Source: http://cybersecurity.startupitalia.eu/54588-20170414-riforma-cybersecurity-pubblicata-in-gazzetta-ufficiale
Timestamp: 2017-05-24 13:38:21+00:00
Document Index: 17044943

Matched Legal Cases: ['art. 1', 'art. 5', 'art. 7', 'art. 43', 'art. 4', 'art. 1', 'art. 7', 'art. 14', 'art. 11', 'art. 89', 'art. 5', 'art. 11', 'art. 4', 'art. 4', 'art. 7', 'art. 7', 'art. 5', 'art. 5', 'art. 4', 'art. 11', 'art. 7', 'art. 1', 'art. 7', 'art. 3', 'art. 3', 'art. 5', 'art. 3', 'art. 1', 'art. 5', 'art. 5', 'art. 4', 'art. 4', 'art. 4', 'art. 8', 'art. 11', 'art. 13', 'art. 21', 'art. 1', 'art. 4', 'art. 4', 'art. 4', 'art. 13', 'art. 4', 'art. 8', 'art. 4', 'art. 13', 'art. 13', 'art. 4', 'art. 9', 'art. 9', 'art. 8', 'art. 3', 'art. 7', 'art. 7', 'art. 7', 'art. 10', 'art. 10', 'art. 7', 'art. 5', 'art. 5', 'art. 9', 'art. 7', 'art. 11', 'art. 9', 'art. 7', 'art. 7', 'art. 2', 'art. 1', 'art. 16', 'art. 16', 'art. 5', 'art. 4', 'art. 4', 'art. 4', 'art. 11', 'art. 9']

Pubblicata nella gazzetta ufficiale la Direttiva di riforma della cybersecurity nazionale
Dopo alcuni mesi di gestazione la riforma della sicurezza informatica nazionale prende corpo in 13 articoli. Tra le novità il ruolo dei privati e i nuovi poteri del DIS
Vista la legge 3 agosto 2007, n. 124, recante «Sistema di informazione per la sicurezza della Repubblica e nuova disciplina del segreto», come modificata e integrata dalla legge 7 agosto 2012, n. 133, e, in particolare, l’art. 1, comma 3-bis, che dispone che il Presidente del Consiglio dei ministri, sentito il Comitato interministeriale per la sicurezza della Repubblica (CISR), adotti apposite direttive per rafforzare le attività di informazione per la protezione delle infrastrutture critiche materiali e immateriali, con particolare riguardo alla protezione cibernetica e alla sicurezza informatica nazionali;
Visti altresì, l’art. 5, della legge n. 124 del 2007, che disciplina le funzioni del CISR cui sono attribuiti compiti di consulenza, proposta e deliberazione sugli indirizzi e sulle finalità generali della politica dell’informazione per la sicurezza, nonchè di elaborazione degli indirizzi generali e degli obiettivi fondamentali da perseguire nel quadro della politica dell’informazione per la sicurezza;
Visto il decreto-legge 30 ottobre 2015, n. 174, convertito, con modificazioni, dalla legge 11 dicembre 2015, n. 198, ed in particolare l’art. 7-bis, comma 5, che attribuisce al CISR, convocato dal Presidente del Consiglio dei ministri in caso di situazioni di crisi che coinvolgano aspetti di sicurezza nazionale, compiti di consulenza, proposta e deliberazione, secondo modalità stabilite con regolamento adottato ai sensi dell’art. 43, della legge n. 124 del 2007;
Visto l’art. 4, comma 3, lettera d-bis), della legge n. 124 del 2007, ai sensi del quale il Dipartimento delle informazioni per la sicurezza coordina le attività di ricerca informativa finalizzate a rafforzare la protezione cibernetica e la sicurezza informatica nazionali;
Vista la direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio, del 6 luglio 2016, recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione (c.d. Direttiva NIS);
Vista la legge 1° aprile 1981, n. 121, recante «Nuovo ordinamento dell’Amministrazione della Pubblica sicurezza», ed in particolare l’art. 1;
Visti il decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n. 155, recante misure urgenti per il contrasto del terrorismo internazionale che, all’art. 7-bis, dispone che, ferme restando le competenze dei Servizi di informazione per la sicurezza, i competenti organi del Ministero dell’interno assicurano i servizi di protezione informatica delle infrastrutture critiche informatizzate di interesse nazionale ed il decreto del Ministro dell’interno 9 gennaio 2008, con il quale sono state individuate le predette infrastrutture ed è stata prevista l’istituzione del Centro nazionale anticrimine informatico per la protezione delle infrastrutture critiche (CNAIPIC);
