Source: http://www.ambientesicurezzaweb.it/tutela-dei-dati-le-regole-per-la-sicurezza-delle-reti/
Timestamp: 2019-04-26 16:43:08+00:00
Document Index: 174013839

Matched Legal Cases: ['art. 8', 'art. 12', 'art.\xa06', 'art.\xa0 14', 'art. 1', 'art. 5', 'art.\xa0 3', 'art. 8', 'art. 12', 'art. 4', 'art. 4', 'art.\xa016', 'art. 98', 'art. 4', 'art. 3', 'art. 3']

Home Prevenzione & protezione Tutela dei dati: le regole per la sicurezza delle reti
Anche la notifica degli incidenti significativi nel decreto del ministero dello Sviluppo economico 12 dicembre 2018
La tutela dei dati personale si basa, innanzitutto, sulla sicurezza e sulla integrità delle reti di comunicazione elettronica. Importantissima, in questo senso, è la pubblicazione del decreto del ministero dello Sviluppo economico 12 dicembre 2018 (in Gazzetta Ufficiale del 21 gennaio 2019, n. 17), che ha definito le misure per:
la sicurezza e l'integrità delle reti;
la notifica degli incidenti significativi;
il rispetto degli obblighi;
l'individuazione degli asset critici.
Sul tema della protezione dei dati si segnalano le recenti delibere del Garante della privacy sui trattamenti dei dati personali effettuati:
per svolgere investigazioni difensive o per far valere o difendere un diritto in sede giudiziaria (delibera 19 dicembre 2018);
nell'esercizio dell'attività giornalistica (delibera 29 novembre 2018).
Di seguito il testo integrale del D.M. 12 dicembre 2018.
Decreto del ministero dello Sviluppo economico 12 dicembre 2018
Misure  di sicurezza  ed  integrita' delle  reti  di comunicazione
elettronica e notifica degli incidenti significativi. (19A00317)
in Gazzetta Ufficiale del 21 gennaio 2019, n. 17
Visto il decreto legislativo 1° agosto 2003,  n.  259, recante  il
Codice  delle  comunicazioni elettroniche,  modificato  dal decreto
legislativo 28 maggio 2012,  n.  70 in  attuazione  delle direttive
2009/140/CE in materia di reti e servizi di comunicazione elettronica
e 2009/136/CE in materia di trattamento dei dati personali  e tutela
della vita privata;
Visti in particolare, gli articoli 16-bis  e 16-ter  del  predetto
decreto legislativo n. 259 del 2003 e successive modificazioni;
Vista la legge 3  agosto 2007,  n.  124, recante  il  sistema di
informazione per la sicurezza della Repubblica e la nuova  disciplina
del segreto;
Vista  la direttiva  adottata  con decreto  del  Presidente  del
protezione  cibernetica  e la   sicurezza   informatica  nazionali,
Visto il decreto legislativo 18 maggio 2018, n. 65, che ha recepito
la direttiva (UE) 2016/1148 in materia di sicurezza delle reti e  dei
sistemi informativi, ed in particolare l'art. 8 e l'art. 12, comma  6
relativi rispettivamente al CSIRT Italiano  e  all'organo istituito
presso il Dipartimento informazioni per la sicurezza  incaricato, ai
sensi delle direttive  del  Presidente del  Consiglio  dei ministri
adottate sentito il Comitato interministeriale per la sicurezza della
Repubblica (CISR), delle attivita' di prevenzione e  preparazione ad
eventuali situazioni di crisi e di attivazione  delle  procedure di
Visto il decreto legislativo 30 giugno 2003,  n.  196, recante  il
Visto il decreto del Ministro delle comunicazioni di  concerto  con
