Gazzetta n. 138 del 11 giugno 2021 - PRESIDENZA DEL CONSIGLIO DEI MINISTRI

Gazzetta n. 138 del 11 giugno 2021 (vai al sommario)

PRESIDENZA DEL CONSIGLIO DEI MINISTRI

DECRETO DEL PRESIDENTE DEL CONSIGLIO DEI MINISTRI 14 aprile 2021, n. 81

Regolamento in materia di notifiche degli incidenti aventi impatto su reti, sistemi informativi e servizi informatici di cui all'articolo 1, comma 2, lettera b), del decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133, e di misure volte a garantire elevati livelli di sicurezza.

IL PRESIDENTE
DEL CONSIGLIO DEI MINISTRI

Vista la legge 23 agosto 1988, n. 400;
Visto il decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133, recante disposizioni urgenti in materia di perimetro di sicurezza nazionale cibernetica e di disciplina dei poteri speciali nei settori di rilevanza strategica e, in particolare, l'articolo 1, comma 3;
Visto il decreto legislativo 30 luglio 1999, n. 300, recante riforma dell'organizzazione del Governo, a norma dell'articolo 11 della legge 15 marzo 1997, n. 59;
Visto il decreto legislativo 1° agosto 2003, n. 259, recante codice delle comunicazioni elettroniche;
Visto il decreto legislativo 7 marzo 2005, n. 82, recante codice dell'amministrazione digitale e, in particolare, l'articolo 29;
Visto il decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n. 155, recante misure urgenti per il contrasto del terrorismo e, in particolare, l'articolo 7-bis;
Vista la legge 3 agosto 2007, n. 124, recante Sistema di informazione per la sicurezza della Repubblica e nuova disciplina del segreto;
Visto il decreto legislativo 18 maggio 2018, n. 65, di attuazione della direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio, del 6 luglio 2016, recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell'Unione;
Visto il regolamento adottato con decreto del Presidente del Consiglio dei ministri 3 aprile 2020, n. 2, recante l'ordinamento e l'organizzazione del DIS;
Visto il regolamento adottato con decreto del Presidente del Consiglio dei ministri 30 luglio 2020, n. 131, ai sensi dell'articolo 1, comma 2, del decreto-legge n. 105 del 2019, in materia di perimetro di sicurezza nazionale cibernetica;
Visto il decreto del Presidente del Consiglio dei ministri 17 febbraio 2017, recante direttiva concernente indirizzi per la protezione cibernetica e la sicurezza informatica nazionali, pubblicato nella Gazzetta Ufficiale della Repubblica italiana n. 87 del 13 aprile 2017;
Visto il decreto del Presidente del Consiglio dei ministri 8 agosto 2019, recante disposizioni sull'organizzazione e il funzionamento del Computer security incident response team - CSIRT italiano, pubblicato nella Gazzetta Ufficiale della Repubblica italiana n. 262 dell'8 novembre 2019;
Visto il «Framework nazionale per la cybersecurity e la data protection», edizione 2019 (Framework nazionale), realizzato dal Centro di ricerca di cyber intelligence and information security (CIS) dell'Universita' Sapienza di Roma e dal Cybersecurity national lab del Consorzio interuniversitario nazionale per l'informatica (CINI), con il supporto dell'Autorita' garante per la protezione dei dati personali e del Dipartimento delle informazioni per la sicurezza (DIS), quale strumento di supporto per le organizzazioni pubbliche e private in materia di strategie e processi volti alla protezione dei dati personali, con specifico riferimento alla sicurezza degli stessi a fronte di possibili attacchi informatici, e alla sicurezza cyber, nonche' per il loro continuo monitoraggio;
Considerato di dover tenere conto degli standard definiti a livello internazionale e dell'Unione europea e di assumere, quale base di riferimento per l'individuazione delle misure corrispondenti agli ambiti di cui all'articolo 1, comma 3, lettera b), del decreto-legge n. 105 del 2019, il Framework nazionale, adeguandolo allo specifico contesto operativo delineato dal perimetro di sicurezza nazionale cibernetica e, pertanto, di richiamare, per ciascuna misura individuata, il codice alfanumerico identificativo della relativa sottocategoria del Framework nazionale;
Udito il parere del Consiglio di Stato espresso dalla sezione consultiva per gli atti normativi nell'adunanza del 1° dicembre 2020;
Acquisiti i pareri delle Commissioni I e IX riunite, IV e V della Camera dei deputati e delle Commissioni 1ª, 4ª e 5ª del Senato della Repubblica;
Sulla proposta del Comitato interministeriale per la sicurezza della Repubblica;

Adotta
il seguente regolamento:

Art. 1

Definizioni

1. Ai fini del presente decreto si intende per:
a) decreto-legge, il decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133;
b) perimetro, il perimetro di sicurezza nazionale cibernetica istituito ai sensi dell'articolo 1, comma 1, del decreto-legge;
c) soggetti inclusi nel perimetro, i soggetti di cui all'articolo 1, comma 2-bis, del decreto-legge;
d) CISR, il Comitato interministeriale per la sicurezza della Repubblica di cui all'articolo 5 della legge 3 agosto 2007, n. 124;
e) rete, sistema informativo:
1) una rete di comunicazione elettronica ai sensi dell'articolo 1, comma 1, lettera dd), del decreto legislativo 1° agosto 2003, n. 259;
2) qualsiasi dispositivo o gruppo di dispositivi interconnessi o collegati, uno o piu' dei quali eseguono, in base ad un programma, un trattamento automatico di dati digitali, ivi inclusi i sistemi di controllo industriale;
3) i dati digitali conservati, trattati, estratti o trasmessi per mezzo di reti o dispositivi di cui ai numeri 1) e 2), per il loro funzionamento, uso, protezione e manutenzione, compresi i programmi di cui al numero 2);
f) servizio informatico, un servizio consistente interamente o prevalentemente nel trattamento di informazioni, per mezzo della rete e dei sistemi informativi, ivi incluso quello di cloud computing di cui all'articolo 3, comma 1, lettera aa), del decreto legislativo n. 65 del 2018;
g) bene ICT (information and communication technology), un insieme di reti, sistemi informativi e servizi informatici, o parti di essi, incluso nell'elenco di cui all'articolo 1, comma 2, lettera b), del decreto-legge;
h) incidente, ogni evento di natura accidentale o intenzionale che determina il malfunzionamento, l'interruzione, anche parziali, ovvero l'utilizzo improprio delle reti, dei sistemi informativi o dei servizi informatici;
i) impatto sul bene ICT, limitazione della operativita' del bene ICT, ovvero compromissione della disponibilita', integrita', o riservatezza dei dati e delle informazioni da esso trattati, ai fini dello svolgimento della funzione o del servizio essenziali;
l) DIS, il Dipartimento delle informazioni per la sicurezza della Presidenza del Consiglio dei ministri, di cui all'articolo 4 della legge n. 124 del 2007;
m) CISR tecnico, l'organismo tecnico di supporto al CISR, di cui all'articolo 4, comma 5, del regolamento adottato con decreto del Presidente del Consiglio dei ministri 3 aprile 2020, n. 2, che definisce l'ordinamento e l'organizzazione del DIS;
n) CSIRT italiano, il Computer security incident response team istituito presso il DIS ai sensi dell'articolo 8 del decreto legislativo n. 65 del 2018;
o) indicatori di compromissione (IOC), indicatori tecnici impiegati per la rilevazione di una minaccia o compromissione nota e generalmente riconducibili a indirizzi IP, elementi identificativi e moduli software afferenti agli strumenti tecnici impiegati da attori malevoli.

N O T E

Avvertenza:
- Il testo delle note qui pubblicato e' stato redatto
dall'amministrazione competente per materia ai sensi
dell'articolo 10, comma 3 del testo unico delle
disposizioni sulla promulgazione delle leggi,
sull'emanazione dei decreti del Presidente della Repubblica
e sulle pubblicazioni ufficiali della Repubblica italiana,
approvato con decreto del Presidente della Repubblica 28
dicembre 1985, n. 1092, al solo fine di facilitare la
lettura delle disposizioni di legge modificate o alle quali
e' operato il rinvio. Restano invariati il valore e
l'efficacia degli atti legislativi qui trascritti.