Visti l’art. 14 del decreto legislativo 30 luglio 1999, n. 300, recante «Riforma dell’organizzazione del Governo, a norma dell’art. 11 della legge 15 marzo 1997, n. 59», che attribuisce, tra l’altro, al Ministero dell’interno competenze in materia di difesa civile ed il decreto del Ministro dell’interno 28 settembre 2001 che istituisce la Commissione interministeriale tecnica di difesa civile;
Visto il decreto legislativo 15 marzo 2010, n. 66, recante «Codice dell’ordinamento militare» e, in particolare, l’art. 89 che individua le attribuzioni delle Forze armate e le disposizioni e direttive conseguenti che disciplinano i compiti attinenti alla difesa cibernetica;
Visto il decreto legislativo 1° agosto 2003, n. 259, recante «Codice delle comunicazioni elettroniche» e, in particolare, le disposizioni che affidano al Ministero dello sviluppo economico competenze in materia di sicurezza ed integrità delle reti pubbliche di comunicazione e dei servizi di comunicazione elettronica accessibili al pubblico;
Visto il decreto-legge 22 giugno 2012, n. 83, convertito, con modificazioni, dalla legge 7 agosto 2012, n. 134, e successive modificazioni, che ha istituito l’Agenzia per l’Italia digitale (AgID);
Visto il decreto legislativo 7 marzo 2005, n. 82, recante il Codice dell’amministrazione digitale e, in particolare, le disposizioni in materia di funzioni dell’AgID e di sicurezza informatica;
Visto il decreto legislativo 11 aprile 2011, n. 61, attuativo della direttiva 2008/114/CE recante l’individuazione e la designazione delle infrastrutture critiche europee e la valutazione della necessità di migliorarne la protezione;
Visto l’art. 5, comma 2, lettera h), della legge 23 agosto 1988, n. 400;
Visto il decreto legislativo 30 luglio 1999, n. 303, recante «Ordinamento della Presidenza del Consiglio dei ministri a norma dell’art. 11 della legge 15 marzo 1997, n. 59»;
Visto il regolamento recante «Disposizioni per la tutela amministrativa del segreto di Stato e delle informazioni classificate e a diffusione esclusiva», adottato con decreto del Presidente del Consiglio dei ministri 6 novembre 2015, n. 5, ai sensi dell’art. 4, comma 3, lettera l), della legge n. 124 del 2007;
Visto il regolamento recante «Ordinamento ed organizzazione del Dipartimento delle informazioni per la sicurezza», adottato con decreto del Presidente del Consiglio dei ministri 26 ottobre 2012, n. 2, ed in particolare l’art. 4, comma 5, ai sensi del quale presso il Dipartimento delle informazioni per la sicurezza è istituito un organismo collegiale permanente, c.d. CISR Tecnico,per l’espletamento, a supporto del Comitato interministeriale per la sicurezza della Repubblica, di attività di istruttoria, di approfondimento e di valutazione anche con riferimento a specifiche situazioni di crisi;
Vista la direttiva recante indirizzi per la protezione cibernetica e la sicurezza informatica nazionali, adottata con decreto del Presidente del Consiglio dei ministri del 24 gennaio 2013, che ha definito, in un contesto unitario, l’architettura istituzionale deputata alla tutela della sicurezza nazionale relativamente alle infrastrutture critiche materiali e immateriali, con particolare riguardo alla protezione cibernetica e alla sicurezza informatica nazionali;
Considerato l’attuale quadro legislativo, improntato alla distribuzione di funzioni e compiti aventi rilievo per la sicurezza cibernetica tra molteplici soggetti istituzionali competenti nelle diverse fasi: della prevenzione degli eventi dannosi nello spazio cibernetico; dell’elaborazione di linee guida e standard tecnici di sicurezza; della difesa dello Stato da attacchi nello spazio cibernetico; della prevenzione e repressione dei crimini informatici; della preparazione e della risposta nei confronti di eventi cibernetici;
Considerato che sul richiamato quadro legislativo è intervenuto l’art. 7-bis, comma 5, del decreto-legge 30 ottobre 2015, n. 174, convertito, con modificazioni, dalla legge n. 198 del 2015, che ha attribuito al CISR funzioni di consulenza, proposta e deliberazione, in caso di situazioni di crisi che coinvolgano aspetti di sicurezza nazionale;