il Ministro dell'economia e delle  finanze  del 15  febbraio  2006,
pubblicato nella Gazzetta Ufficiale del 7  aprile  2006, n.  82,  e
relativo ai compensi dovuti per prestazioni conto terzi eseguite  dal
Ministero delle comunicazioni, ai  sensi  dell'art. 6  del  decreto
Visto il decreto della Presidenza  del  Consiglio dei  ministri  5
dicembre 2015, n. 158, recante il Regolamento di  organizzazione  del
Ministero dello sviluppo economico, ed in particolare l'art.  14  che
affida all'Istituto superiore delle comunicazioni e delle  tecnologie
dell'informazione      l'      individuazione      delle       misure
tecnico-organizzative di sicurezza  ed  integrita' delle  reti,  la
verifica del rispetto delle stesse e la notifica degli  incidenti di
sicurezza significativi agli organi  europei  competenti, ai  sensi
degli articoli 16-bis e 16-ter del  decreto  legislativo 1°  agosto
2003, n. 259, in accordo con i soggetti istituzionali  competenti e,
in particolare, con l'Agenzia per l'Italia Digitale;
Vista la  legge 31  luglio  1997, n.  249,  recante «Istituzione
dell'Autorita' per  le  garanzie nelle  comunicazioni  e  norme  sui
sistemi delle telecomunicazioni e radiotelevisivo» e, in particolare,
l'art. 1;
Tenuto conto delle indicazioni contenute  nei  documenti elaborati
dall'Agenzia europea per la sicurezza delle reti e  dell'informazione
(ENISA) con il contributo degli Stati  membri  dell'Unione europea:
«Technical guidance  on  the security  measures  in Article   13a»
-Versione 2.0, Ottobre 2014 e «Technical guidance  on  the incident
Considerata la necessita' di attuare le disposizioni  dei  suddetti
articoli 16-bis e 16-ter,  al  fine di  incrementare  i livelli  di
sicurezza delle reti e la disponibilita' dei servizi su tali reti;
Considerati i dati pubblicati nell'Osservatorio  trimestrale  delle
comunicazioni  a  cura  dell'Autorita'   per   le  garanzie   nelle
comunicazioni relativamente alla base  di  utenti nazionali  per  i
servizi voce e dati su rete fissa e rete mobile;
Sentiti i fornitori di reti e servizi di comunicazione  elettronica
e le relative Associazioni;
Sentite l'Autorita' per le garanzie nelle comunicazioni e l'Agenzia
per l'Italia Digitale;
a) «incidente di  sicurezza»: una  violazione  della sicurezza  o
perdita dell'integrita' che determina un malfunzionamento delle  reti
e dei servizi di comunicazione elettronica;
b) «asset critico»: un'infrastruttura in grado di fornire  servizi
di comunicazione elettronica a un significativo  numero  di utenti,
espresso  in  termini percentuali  rispetto  alla base  di   utenti
nazionale dei medesimi servizi;
c) «sicurezza e integrita' della rete»: condizioni  che  assicurano
la  disponibilita'  e continuita'  dei  servizi  di   comunicazioni
elettroniche forniti;
d) «base di utenti nazionale»: il numero totale di utenti finali  a
livello nazionale per singolo servizio di comunicazioni elettroniche,
numero complessivo delle SIM attive  Human  (per traffico  voce  e
2. Per quanto non espressamente previsto dal comma 1, si  applicano
le definizioni del  decreto  legislativo 1°  agosto  2003, n.  259,
recante il «Codice delle comunicazioni elettroniche».