Note alle premesse:
- La legge 23 agosto 1988, n. 400 (Disciplina
dell'attivita' di Governo e ordinamento della Presidenza
del Consiglio dei ministri), e' pubblicata nella Gazzetta
Ufficiale 12 settembre 1988, n. 214, S.O. n. 86.
- Si riporta il testo del comma 3 dell'articolo 1 del
decreto-legge 21 settembre 2019, n. 105 (Disposizioni
urgenti in materia di perimetro di sicurezza nazionale
cibernetica e di disciplina dei poteri speciali nei settori
di rilevanza strategica), pubblicato nella Gazzetta
Ufficiale 21 settembre 2019, n. 222, convertito , con
modificazioni, dalla legge 18 novembre 2019, n. 133,
pubblicata nella Gazzetta Ufficiale 20 novembre 2019, n.
272:
«Art. 1. (Perimetro di sicurezza nazionale
cibernetica). - 1. - 2. (Omissis).
3. Entro dieci mesi dalla data di entrata in vigore
della legge di conversione del presente decreto, con
decreto del Presidente del Consiglio dei ministri, che
disciplina altresi' i relativi termini e modalita'
attuative, adottato su proposta del CISR:
a) sono definite le procedure secondo cui i soggetti
di cui al comma 2-bis notificano gli incidenti aventi
impatto su reti, sistemi informativi e servizi informatici
di cui al comma 2, lettera b), al Gruppo di intervento per
la sicurezza informatica in caso di incidente (CSIRT)
italiano, che inoltra tali notifiche, tempestivamente, al
Dipartimento delle informazioni per la sicurezza anche per
le attivita' demandate al Nucleo per la sicurezza
cibernetica; il Dipartimento delle informazioni per la
sicurezza assicura la trasmissione delle notifiche cosi'
ricevute all'organo del Ministero dell'interno per la
sicurezza e la regolarita' dei servizi di telecomunicazione
di cui all'articolo 7-bis del decreto-legge 27 luglio 2005,
n. 144, convertito, con modificazioni, dalla legge 31
luglio 2005, n. 155, nonche' alla Presidenza del Consiglio
dei ministri, se provenienti da un soggetto pubblico o da
un soggetto di cui all'articolo 29 del decreto legislativo
7 marzo 2005, n. 82, ovvero al Ministero dello sviluppo
economico, se effettuate da un soggetto privato;
b) sono stabilite misure volte a garantire elevati
livelli di sicurezza delle reti, dei sistemi informativi e
dei servizi informatici di cui al comma 2, lettera b),
tenendo conto degli standard definiti a livello
internazionale e dell'Unione europea relative:
1) alla struttura organizzativa preposta alla
gestione della sicurezza;
1-bis) alle politiche di sicurezza e alla gestione
del rischio;
2) alla mitigazione e gestione degli incidenti e
alla loro prevenzione, anche attraverso interventi su
apparati o prodotti che risultino gravemente inadeguati sul
piano della sicurezza;
3) alla protezione fisica e logica e dei dati;
4) all'integrita' delle reti e dei sistemi
informativi;
5) alla gestione operativa, ivi compresa la
continuita' del servizio;
6) al monitoraggio, test e controllo;
7) alla formazione e consapevolezza;
8) all'affidamento di forniture di beni, sistemi e
servizi di information and communication technology (ICT),
anche mediante definizione di caratteristiche e requisiti
di carattere generale, di standard e di eventuali limiti.
4. - 19-ter. (Omissis).».
- Il decreto legislativo 30 luglio 1999, n. 300
(Riforma dell'organizzazione del Governo, a norma
dell'articolo 11 della legge 15 marzo 1997, n. 59), e'
pubblicato nella Gazzetta Ufficiale 30 agosto 1999, n. 203,
S.O. n. 163.
- Il decreto legislativo 1° agosto 2003, n. 259 (Codice
delle comunicazioni elettroniche), e' pubblicato nella
Gazzetta Ufficiale 15 settembre 2003, n. 214, S.O. n. 150.
- Si riporta il testo dell'articolo 29 del decreto
legislativo 7 marzo 2005, n. 82 (Codice
dell'amministrazione digitale), pubblicato nella Gazzetta
Ufficiale 16 maggio 2005, n. 112, S.O. n. 93:
«Art. 29. (Qualificazione dei fornitori di servizi). -
1. I soggetti che intendono fornire servizi fiduciari
qualificati o svolgere l'attivita' di gestore di posta
elettronica certificata presentano all'AgID domanda di
qualificazione, secondo le modalita' fissate dalle Linee
guida.
2. Ai fini della qualificazione, i soggetti di cui al
comma 1 devono possedere i requisiti di cui all'articolo 24
del regolamento (UE) 23 luglio 2014, n. 910/2014, disporre
di requisiti di onorabilita', affidabilita', tecnologici e
organizzativi compatibili con la disciplina europea,
nonche' di garanzie assicurative adeguate rispetto
all'attivita' svolta. Con decreto del Presidente del
Consiglio dei ministri, o del Ministro delegato per
l'innovazione tecnologica e la digitalizzazione, sentita
l'AgID, nel rispetto della disciplina europea, sono
definiti i predetti requisiti in relazione alla specifica