Ravvisata pertanto la necessità di aggiornare, anche nelle more del recepimento, entro il 9 maggio 2018, della citata direttiva (UE) 2016/1148, la predetta architettura istituzionale alla luce delle previsioni recate dall’art. 7-bis, comma 5, del decreto-legge 30 ottobre 2015, n. 174, convertito, con modificazioni, dalla legge n. 198 del 2015, così da ricondurre a sistema e unitarietà le diverse competenze coinvolte nella gestione della situazione di crisi, in relazione al grado di pregiudizio alla sicurezza della Repubblica e delle Istituzioni democratiche poste dalla Costituzione a suo fondamento;
Ritenuto in tale quadro di procedere, altresì, ad una razionalizzazione e semplificazione della predetta architettura istituzionale, prevedendo che le funzioni di coordinamento e raccordo delle attività di prevenzione, preparazione e gestione di eventuali situazioni di crisi di natura cibernetica siano attestate presso strutture che assicurino un più diretto ed efficace collegamento con il Comitato interministeriale per la sicurezza della Repubblica;
Ritenuto per quanto sopra di dover procedere all’adozione di un nuovo provvedimento che sostituisca il decreto del Presidente del Consiglio dei ministri 24 gennaio 2013;
1. Il presente decreto definisce, in un contesto unitario e integrato, l’architettura istituzionale deputata alla tutela della sicurezza nazionale relativamente alle infrastrutture critiche materiali e immateriali, con particolare riguardo alla protezione cibernetica e alla sicurezza informatica nazionali, indicando a tal fine i compiti affidati a ciascuna componente ed i meccanismi e le procedure da seguire ai fini della riduzione delle vulnerabilità, della prevenzione dei rischi, della risposta tempestiva alle aggressioni e del ripristino immediato della funzionalità dei sistemi in caso di crisi.
2. I soggetti compresi nell’architettura istituzionale di cui al comma 1 operano nel rispetto delle competenze già attribuite dalla legge a ciascuno di essi.
3. Il modello organizzativo-funzionale delineato con il presente decreto persegue la piena integrazione con le attività di competenza del Ministero dello sviluppo economico e dell’Agenzia per l’Italia digitale, nonchè con quelle espletate dalle strutture del Ministero della difesa dedicate alla protezione delle proprie reti e sistemi nonchè alla condotta di operazioni militari nello spazio cibernetico, dalle strutture del Ministero dell’interno, dedicate alla prevenzione e al contrasto del crimine informatico e alla difesa civile, e quelle della protezione civile.
b) CISR: il Comitato interministeriale per la sicurezza della Repubblica di cui all’art. 5, della legge 3 agosto 2007, n. 124;
c) «CISR tecnico»: l’Organismo di supporto al CISR di cui all’art. 5;
d) DIS: il Dipartimento delle informazioni per la sicurezza di cui all’art. 4, della legge n. 124 del 2007;
g) Consigliere militare: il Consigliere militare del Presidente del Consiglio dei ministri di cui all’art. 11, del decreto del Presidente del Consiglio dei ministri 1° ottobre 2012;
h) spazio cibernetico: l’insieme delle infrastrutture informatiche interconnesse, comprensivo di hardware, software, dati ed utenti, nonchè delle relazioni logiche, comunque stabilite, tra di essi;
1. Il Presidente, quale responsabile della politica generale del Governo e vertice del Sistema di informazione per la sicurezza della Repubblica, ai fini della tutela della sicurezza nazionale anche nello spazio cibernetico:
a) assume le determinazioni ai sensi dell’art. 7-bis, comma 5, del decreto-legge 30 ottobre 2015, n. 174, convertito con modificazioni dalla legge 11 dicembre 2015, n. 198, provvedendo, nelle situazioni di crisi che coinvolgono aspetti di sicurezza nazionale, a convocare il CISR secondo le modalità stabilite con il regolamento ivi previsto;
e) impartisce, sentito il CISR, le direttive al DIS e alle Agenzie ai sensi dell’art. 1, comma 3-bis, della legge n. 124 del 2007.