Scopo del decreto
1. Il presente decreto attua le disposizioni degli articoli  16-bis
e 16-ter del decreto legislativo 1°  agosto  2003, n.  259,  e,  in
particolare, persegue i seguenti obiettivi:
a) individuare adeguate misure di natura  tecnico  - organizzativa
per  la  sicurezza e  l'integrita'  delle reti  e  dei servizi  di
comunicazione elettronica,  al  fine di  conseguire  un livello  di
sicurezza delle reti adeguato al rischio esistente e di garantire  la
disponibilita' e continuita' dei servizi su tali reti,  prevenendo e
limitando gli  impatti  di incidenti  che  possono pregiudicare  la
sicurezza per gli utenti e per le reti interconnesse;
b) definire i casi in cui le violazioni della  rete  o la  perdita
dell'integrita' sono da considerarsi significative,  ai  fini della
notifica da parte dei fornitori di reti e servizi  di  comunicazione
alle competenti Autorita', nonche' le  relative  modalita' di  tale
1. Il presente decreto  si applica  ai  servizi di  comunicazione
elettronica di seguito riportati:
2. Il presente decreto si applica ai fornitori di reti e servizi di
comunicazione elettronica che servono un numero di  utenti effettivo
pari o superiore all'1% della base di utenti  nazionale per  ciascun
servizio di cui al comma 1, calcolato sulla base dei dati  pubblicati
dall'Osservatorio   trimestrale   delle   comunicazioni    a    cura
dell'Autorita' per  le  garanzie nelle  comunicazioni.  Il presente
decreto si applica  altresi'  ai fornitori  di  reti e  servizi  di
pari o superiore ad un milione.
Misure di sicurezza e integrita' delle reti
1. I fornitori di reti e servizi di comunicazione elettronica  sono
tenuti ad adottare le seguenti misure di sicurezza e integrita' delle
reti e dei servizi:
1) predisporre  una  documentata  politica   relativamente   alla
sicurezza e alla integrita' delle reti di comunicazione e dei servizi
2) definire una dettagliata politica di  sicurezza  per gli  asset
critici e i processi aziendali;
3) definire e mantenere aggiornata una politica  di  sicurezza per
tutti gli aspetti elencati nelle successive lettere;
1) individuare i principali rischi per la sicurezza e  l'integrita'
delle reti  e  dei servizi  di  comunicazione elettronica  forniti,
tenendo conto delle minacce che insistono sugli asset critici;
2) definire una metodologia di gestione  dei  rischi e  utilizzare
strumenti basati sugli standard di settore;
3) verificare l'effettivo utilizzo di tali metodologie e  strumenti
di gestione del rischio da parte del personale;
4) assicurarsi che i rischi residui,  anche  derivanti da  vincoli
realizzativi,  siano  minimizzati rispetto  alla  probabilita'  del
verificarsi di incidenti significativi e che  siano accettati  dalla
1) identificare   ruoli   per  il   personale   e  le   relative
responsabilita' in autonomia di esercizio;
2) conferire,  con formale  nomina,  ruoli e  responsabilita'  al
3) assicurare la reperibilita', in caso di incidenti di  sicurezza,
del personale responsabile;
3) assicurare che i rischi residui che non sono gestiti dalla terza
parte siano minimizzati rispetto alla probabilita' del verificarsi di
incidenti e che siano accettati dalla Direzione;
4) tenere  traccia  ed eventualmente  gestire  gli incidenti  di
sicurezza  relativi  a terze  parti  o da  esse  causati  che   si
ripercuotono sulla rete o sul servizio erogato;
2) prevedere un'adeguata ed aggiornata formazione del personale con
ruoli di responsabilita';
3) organizzare corsi di formazione e sessioni di  sensibilizzazione
5) definire appropriate procedure per gestire le nuove assunzioni e
la rotazione del personale che ricopre ruoli di responsabilita';
6) revocare diritti di accesso, se non piu' giustificati;
7) definire procedure di intervento per violazioni delle  politiche
di sicurezza di cui  alla  lettera a),  che  mettano a  rischio  la
sicurezza e l'integrita' delle reti e dei servizi  di  comunicazione
1)  definire   condizioni,   responsabilita'   e  procedure   per
l'assegnazione,  la  revoca  dei   diritti   di  accesso,   e   per
l'approvazione delle eventuali eccezioni;
2) definire meccanismi di autenticazione appropriati, a seconda del
3) adottare  meccanismi  di protezione  da  accessi fisici   non
autorizzati o da eventi imprevisti quali, a titolo esemplificativo ma