attivita' che i soggetti di cui al comma 1 intendono
svolgere. Il predetto decreto determina altresi' i criteri
per la fissazione delle tariffe dovute all'AgID per lo
svolgimento delle predette attivita', nonche' i requisiti e
le condizioni per lo svolgimento delle attivita' di cui al
comma 1 da parte di amministrazioni pubbliche.
3.
4. La domanda di qualificazione si considera accolta
qualora non venga comunicato all'interessato il
provvedimento di diniego entro novanta giorni dalla data di
presentazione della stessa.
5. Il termine di cui al comma 4, puo' essere sospeso
una sola volta entro trenta giorni dalla data di
presentazione della domanda, esclusivamente per la motivata
richiesta di documenti che integrino o completino la
documentazione presentata e che non siano gia' nella
disponibilita' di AgID o che questo non possa acquisire
autonomamente. In tale caso, il termine riprende a
decorrere dalla data di ricezione della documentazione
integrativa.
6. A seguito dell'accoglimento della domanda, AgID
dispone l'iscrizione del richiedente in un apposito elenco
di fiducia pubblico, tenuto da AgID stesso e consultabile
anche in via telematica, ai fini dell'applicazione della
disciplina in questione.
7. - 8.
9. Alle attivita' previste dal presente articolo si fa
fronte nell'ambito delle risorse di AgID, senza nuovi o
maggiori oneri per la finanza pubblica.».
- Si riporta il testo dell'articolo 7-bis del
decreto-legge 27 luglio 2005, n. 144 (Misure urgenti per il
contrasto del terrorismo internazionale), pubblicato nella
Gazzetta Ufficiale 27 luglio 2005, n. 173, convertito, con
modificazioni, dalla legge 31 luglio 2005, n. 155,
pubblicata nella Gazzetta Ufficiale 1° agosto 2005, n. 177:
«Art. 7-bis. (Sicurezza telematica). - 1. Ferme
restando le competenze dei Servizi informativi e di
sicurezza, di cui agli articoli 4 e 6 della legge 24
ottobre 1977, n. 801, l'organo del Ministero dell'interno
per la sicurezza e per la regolarita' dei servizi di
telecomunicazione assicura i servizi di protezione
informatica delle infrastrutture critiche informatizzate di
interesse nazionale individuate con decreto del Ministro
dell'interno, operando mediante collegamenti telematici
definiti con apposite convenzioni con i responsabili delle
strutture interessate.
2. Per le finalita' di cui al comma 1 e per la
prevenzione e repressione delle attivita' terroristiche o
di agevolazione del terrorismo condotte con i mezzi
informatici, gli ufficiali di polizia giudiziaria
appartenenti all'organo di cui al comma 1 possono svolgere
le attivita' di cui all'articolo 4, commi 1 e 2, del
decreto-legge 18 ottobre 2001, n. 374, convertito, con
modificazioni, dalla legge 15 dicembre 2001, n. 438, e
quelle di cui all' articolo 226 delle norme di attuazione,
di coordinamento e transitorie del codice di procedura
penale, di cui al decreto legislativo 28 luglio 1989, n.
271, anche a richiesta o in collaborazione con gli organi
di polizia giudiziaria ivi indicati.».
- La legge 3 agosto 2007, n. 124 (Sistema di
informazione per la sicurezza della Repubblica e nuova
disciplina del segreto), e' pubblicata nella Gazzetta
Ufficiale 13 agosto 2007, n.187.
- Il decreto legislativo 18 maggio 2018, n. 65
(Attuazione della direttiva (UE) 2016/1148 del Parlamento
europeo e del Consiglio, del 6 luglio 2016, recante misure
per un livello comune elevato di sicurezza delle reti e dei
sistemi informativi nell'Unione), e' pubblicato nella
Gazzetta Ufficiale 9 giugno 2018, n.132.
- Il comunicato relativo all'adozione del decreto del
Presidente del Consiglio dei ministri 3 aprile 2020, n. 2
(Regolamento che definisce l'ordinamento e l'organizzazione
del Dipartimento delle informazioni per la sicurezza
(DIS)), e' pubblicato nella Gazzetta Ufficiale 10 aprile
2020, n. 96.
- Il decreto del Presidente del Consiglio dei ministri
30 luglio 2020, n. 131 (Regolamento in materia di perimetro
di sicurezza nazionale cibernetica, ai sensi dell'articolo
1, comma 2, del decreto-legge 21 settembre 2019, n. 105,
convertito, con modificazioni, dalla legge 18 novembre
2019, n.133), e' pubblicato nella Gazzetta Ufficiale 21
ottobre 2020, n. 261.
- Il decreto del Presidente del Consiglio dei ministri
17 febbraio 2017 (Direttiva recante indirizzi per la
protezione cibernetica e la sicurezza informatica
nazionali), e' pubblicato nella Gazzetta Ufficiale 13
aprile 2017, n. 87.
- Il decreto del Presidente del Consiglio dei ministri
8 agosto 2019 (Disposizioni sull'organizzazione e il
funzionamento del Computer securty incident response team -
CSIRT italiano), e' pubblicato nella Gazzetta Ufficiale 8
novembre 2019 n. 262.