1. Nella materia della sicurezza dello spazio cibernetico, il CISR:
a) partecipa, in caso di crisi cibernetica, alle determinazioni del Presidente, con funzioni di consulenza e di proposta, nonchè di deliberazione nei casi indicati all’art. 7-bis, comma 5, del decreto-legge n. 174 del 2015, convertito con modificazioni dalla legge n. 198 del 2015;
b) propone al Presidente l’adozione del quadro strategico nazionale di cui all’art. 3, comma 1, lettera b);
c) delibera il Piano nazionale per la sicurezza dello spazio cibernetico di cui all’art. 3, comma 1, lettera c), ai fini dell’adozione da parte del Presidente;
d) esprime parere, ai sensi dell’art. 5, comma 2, lettera h), della legge n. 400 del 1988, sulle direttive del Presidente di cui all’art. 3, comma 1, lettera d);
e) è sentito, ai sensi dell’art. 1, comma 3-bis, della legge n. 124 del 2007, ai fini dell’adozione delle direttive del Presidente agli organismi di informazione per la sicurezza;
g) approva linee di indirizzo per favorire l’efficace collaborazione tra i soggetti istituzionali e gli operatori privati interessati alla sicurezza cibernetica, nonchè per la condivisione delle informazioni e per l’adozione di best pratices e di misure rivolte all’obiettivo della sicurezza cibernetica;
h) elabora, ai sensi dell’art. 5, della legge n. 124 del 2007, gli indirizzi generali e gli obiettivi fondamentali in materia di protezione cibernetica e di sicurezza informatica nazionali da perseguire nel quadro della politica dell’informazione per la sicurezza da parte degli organismi di informazione per la sicurezza, ciascuno per i profili di rispettiva competenza;
2. Si applicano le disposizioni dell’art. 5, commi 4 e 5, della legge n. 124 del 2007.
Organismo di supporto al CISR – «CISR tecnico»
1. Alle attività di supporto per lo svolgimento da parte del CISR delle funzioni di cui all’art. 4 del presente decreto, provvede l’organismo collegiale di coordinamento, presieduto dal Direttore generale del DIS, nella composizione di cui all’art. 4, comma 5, del regolamento adottato con decreto del Presidente del Consiglio dei ministri 26 ottobre 2012, n. 2, recante l’organizzazione ed il funzionamento del Dipartimento delle informazioni per la sicurezza.
2. L’organismo collegiale di coordinamento di cui al comma 1:
b) assicura l’istruttoria per l’adozione degli atti e per l’espletamento delle attività, da parte del CISR, di cui all’art. 4, comma 1, del presente decreto;
d) coordina, in attuazione degli indirizzi approvati dal CISR e sulla base degli elementi forniti dalle amministrazioni ed enti competenti, dagli organismi di informazione per la sicurezza, dal Nucleo per la sicurezza cibernetica di cui all’art. 8 e dagli operatori privati, la formulazione delle indicazioni necessarie allo svolgimento delle attività di individuazione delle minacce alla sicurezza dello spazio cibernetico, al riconoscimento delle vulnerabilità, nonchè per l’adozione di best practices e misure di sicurezza;
3. Per le finalità di cui al comma 2, l’organismo collegiale di coordinamento compie approfondimenti ed acquisisce ogni utile contributo e valutazione ritenuti necessari.
