Presidente del Consiglio dei ministri di cui all’art. 8, comma 2. Essi includono quanto segue:
a) Il CSIRT garantisce un alto livello di disponibilità dei propri servizi di comunicazione, evitando singoli punti di guasto, e dispone di vari mezzi che permettono allo stesso di essere contattato e di contattare altri in qualsiasi momento. Inoltre, i canali di comunicazione son
4754346 6199713
ALLEGATO II (di cui art. 3, comma 1, lettera g) - OPERATORI DI SERVIZI ESSENZIALI
4754346 6199714
ALLEGATO III (di cui all’art. 3, comma 1, lettera h) - TIPI DI SERVIZI DIGITALI
1. Mercato online
3. Servizi di cloud computing

References: Art. 2

Art. 4

Art. 5

Art. 6

Art. 7

Art. 8

Art. 9

Art. 10

Art. 11

Art. 12

Art. 13

Art. 14

Art. 15

Art. 16

Art. 17

Art. 18

Art. 19

Art. 20

Art. 21
 art. 3