Note all'art. 1:
- Si riporta il testo dei commi 1 e 2-bis dell'articolo
1, del citato decreto-legge 21 settembre 2019, n. 105,
convertito, con modificazioni, dalla legge 18 novembre
2019, n. 133:
«Art. 1. (Perimetro di sicurezza nazionale
cibernetica). - 1. Al fine di assicurare un livello elevato
di sicurezza delle reti, dei sistemi informativi e dei
servizi informatici delle amministrazioni pubbliche, degli
enti e degli operatori pubblici e privati aventi una sede
nel territorio nazionale, da cui dipende l'esercizio di una
funzione essenziale dello Stato, ovvero la prestazione di
un servizio essenziale per il mantenimento di attivita'
civili, sociali o economiche fondamentali per gli interessi
dello Stato e dal cui malfunzionamento, interruzione, anche
parziali, ovvero utilizzo improprio, possa derivare un
pregiudizio per la sicurezza nazionale, e' istituito il
perimetro di sicurezza nazionale cibernetica.
2. (Omissis).
2-bis. L'elencazione dei soggetti individuati ai sensi
del comma 2, lettera a), e' contenuta in un atto
amministrativo, adottato dal Presidente del Consiglio dei
ministri, su proposta del CISR, entro trenta giorni dalla
data di entrata in vigore del decreto del Presidente del
Consiglio dei ministri di cui al comma 2. Il predetto atto
amministrativo, per il quale e' escluso il diritto di
accesso, non e' soggetto a pubblicazione, fermo restando
che a ciascun soggetto e' data, separatamente,
comunicazione senza ritardo dell'avvenuta iscrizione
nell'elenco. L'aggiornamento del predetto atto
amministrativo e' effettuato con le medesime modalita' di
cui al presente comma.
3. - 19-ter. (Omissis).».
- Si riporta il testo dell'articolo 5 della citata
legge 3 agosto 2007, n. 124 (Sistema di informazione per la
sicurezza della Repubblica e nuova disciplina del segreto):
«Art. 5. (Comitato interministeriale per la sicurezza
della Repubblica). - 1. Presso la Presidenza del Consiglio
dei ministri e' istituito il Comitato interministeriale per
la sicurezza della Repubblica (CISR) con funzioni di
consulenza, proposta e deliberazione sugli indirizzi e
sulle finalita' generali della politica dell'informazione
per la sicurezza.
2.Il Comitato elabora gli indirizzi generali e gli
obiettivi fondamentali da perseguire nel quadro della
politica dell'informazione per la sicurezza, delibera sulla
ripartizione delle risorse finanziarie tra il DIS e i
servizi di informazione per la sicurezza e sui relativi
bilanci preventivi e consuntivi.
3. Il Comitato e' presieduto dal Presidente del
Consiglio dei ministri ed e' composto dall'Autorita'
delegata, ove istituita, dal Ministro degli affari esteri,
dal Ministro dell'interno, dal Ministro della difesa, dal
Ministro della giustizia, dal Ministro dell'economia e
delle finanze, dal Ministro dello sviluppo economico e dal
Ministro della transizione ecologica.
4. Il direttore generale del DIS svolge le funzioni di
segretario del Comitato.
5. Il Presidente del Consiglio dei ministri puo'
chiamare a partecipare alle sedute del Comitato, anche a
seguito di loro richiesta, senza diritto di voto, altri
componenti del Consiglio dei ministri, i direttori
dell'AISE e dell'AISI, nonche' altre autorita' civili e
militari di cui di volta in volta sia ritenuta necessaria
la presenza in relazione alle questioni da trattare.».
- Si riporta il testo del comma 1, lettera dd)
dell'articolo 1 del citato decreto legislativo 1° agosto
2003, n. 259 (Codice delle comunicazioni elettroniche):
«Art. 1. (Definizioni). - 1. Ai fini del presente
Codice si intende per:
a). - cc). (Omissis);
dd) reti di comunicazione elettronica: i sistemi di
trasmissione e, se del caso, le apparecchiature di
commutazione o di instradamento e altre risorse, inclusi
gli elementi di rete non attivi, che consentono di
trasmettere segnali via cavo, via radio, a mezzo di fibre
ottiche o con altri mezzi elettromagnetici, comprese le
reti satellitari, le reti terrestri mobili e fisse (a
commutazione di circuito e a commutazione di pacchetto,
compresa Internet), le reti utilizzate per la diffusione
circolare dei programmi sonori e televisivi, i sistemi per
il trasporto della corrente elettrica, nella misura in cui
siano utilizzati per trasmettere i segnali, le reti
televisive via cavo, indipendentemente dal tipo di
informazione trasportato;
ee). - qq-quater). (Omissis).».
- Si riporta il testo del comma 1, lettera aa),
dell'articolo 3 del citato decreto legislativo 18 maggio
2018, n. 65:
«Art. 3. (Definizioni). - 1. Ai fini del presente
decreto si intende per:
a). - zz). (Omissis);
aa) servizio di cloud computing, un servizio digitale
che consente l'accesso a un insieme scalabile ed elastico
di risorse informatiche condivisibili.».
- Si riporta il testo dell'articolo 1, comma 2, lettera
b) del citato decreto-legge 21 settembre 2019, n. 105,
convertito, con modificazioni, dalla legge 18 novembre
2019, n. 133:
«Art. 1. (Perimetro di sicurezza nazionale
cibernetica). - 2. Entro quattro mesi dalla data di entrata
in vigore della legge di conversione del presente decreto,
con decreto del Presidente del Consiglio dei ministri,
adottato su proposta del Comitato interministeriale per la
sicurezza della Repubblica (CISR):
a). (Omissis);
b) sono definiti, sulla base di un'analisi del
rischio e di un criterio di gradualita' che tenga conto
delle specificita' dei diversi settori di attivita', i
criteri con i quali i soggetti di cui al comma 2-bis
predispongono e aggiornano con cadenza almeno annuale un
elenco delle reti, dei sistemi informativi e dei servizi
informatici di cui al comma 1, di rispettiva pertinenza,
comprensivo della relativa architettura e componentistica,
fermo restando che, per le reti, i sistemi informativi e i
servizi informatici attinenti alla gestione delle
informazioni classificate, si applica quanto previsto dal
regolamento adottato ai sensi dell'articolo 4, comma 3,
lettera l), della legge 3 agosto 2007, n. 124;
all'elaborazione di tali criteri provvede, adottando