1. Il direttore generale del DIS, per le finalità di tutela della sicurezza nazionale di cui al presente decreto, adotta le iniziative idonee a definire le necessarie linee di azione di interesse generale con l’obiettivo di innalzare e migliorare i livelli di sicurezza dei sistemi e delle reti, perseguendo, in particolare, l’individuazione e la disponibilità dei più adeguati ed avanzati supporti tecnologici in funzione della preparazione alle azioni di prevenzione, contrasto e risposta in caso di crisi cibernetica da parte delle amministrazioni ed enti pubblici e degli operatori privati di cui all’art. 11.
2. Per la realizzazione delle linee di azione indicate al comma 1, il direttore generale del DIS predispone gli opportuni moduli organizzativi, di coordinamento e di raccordo, prevedendo il ricorso anche a professionalità delle pubbliche amministrazioni, degli enti di ricerca pubblici e privati, delle università e di operatori economici privati.
3. Il direttore generale del DIS, per le finalità di cui al presente articolo, può fare ricorso a convenzioni e intese con le pubbliche amministrazioni e soggetti privati, ai sensi dell’art. 13 della legge n. 124 del 2007 ed all’affidamento di incarichi ad esperti esterni ai sensi dell’art. 21 della predetta legge.
1. Il DIS e le Agenzie svolgono la propria attività nel campo della sicurezza cibernetica avvalendosi degli strumenti e secondo le modalità e le procedure stabilite dalla legge n. 124 del 2007.
2. Per le finalità di cui al comma 1, il direttore generale del DIS, sulla base delle direttive adottate dal Presidente ai sensi dell’art. 1, comma 3-bis, della legge n. 124 del 2007 e alla luce degli indirizzi generali e degli obiettivi fondamentali individuati dal CISR, cura, ai sensi dell’art. 4, comma 3, lettera d-bis), della citata legge, il coordinamento delle attività di ricerca informativa finalizzate a rafforzare la protezione cibernetica e la sicurezza informatica nazionali.
3. Il DIS, attraverso i propri uffici, assicura il supporto al direttore generale per l’espletamento delle attività di coordinamento di cui al comma 2. Il DIS provvede, altresì, sulla base delle informazioni acquisite ai sensi dell’art. 4, comma 3, lettera c), della legge n. 124 del 2007, alla luce delle acquisizioni provenienti dallo scambio informativo di cui all’art. 4, comma 3, lettera e), della citata legge, e dei dati acquisiti ai sensi dell’art. 13, commi 1 e 2, della medesima legge, alla formulazione di analisi, valutazioni e previsioni sulla minaccia cibernetica. Provvede, in base a quanto disposto dal presente decreto, alla trasmissione di informazioni rilevanti ai fini della sicurezza cibernetica alle pubbliche amministrazioni e agli altri soggetti, anche privati, interessati all’acquisizione di informazioni, ai sensi dell’art. 4, comma 3, lettera f), della citata legge, nonchè alla condivisione delle stesse informazioni nell’ambito del Nucleo per la sicurezza cibernetica di cui all’art. 8.
4. Le Agenzie, ciascuna nell’ambito delle rispettive attribuzioni, svolgono, secondo gli indirizzi definiti dalle direttive del Presidente e le linee di coordinamento delle attività di ricerca informativa stabilite dal direttore generale del DIS ai sensi del comma 2, le attività di ricerca e di elaborazione informativa rivolte alla protezione cibernetica e alla sicurezza informatica nazionali.
5. Per lo svolgimento delle attività previste dal presente articolo, il DIS e le Agenzie, secondo le forme di coordinamento definite ai sensi dell’art. 4, comma 3, lettera d-bis), della legge n. 124 del 2007, corrispondono con le pubbliche amministrazioni, i soggetti erogatori di servizi di pubblica utilità, le università e con gli enti di ricerca, stipulando a tal fine apposite convenzioni ai sensi dell’art. 13, comma 1, della medesima legge. Possono accedere, per le medesime finalità, agli archivi informatici dei soggetti di cui all’art. 13, comma 2, della legge n. 124 del 2007, secondo le modalità e con le procedure indicate dal regolamento ivi previsto.