non esaustivo, furti con scasso, incendi, inondazioni;
4) adottare meccanismi di controllo di accesso  logico  appropriati
per l'accesso alla rete e ai sistemi di informazione per  consentirne
solo l'uso autorizzato;
5) verificare che utenti e sistemi abbiano  ID  univoci e  possano
accedere ad altri servizi e sistemi previa autenticazione;
7) prevedere meccanismi di  protezione degli  impianti  funzionali
all'erogazione del servizio, quali, a titolo esemplificativo  ma  non
esaustivo, elettricita' e gas;
g) integrita' della rete e dei sistemi informativi:
1) implementare sistemi di protezione e di  rilevamento  di codice
malevolo che possa alterare la funzionalita' dei sistemi;
2) assicurarsi che il software impiegato nella rete e  nei  sistemi
informativi non venga manomesso o alterato;
3) assicurarsi che i dati critici sulla sicurezza, quali, a  titolo
esemplificativo ma non esaustivo, password  e  chiavi private,  non
siano divulgati o manomessi;
1)  predisporre le  procedure  operative  e   individuare   i
responsabili per il funzionamento dei sistemi critici;
2)  predisporre procedure  per  la  gestione   di   eventuali
3) attenersi alle procedure predefinite  quando  si effettuano
attivita' sui sistemi critici;
4)  registrare e  documentare  ogni  modifica   o   attivita'
effettuata sui sistemi critici;
5) predisporre e aggiornare un  database  delle configurazioni
dei sistemi critici per eventuali ripristini delle stesse;
1) prevedere una struttura tecnica con  adeguata  competenza e
disponibilita' incaricata della gestione degli incidenti;
3) esaminare i principali incidenti e redigere relazioni  sugli
stessi, che contengano informazioni sulle azioni intraprese  e sulle
raccomandazioni per ridurre il rischio del  ripetersi  di incidenti
4)  definire e  implementare  processi e   sistemi   per  il
rilevamento degli incidenti;
5) definire procedure per informare gli utenti su incidenti  in
corso o risolti, oltreche' il CSIRT italiano e  l'Istituto superiore
delle  comunicazioni  e delle   tecnologie   dell'informazione   del
Ministero dello sviluppo economico (di seguito anche  ISCTI) secondo
quanto   previsto   dal  presente   decreto,   notiziando  comunque
preventivamente il CSIRT e l'ISCTI;
6) definire  procedure per  la  segnalazione degli  incidenti
significativi ai sensi del successivo art. 5.
j) continuita' operativa:
1) predisporre e implementare piani di emergenza per gli  asset
2)  monitorare l'attivazione  e  l'esecuzione di   piani   di
emergenza, registrando i tempi di ripristino dell'operativita' e  del
3)  predisporre e  mantenere  una appropriata  capacita'   di
4)  implementare procedure  per  le attivita'  di  ripristino
dell'operativita' e dei servizi;
1) sottoporre a test reti, sistemi informativi e nuove versioni
del software prima di utilizzarli o collegarli a sistemi esistenti;
2) implementare il monitoraggio e la registrazione dello  stato
e degli eventi dei sistemi critici;
3) impostare gli  strumenti per  raccogliere  e archiviare  i
registri dei sistemi critici;
4)  configurare strumenti  per   la  raccolta   e   l'analisi
automatizzata di dati e registri di monitoraggio;
5)  predisporre un   programma   per  la   realizzazione   di
esercitazioni periodiche per testare piani di disaster recovery e  di
ripristino dei backup;
7)  assicurarsi che  i  sistemi critici  siano  sottoposti a
scansioni e test di sicurezza regolarmente,  in  particolare quando
vengono introdotti nuovi sistemi e in seguito a modifiche;
8) monitorare la conformita' agli standard e alle  disposizioni
2. Le misure di cui al comma 1 si riferiscono agli  asset  critici,
individuati secondo le modalita' di cui all'Allegato  1 al  presente
decreto, in cui il valore della percentuale dell'utenza, che  l'asset
e' potenzialmente in grado di servire per ciascun servizio di cui  al
comma 1, e' pari o superiore all'1% della base  di utenti  nazionale
per quel servizio, sulla base dei dati pubblicati  dall'Osservatorio
trimestrale delle comunicazioni a cura dell'Autorita' per le garanzie
nelle comunicazioni. Le misure di cui  al  comma 1  si  riferiscono
altresi' agli asset critici individuati secondo  i  criteri di  cui
all'Allegato 1 al presente decreto in cui il numero della  potenziale
utenza servita e' pari o superiore ad un milione.