opportuni moduli organizzativi, l'organismo tecnico di
supporto al CISR, integrato con un rappresentante della
Presidenza del Consiglio dei ministri; entro sei mesi dalla
data della comunicazione, prevista dal comma 2-bis, a
ciascuno dei soggetti iscritti nell'elenco di cui al
medesimo comma, i soggetti pubblici e quelli di cui
all'articolo 29 del codice dell'amministrazione digitale,
di cui al decreto legislativo 7 marzo 2005, n. 82, nonche'
quelli privati, di cui al comma 2-bis trasmettono tali
elenchi, rispettivamente, alla Presidenza del Consiglio dei
ministri e al Ministero dello sviluppo economico; la
Presidenza del Consiglio dei ministri e il Ministero dello
sviluppo economico inoltrano gli elenchi di rispettiva
pertinenza al Dipartimento delle informazioni per la
sicurezza, anche per le attivita' di prevenzione,
preparazione e gestione di crisi cibernetiche affidate al
Nucleo per la sicurezza cibernetica, nonche' all'organo del
Ministero dell'interno per la sicurezza e la regolarita'
dei servizi di telecomunicazione di cui all'articolo 7-bis
del decreto-legge 27 luglio 2005, n. 144, convertito, con
modificazioni, dalla legge 31 luglio 2005, n. 155.».
- Si riporta il testo dell'articolo 4, della citata
legge 3 agosto 2007, n. 124 (Sistema di informazione per la
sicurezza della Repubblica e nuova disciplina del segreto):
«Art. 4. (Dipartimento delle informazioni per la
sicurezza). - 1. Per lo svolgimento dei compiti di cui al
comma 3 e' istituito, presso la Presidenza del Consiglio
dei ministri, il Dipartimento delle informazioni per la
sicurezza (DIS).
2. Il Presidente del Consiglio dei ministri e
l'Autorita' delegata, ove istituita, si avvalgono del DIS
per l'esercizio delle loro competenze, al fine di
assicurare piena unitarieta' nella programmazione della
ricerca informativa del Sistema di informazione per la
sicurezza, nonche' nelle analisi e nelle attivita'
operative dei servizi di informazione per la sicurezza.
3. Il DIS svolge i seguenti compiti:
a) coordina l'intera attivita' di informazione per la
sicurezza, verificando altresi' i risultati delle attivita'
svolte dall'AISE e dall'AISI, ferma restando la competenza
dei predetti servizi relativamente alle attivita' di
ricerca informativa e di collaborazione con i servizi di
sicurezza degli Stati esteri;
b) e' costantemente informato delle operazioni di
competenza dei servizi di informazione per la sicurezza e
trasmette al Presidente del Consiglio dei ministri le
informative e le analisi prodotte dal Sistema di
informazione per la sicurezza;
c) raccoglie le informazioni, le analisi e i rapporti
provenienti dai servizi di informazione per la sicurezza,
dalle Forze armate e di polizia, dalle amministrazioni
dello Stato e da enti di ricerca anche privati; ferma
l'esclusiva competenza dell'AISE e dell'AISI per
l'elaborazione dei rispettivi piani di ricerca operativa,
elabora analisi strategiche o relative a particolari
situazioni; formula valutazioni e previsioni, sulla scorta
dei contributi analitici settoriali dell'AISE e dell'AISI;
d) elabora, anche sulla base delle informazioni e dei
rapporti di cui alla lettera c), analisi globali da
sottoporre al CISR, nonche' progetti di ricerca
informativa, sui quali decide il Presidente del Consiglio
dei ministri, dopo avere acquisito il parere del CISR;
d-bis) sulla base delle direttive di cui all'articolo
1, comma 3-bis, nonche' delle informazioni e dei rapporti
di cui alla lettera c) del presente comma, coordina le
attivita' di ricerca informativa finalizzate a rafforzare
la protezione cibernetica e la sicurezza informatica
nazionali;
e) promuove e garantisce, anche attraverso riunioni
periodiche, lo scambio informativo tra l'AISE, l'AISI e le
Forze di polizia; comunica al Presidente del Consiglio dei
ministri le acquisizioni provenienti dallo scambio
informativo e i risultati delle riunioni periodiche;
f) trasmette, su disposizione del Presidente del
Consiglio dei ministri, sentito il CISR, informazioni e
analisi ad amministrazioni pubbliche o enti, anche ad
ordinamento autonomo, interessati all'acquisizione di
informazioni per la sicurezza;
g) elabora, d'intesa con l'AISE e l'AISI, il piano di
acquisizione delle risorse umane e materiali e di ogni
altra risorsa comunque strumentale all'attivita' dei
servizi di informazione per la sicurezza, da sottoporre
all'approvazione del Presidente del Consiglio dei ministri;
h) sentite l'AISE e l'AISI, elabora e sottopone
all'approvazione del Presidente del Consiglio dei ministri
lo schema del regolamento di cui all'articolo 21, comma 1;
i) esercita il controllo sull'AISE e sull'AISI,
verificando la conformita' delle attivita' di informazione
per la sicurezza alle leggi e ai regolamenti, nonche' alle
direttive e alle disposizioni del Presidente del Consiglio
dei ministri. Per tale finalita', presso il DIS e'
istituito un ufficio ispettivo le cui modalita' di
organizzazione e di funzionamento sono definite con il
regolamento di cui al comma 7. Con le modalita' previste da
tale regolamento e' approvato annualmente, previo parere
del Comitato parlamentare di cui all'articolo 30, il piano
annuale delle attivita' dell'ufficio ispettivo. L'ufficio
ispettivo, nell'ambito delle competenze definite con il
predetto regolamento, puo' svolgere, anche a richiesta del
direttore generale del DIS, autorizzato dal Presidente del
Consiglio dei ministri, inchieste interne su specifici
episodi e comportamenti verificatisi nell'ambito dei
servizi di informazione per la sicurezza;
l) assicura l'attuazione delle disposizioni impartite
dal Presidente del Consiglio dei ministri con apposito
regolamento adottato ai sensi dell'articolo 1, comma 2, ai
fini della tutela amministrativa del segreto di Stato e
delle classifiche di segretezza, vigilando altresi' sulla
loro corretta applicazione;
m) cura le attivita' di promozione e diffusione della
cultura della sicurezza e la comunicazione istituzionale;