6. Il DIS, ai sensi dell’art. 4, comma 3, lettera m), della legge n. 124 del 2007, pone in essere ogni iniziativa volta a promuovere e diffondere la conoscenza e la consapevolezza in merito ai rischi derivanti dalla minaccia cibernetica e sulle misure necessarie a prevenirli.
1. Presso il Dipartimento delle informazioni per la sicurezza è costituito, in via permanente, il Nucleo per la sicurezza cibernetica, a supporto del Presidente e del CISR, nella materia della sicurezza dello spazio cibernetico, per gli aspetti relativi alla prevenzione e preparazione ad eventuali situazioni di crisi e per l’attivazione delle procedure di allertamento.
2. Il Nucleo è presieduto da un vice direttore generale del DIS, designato dal direttore generale, ed è composto dal Consigliere militare e da un rappresentante rispettivamente del DIS, dell’AISE, dell’AISI, del Ministero degli affari esteri, del Ministero dell’interno, del Ministero della difesa, del Ministero della giustizia, del Ministero dello sviluppo economico, del Ministero dell’economia e delle finanze, del Dipartimento della protezione civile e dell’Agenzia per l’Italia digitale. Per gli aspetti relativi alla trattazione di informazioni classificate il Nucleo è integrato da un rappresentante dell’ufficio centrale per la segretezza di cui all’art. 9, della legge n. 124 del 2007.
3. I componenti possono farsi assistere alle riunioni da altri rappresentanti delle rispettive amministrazioni in relazione alle materie oggetto di trattazione e, in particolare, per le esigenze di raccordo di cui all’art. 9, comma 2, lettera a).
4. In relazione agli argomenti delle riunioni possono anche essere chiamati a partecipare rappresentanti di altre amministrazioni, di università o di enti e istituti di ricerca, nonchè di operatori privati interessati alla materia della sicurezza cibernetica.
5. Il Nucleo per la sicurezza cibernetica si riunisce almeno una volta al mese, su iniziativa del presidente-vice direttore generale del DIS o su richiesta di almeno un componente del Nucleo.
6. Sulle attività svolte, il Nucleo riferisce al direttore generale del DIS, per la successiva informazione al Presidente e al CISR.
1. Per le finalità di cui all’art. 8, comma 1, il Nucleo per la sicurezza cibernetica svolge funzioni di raccordo tra le diverse componenti dell’architettura istituzionale che intervengono a vario titolo nella materia della sicurezza cibernetica, nel rispetto delle competenze attribuite dalla legge a ciascuna di esse.
2. In particolare, nel campo della prevenzione e della preparazione ad eventuali situazioni di crisi cibernetica, il Nucleo:
a) promuove, sulla base delle direttive di cui all’art. 3, comma 1, lettera d), la programmazione e la pianificazione operativa della risposta a situazioni di crisi cibernetica da parte delle amministrazioni e degli operatori privati interessati e l’elaborazione delle necessarie procedure di coordinamento interministeriale, in raccordo con le pianificazioni di difesa civile e di protezione civile, anche nel quadro di quanto previsto ai sensi dell’art. 7-bis, comma 5, del decreto-legge n. 174 del 2015, convertito, con modificazioni, dalla legge n. 198 del 2015;
c) valuta e promuove, in raccordo con le amministrazioni competenti per specifici profili della sicurezza cibernetica, e tenuto conto di quanto previsto dall’art. 7 riguardo all’attività degli organismi di informazione per la sicurezza, procedure di condivisione delle informazioni, anche con gli operatori privati interessati, ai fini della diffusione di allarmi relativi ad eventi cibernetici e per la gestione delle crisi;
d) acquisisce le comunicazioni circa i casi di violazioni o tentativi di violazione della sicurezza o di perdita dell’integrità significativi ai fini del corretto funzionamento delle reti e dei servizi dal Ministero dello sviluppo economico, dagli organismi di informazione per la sicurezza, dalle Forze di polizia e, in particolare, dal CNAIPIC nell’esercizio dei servizi di protezione informatica delle infrastrutture critiche ai sensi dell’art. 7-bis del decreto-legge n. 144 del 2005, convertito, con modificazioni, dalla legge n. 155 del 2005, dalle strutture del Ministero della difesa e dai CERT di cui all’art. 10, comma 3;
3. Ai fini dell’attivazione delle azioni di risposta e ripristino rispetto a situazioni di crisi cibernetica, il Nucleo:
b) valuta se l’evento assume dimensioni, intensità o natura tali da non poter essere fronteggiato dalle singole amministrazioni competenti in via ordinaria, ma richiede l’assunzione di decisioni coordinate in sede interministeriale, provvedendo in tal caso, allo svolgimento delle attività di raccordo e coordinamento di cui all’art. 10, nella composizione ivi prevista;
c) informa tempestivamente il Presidente, per il tramite del direttore generale del DIS, sulla situazione in atto, ai fini delle determinazioni di cui all’art. 7-bis, comma 5, del richiamato decreto-legge n. 174 del 2015, convertito, con modificazioni, dalla legge n. 198 del 2015.