Incidenti significativi
1. I parametri che definiscono la significativita' di un  incidente
di sicurezza sono la durata del disservizio e  la percentuale  degli
utenti colpiti rispetto al totale degli utenti nazionali del servizio
2. In attuazione dei parametri di cui  all'art.  3, comma  2,  gli
incidenti sono da considerarsi significativi, nei seguenti casi:
a) durata superiore ad un'ora e percentuale  degli  utenti colpiti
superiore al quindici per cento del totale degli utenti nazionali del
servizio interessato;
b) durata superiore a due ore e percentuale  degli  utenti colpiti
superiore al dieci per cento del totale degli  utenti nazionali  del
c) durata superiore  a quattro  ore  e percentuale  degli  utenti
colpiti superiore  al  cinque per  cento  del totale  degli  utenti
nazionali del servizio interessato;
d) durata superiore a sei ore e percentuale  degli  utenti colpiti
superiore al due per cento del totale  degli  utenti nazionali  del
e) durata superiore ad otto ore e percentuale degli utenti  colpiti
superiore all'uno per cento del totale degli  utenti  nazionali del
servizio interessato.
3. Nei  casi di  cui  al comma  2,  i fornitori  di  servizi di
comunicazione elettronica segnalano tempestivamente  l'incidente  al
CSIRT di cui all'art. 8 del decreto legislativo 18 maggio 2018, n. 65
e all'ISCTI. La comunicazione e' effettuata entro  ventiquattro  ore
dall'avvenuta rilevazione dell'incidente, con  l'indicazione  almeno
delle seguenti informazioni, qualora disponibili:
b) durata dell'incidente qualora concluso, ovvero  la  stima della
conclusione se ancora in corso;
c) impatto stimato sull'utenza del servizio interessato in  termini
percentuali rispetto alla base di utenti nazionale  per il  medesimo
4. Entro cinque giorni dalla segnalazione di  cui al  comma  3,  i
fornitori di servizi  di  comunicazione elettronica  trasmettono  al
CSIRT e all'ISCTI un rapporto in cui sono riportati:
a) descrizione dell'incidente;
b) causa dell'incidente quale, a titolo  meramente  esemplificativo
ma non esaustivo, errore umano, guasto,  fenomeno  naturale, azioni
malevoli, guasti causati da terze parti;
f) azioni di risposta per mitigare l'impatto dell'incidente;
g) azioni per ridurre la probabilita' del ripetersi dell'incidente
o di incidenti simili.
Eventuali informazioni rilevanti emerse  successivamente  all'invio
del suddetto rapporto saranno oggetto  di  un rapporto  integrativo
trasmesso con la massima sollecitudine al CSIRT e all'ISCTI.
5. L'ISCTI inoltra tempestivamente le comunicazioni di cui ai commi
3 e 4 all'organo di cui all'art. 12, comma 6, del decreto legislativo
18 maggio 2018, n. 65.
6. L'ISCTI invia all'Agenzia ENISA e alla Commissione  europea  con
periodicita' annuale un report sugli incidenti segnalati,  contenente
le informazioni di cui ai  commi  3 e  4,  senza l'indicazione  dei
fornitori di reti e servizi di comunicazione elettronica interessati.
7. Nei casi in cui gli incidenti di cui al comma 3 possono avere un
impatto su reti e servizi di un altro Stato membro,  i fornitori  di
reti e servizi di comunicazione elettronica informano tempestivamente
il CSIRT e l'ISCTI per la successiva notifica  all'Agenzia  ENISA e
all'Autorita' dello Stato membro interessato.