n) impartisce gli indirizzi per la gestione unitaria
del personale di cui all'articolo 21, secondo le modalita'
definite dal regolamento di cui al comma 1 del medesimo
articolo;
n-bis) gestisce unitariamente, ferme restando le
competenze operative dell'AISE e dell'AISI, gli
approvvigionamenti e i servizi logistici comuni.
4. Fermo restando quanto previsto dall'articolo 118-bis
del codice di procedura penale, introdotto dall'articolo 14
della presente legge, qualora le informazioni richieste
alle Forze di polizia, ai sensi delle lettere c) ed e) del
comma 3 del presente articolo, siano relative a indagini di
polizia giudiziaria, le stesse, se coperte dal segreto di
cui all'articolo 329 del codice di procedura penale,
possono essere acquisite solo previo nulla osta della
autorita' giudiziaria competente. L'autorita' giudiziaria
puo' trasmettere gli atti e le informazioni anche di
propria iniziativa.
5. La direzione generale del DIS e' affidata ad un
dirigente di prima fascia o equiparato dell'amministrazione
dello Stato, la cui nomina e revoca spettano in via
esclusiva al Presidente del Consiglio dei ministri, sentito
il CISR. L'incarico ha comunque la durata massima di
quattro anni ed e' rinnovabile con successivi provvedimenti
per una durata complessiva massima di ulteriori quattro
anni. Per quanto previsto dalla presente legge, il
direttore del DIS e' il diretto referente del Presidente
del Consiglio dei ministri e dell'Autorita' delegata, ove
istituita, salvo quanto previsto dall'articolo 6, comma 5,
e dall'articolo 7, comma 5, ed e' gerarchicamente e
funzionalmente sovraordinato al personale del DIS e degli
uffici istituiti nell'ambito del medesimo Dipartimento.
6. Il Presidente del Consiglio dei ministri, sentito il
direttore generale del DIS, nomina uno o piu' vice
direttori generali; il direttore generale affida gli altri
incarichi nell'ambito del dipartimento, ad eccezione degli
incarichi il cui conferimento spetta al Presidente del
Consiglio dei ministri.
7. L'ordinamento e l'organizzazione del DIS e degli
uffici istituiti nell'ambito del medesimo dipartimento sono
disciplinati con apposito regolamento.
8. Il regolamento previsto dal comma 7 definisce le
modalita' di organizzazione e di funzionamento dell'ufficio
ispettivo di cui al comma 3, lettera i), secondo i seguenti
criteri:
a) agli ispettori e' garantita piena autonomia e
indipendenza di giudizio nell'esercizio delle funzioni di
controllo;
b) salva specifica autorizzazione del Presidente del
Consiglio dei ministri o dell'Autorita' delegata, ove
istituita, i controlli non devono interferire con le
operazioni in corso;
c) sono previste per gli ispettori specifiche prove
selettive e un'adeguata formazione;
d) non e' consentito il passaggio di personale
dall'ufficio ispettivo ai servizi di informazione per la
sicurezza;
e) gli ispettori, previa autorizzazione del
Presidente del Consiglio dei ministri o dell'Autorita'
delegata, ove istituita, possono accedere a tutti gli atti
conservati presso i servizi di informazione per la
sicurezza e presso il DIS; possono altresi' acquisire,
tramite il direttore generale del DIS, altre informazioni
da enti pubblici e privati.».
- Per il comunicato relativo all'adozione del decreto
del Presidente del Consiglio dei ministri 3 aprile 2020, n.
2 (Regolamento che definisce l'ordinamento e
l'organizzazione del Dipartimento delle informazioni per la
sicurezza (DIS)), si veda nelle note alle premesse.
- Si riporta il testo dell'articolo 8, del citato
decreto legislativo 18 maggio 2018, n. 65:
«Art. 8. (Gruppi di intervento per la sicurezza
informatica in caso di incidente - CSIRT). - 1. E'
istituito, presso la Presidenza del Consiglio dei ministri
- Dipartimento delle informazioni per la sicurezza, il
CSIRT italiano, che svolge i compiti e le funzioni del
Computer emergency response team (CERT) nazionale, di cui
all'articolo 16-bis del decreto legislativo 1° agosto 2003,
n. 259, e del CERT-PA, gia' operante presso l'Agenzia per
l'Italia digitale ai sensi dell'articolo 51 del decreto
legislativo 7 marzo 2005, n. 82.
2. L'organizzazione e il funzionamento del CSIRT
italiano sono disciplinati con decreto del Presidente del
Consiglio dei ministri ai sensi dell'articolo 7 del decreto
legislativo 30 luglio 1999, n. 303, da adottare entro il 9
novembre 2018.
3. Nelle more dell'adozione del decreto di cui al comma
2, le funzioni di CSIRT italiano sono svolte dal CERT
nazionale unitamente al CERT-PA in collaborazione tra loro.
4. Il CSIRT italiano assicura la conformita' ai
requisiti di cui all'allegato I, punto 1, svolge i compiti
di cui all'allegato I, punto 2, si occupa dei settori di
cui all'allegato II e dei servizi di cui all'allegato III e
dispone di un'infrastruttura di informazione e
comunicazione appropriata, sicura e resiliente a livello
nazionale.
5. Il CSIRT italiano definisce le procedure per la
prevenzione e la gestione degli incidenti informatici.
6. Il CSIRT italiano garantisce la collaborazione
effettiva, efficiente e sicura, nella rete di CSIRT di cui
all'articolo 11.
7. La Presidenza del Consiglio dei ministri comunica
alla Commissione europea il mandato del CSIRT italiano e le
modalita' di trattamento degli incidenti a questo affidati.
8. Il CSIRT italiano, per lo svolgimento delle proprie
funzioni, puo' avvalersi anche dell'Agenzia per l'Italia
digitale.
9. Le funzioni svolte dal Ministero dello sviluppo
economico in qualita' di CERT nazionale ai sensi
dell'articolo 16-bis, del decreto legislativo 1° agosto
2003, n. 259, nonche' quelle svolte da Agenzia per l'Italia
digitale in qualita' di CERT-PA, ai sensi dell'articolo 51
del decreto legislativo 7 marzo 2005, n. 82, sono
trasferite al CSIRT italiano a far data dalla entrata in
vigore del decreto di cui al comma 2.
10. Per le spese relative al funzionamento del CSIRT
italiano e' autorizzata la spesa di 2.000.000 di euro annui
a decorrere dall'anno 2020. A tali oneri si provvede ai
sensi dell'articolo 22.».