4. Il Nucleo per la sicurezza cibernetica elabora appositi rapporti sullo stato di attuazione delle misure di coordinamento ai fini della preparazione e gestione della crisi previste dal presente decreto e li trasmette, per le finalità di cui all’art. 5, comma 2, lettera c), all’organismo collegiale di cui all’art. 5.
1. Per la gestione delle crisi di natura cibernetica, il Nucleo si riunisce nella composizione individuata ai sensi del comma 2, nei casi di cui all’art. 9, comma 3, lettera b), ovvero a seguito delle determinazioni di cui all’art. 7-bis, comma 5, del decreto-legge n. 174 del 2015, convertito, con modificazioni, dalla legge n. 198 del 2015.
2. Ai sensi del comma 1, la composizione del Nucleo è integrata, in ragione delle necessità, con un rappresentante del Ministero della salute, del Ministero delle infrastrutture e dei trasporti, del Dipartimento dei Vigili del fuoco, del soccorso pubblico e della difesa civile, in rappresentanza anche della Commissione interministeriale tecnica di difesa civile (CITDC), dell’ufficio del Consigliere militare del Presidente del Consiglio dei ministri autorizzati ad assumere decisioni che impegnano la propria amministrazione. Alle riunioni i componenti possono farsi accompagnare da altri funzionari della propria amministrazione. Alle stesse riunioni possono essere chiamati a partecipare rappresentanti di altre amministrazioni, anche locali, ed enti, anche essi autorizzati ad assumere decisioni, degli operatori privati di cui all’art. 11 e di altri soggetti eventualmente interessati. Il Nucleo può essere convocato anche in composizione ristretta con la partecipazione dei rappresentanti delle sole amministrazioni e soggetti interessati.
3. è compito del Nucleo, nella composizione per la gestione delle crisi, di cui al comma 2, assicurare che le attività di reazione e stabilizzazione di competenza delle diverse amministrazioni ed enti rispetto a situazioni di crisi di natura cibernetica, vengano espletate in maniera coordinata secondo quanto previsto dall’art. 9, comma 2, lettera a), avvalendosi, per gli aspetti tecnici di risposta sul piano informatico e telematico, del Computer Emergency Response Team (CERT) nazionale, istituito presso il Ministero dello sviluppo economico, del CERT-PA, istituito presso l’Agenzia per l’Italia digitale, e degli altri CERT istituiti ai sensi della normativa vigente. Nei casi di cui all’art. 7-bis, comma 5, del decreto-legge n. 174 del 2015, convertito, con modificazioni, dalla legge n. 198 del 2015, il Nucleo opera nel quadro delle procedure individuate ai sensi delle disposizioni ivi previste.