1. Entro  novanta  giorni dall'entrata  in  vigore del  presente
decreto, i fornitori di reti e servizi di comunicazione  elettronica
trasmettono all'ISCTI l'elenco degli  asset  critici oggetto  delle
misure di cui all'art. 4, individuati secondo  i  criteri stabiliti
nell'Allegato 1, e implementano tali misure nei successivi centoventi
2. Ai fini  della valutazione  del  soddisfacimento  delle misure
definite nell'art. 4, comma 1 del  presente  decreto, l'ISCTI  tiene
conto anche dell'eventuale possesso di certificazioni di  conformita'
a  standard  riconosciuti a  livello  internazionale  che attestano
l'applicazione di tali misure.
3. Al  fine  di verificare   la   corretta  applicazione   delle
disposizioni  contenute   nel  presente   decreto,   l'ISCTI  puo',
autonomamente o su  impulso  dell'Autorita'  per le  garanzie  nelle
comunicazioni, effettuare verifiche e controlli presso  le sedi  dei
fornitori di reti  e  servizi di  comunicazione  elettronica, anche
avvalendosi  degli  Ispettorati territoriali  o  di  un   organismo
qualificato indipendente.
Ai sensi  dell'art. 16-ter,  comma  2, lettera  b),  del decreto
legislativo 1° agosto 2003, n. 259, i relativi oneri finanziari  sono
sostenuti  dai  fornitori di  reti  e  servizi   di   comunicazione
Qualora dette attivita' ispettive siano eseguite da  personale  del
Ministero dello sviluppo economico si applica un rimborso delle spese
sostenute calcolato  sulla  base delle  disposizioni  contenute nel
decreto 15 febbraio 2006 del Ministro delle comunicazioni di concerto
con il Ministro dell'economia e delle finanze.
4. Qualora a seguito delle verifiche e  dei  controlli di  cui  al
comma 3 venga riscontrata la mancata applicazione delle  disposizioni
del presente decreto, l'ISCTI diffida i fornitori di reti  e servizi
di comunicazione elettronica a regolarizzare  la  propria posizione
entro un termine congruo decorso il quale, in caso di inottemperanza,
trovano applicazione le sanzioni di cui all'art. 98, commi da 4 a 12,
del decreto legislativo 1° agosto 2003, n. 259.
2. Il presente decreto e' modificato almeno ogni due anni.
3. Il presente decreto entra in vigore il  giorno  successivo alla
Modalita' per l'individuazione degli asset critici
di cui all'art. 4, comma 2
Il presente  allegato si  applica  a ciascun  servizio  di  cui
Valutazione degli asset utilizzati per erogare i servizi  di  cui
all'art. 3, comma 1, identificando per ciascuno di tali servizi tutti
gli asset, propri o di terzi, che contribuiscono  anche parzialmente
alla fornitura dei servizi alla propria base di utenti.
Individuazione degli asset identificati in termini  funzionali  e
architetturali per ciascun servizio di cui all'art. 3, comma 1, sulla
base della seguente ripartizione di elementi funzionali:
a) accesso (concentratori di rete fissa e apparati  della  rete
radio di accesso);
d) controllo e gestione (sistemi di  segnalazione,  sistemi di
autenticazione, Domain Name System - DNS,  Home Location  Register -
HLR, sistemi di gestione di rete).
a)  Identificazione  degli asset   in   termini  topologici   e
dimensionali nella rete relativamente  alle  tipologie di  elementi
funzionali definite al punto precedente;
b) distribuzione geografica e caratteristiche di ridondanza degli
asset che compongono le tipologie degli elementi;
c) numerosita' dei suddetti asset;
Individuazione degli asset dei quali,  sulla  base di  opportune
motivazioni, si prevede l'esclusione dall'insieme di  quelli oggetto
asset critici
reti elettroniche
Privacy e dati processuali: queste le regole