4. Il Nucleo, per l’espletamento delle proprie funzioni e fermo restando quanto previsto ai sensi dell’art. 7-bis, comma 5, del decreto-legge n. 174 del 2015, convertito, con modificazioni, dalla legge n. 198 del 2015:
1. Gli operatori privati che forniscono reti pubbliche di comunicazione o servizi di comunicazione elettronica accessibili al pubblico, gli operatori di servizi essenziali e i fornitori di servizi digitali, di cui rispettivamente all’art. 2, comma 1, lettere p) e q), quelli che gestiscono infrastrutture critiche di rilievo nazionale ed europeo, il cui funzionamento è condizionato dall’operatività di sistemi informatici e telematici, ivi comprese quelle individuate ai sensi dell’art. 1, comma 1, lettera d), del decreto del Ministro dell’interno 9 gennaio 2008, secondo quanto previsto dalla normativa vigente, ovvero previa apposita convenzione:
a) comunicano al Nucleo per la sicurezza cibernetica, anche per il tramite dei soggetti istituzionalmente competenti a ricevere le relative comunicazioni ai sensi dell’art. 16-bis, comma 2, lettera b), del decreto legislativo n. 259 del 2003, ogni significativa violazione della sicurezza o dell’integrità dei propri sistemi informatici, utilizzando canali di trasmissione protetti;
b) adottano le best practices e le misure finalizzate all’obiettivo della sicurezza cibernetica, definite ai sensi dell’art. 16-bis, comma 1, lettera a), del decreto legislativo n. 259 del 2003, e dell’art. 5, comma 2, lettera d), del presente decreto;
2. Il Ministro dello sviluppo economico, fermo restando quanto previsto dal regolamento di cui all’art. 4, comma 3, lettera l), della legge n. 124 del 2007, promuove l’istituzione di un centro di valutazione e certificazione nazionale per la verifica delle condizioni di sicurezza e dell’assenza di vulnerabilità di prodotti, apparati e sistemi destinati ad essere utilizzati per il funzionamento di reti, servizi e infrastrutture critiche, di cui al comma 1, nonchè di ogni altro operatore per cui sussista un interesse nazionale.
3. Ferme restando le conseguenze derivanti dalla violazione di altri specifici obblighi di legge, la mancata comunicazione degli eventi di cui al comma 1, lettera a), è altresì valutata ai fini dell’affidabilità richiesta per il possesso delle abilitazioni di sicurezza di cui al regolamento adottato ai sensi dell’art. 4, comma 3, lettera l), della legge n. 124 del 2007.
1. Per lo scambio delle informazioni classificate e a diffusione esclusiva si osservano le disposizioni di cui al regolamento adottato ai sensi dell’art. 4, comma 3, lettera l), della legge n. 124 del 2007.
2. Il DIS, attraverso l’ufficio centrale per la segretezza, assolve, altresì, ai compiti previsti dal regolamento di cui al comma 1, relativi alla tutela dei Communication and Information System (CIS) delle pubbliche amministrazioni e degli operatori privati di cui all’art. 11 del presente decreto, che trattano informazioni classificate e a diffusione esclusiva.
1. Dal presente decreto non derivano nuovi oneri a carico del bilancio dello Stato.
2. Al fine di assicurare il funzionamento, senza soluzione di continuità, dell’unità di allertamento e risposta a crisi cibernetiche, di cui all’art. 9, comma 2, lettera b), durante il passaggio di competenze del Nucleo per la sicurezza cibernetica al DIS, previsto dal presente decreto, le strutture deputate alla gestione di tali attività sulla base del decreto del Presidente del Consiglio dei ministri 24 gennaio 2013 mantengono la loro operatività ed erogano i relativi servizi a favore del Nucleo, istituito presso il DIS, dalla data di entrata in vigore del presente decreto e fino a cessate esigenze, comunicate a cura del direttore generale del DIS.
3. Il presente decreto è pubblicato nella Gazzetta Ufficiale della Repubblica italiana.
4. A decorrere dalla data di pubblicazione del presente decreto è abrogato il decreto del Presidente del Consiglio dei ministri 24 gennaio 2013.
reg.ne prev. n. 691
Si parla di: AGID cert CISR cybersecurity dis Gentiloni Pansa « Articolo precedente
Lascia un commento Annulla risposta	Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *Commento Nome * Email * Sito web Il segreto del successo di CornerJob? Puntare tutto sul mobile. Intervista a Mauro Maltagliati