Allegato A

Parte di provvedimento in formato grafico

Allegato B

Parte di provvedimento in formato grafico

Allegato C

Parte di provvedimento in formato grafico

Art. 2

Tassonomia degli incidenti

1. Nelle tabelle n. 1 e n. 2 dell'allegato A al presente regolamento sono classificati, in categorie, gli incidenti aventi impatto sui beni ICT. Nella tabella n. 1 sono indicati gli incidenti meno gravi e nella tabella n. 2 quelli piu' gravi. Tale classificazione e' funzionale alla diversa tempistica necessaria per una risposta efficace.
2. Nelle tabelle di cui al comma 1, per ciascuna tipologia di incidente, sono indicati un codice identificativo e la corrispondente categoria, accompagnata dalla descrizione di ciascuna tipologia di incidente.

Art. 3

Notifica degli incidenti aventi impatto su beni ICT

1. Dal 1° gennaio 2022, i soggetti inclusi nel perimetro, al verificarsi di uno degli incidenti avente impatto su un bene ICT di rispettiva pertinenza individuati nelle tabelle di cui all'allegato A, procedono alla notifica al CSIRT italiano secondo le modalita' di cui al presente regolamento.
2. Dalla data di trasmissione degli elenchi dei beni ICT effettuata ai sensi dell'articolo 1, comma 2, lettera b), del decreto-legge, ovvero, qualora la trasmissione sia avvenuta in una data antecedente a quella di entrata in vigore del presente regolamento, da quest'ultima data, e sino al 31 dicembre 2021, i soggetti inclusi nel perimetro procedono, in via sperimentale, alle notifiche di cui al comma 1, secondo le modalita' di cui al comma 4.
3. I soggetti inclusi nel perimetro procedono alla notifica di cui ai commi 1 e 2 anche nei casi in cui uno degli incidenti individuati nelle tabelle di cui all'allegato A si verifichi a carico di un sistema informativo o un servizio informatico, o parti di essi, che, anche in esito all'analisi del rischio di cui all'articolo 7, comma 2, del DPCM n. 131 del 2020, condivide con un bene ICT funzioni di sicurezza, risorse di calcolo o memoria, ovvero software di base, quali sistemi operativi e di virtualizzazione.
4. I soggetti inclusi nel perimetro effettuano la notifica di cui ai commi 1, 2 e 3 entro sei ore, qualora si tratti di un incidente individuato nella tabella 1 dell'allegato A, ed entro un'ora, qualora si tratti di un incidente individuato nella tabella 2 del medesimo allegato. I predetti termini decorrono dal momento in cui i soggetti inclusi nel perimetro sono venuti a conoscenza, a seguito delle evidenze ottenute, anche mediante le attivita' di monitoraggio, test e controllo di cui all'articolo 1, comma 3, lettera b), numero 6, del decreto-legge, effettuate sulla base delle misure di sicurezza di cui all'allegato B, di un incidente riconducibile a una delle tipologie individuate nell'allegato A. La notifica e' effettuata tramite appositi canali di comunicazione del CSIRT italiano aventi i requisiti di cui al punto 1, lettera a), dell'allegato I, del decreto legislativo n. 65 del 2018, e secondo le modalita' definite dal CSIRT italiano e rese disponibili sul sito Internet del CSIRT italiano.
5. Qualora il soggetto incluso nel perimetro venga a conoscenza di nuovi elementi significativi, tra cui le specifiche vulnerabilita' sfruttate, la rilevazione di eventi comunque correlati all'incidente oggetto di notifica, ovvero gli indicatori di compromissione (IOC) rilevati, la notifica di cui al comma 1 e' integrata tempestivamente dal momento in cui il soggetto incluso nel perimetro ne e' venuto a conoscenza, salvo che l'autorita' giudiziaria procedente abbia previamente comunicato la sussistenza di specifiche esigenze di segretezza investigativa.
6. Dal 1° gennaio 2022, i soggetti di cui agli articoli 12 e 14 del decreto legislativo n. 65 del 2018, con la notifica di cui al presente articolo comunicano che la stessa, ai sensi dell'articolo 1, comma 8, lettera b), del decreto-legge, costituisce anche adempimento dell'obbligo di notifica di cui, rispettivamente, agli articoli 12, comma 5, indicando a tal fine l'autorita' competente NIS di cui all'articolo 7 del decreto legislativo n. 65 del 2018 alla quale la notifica deve essere inoltrata, e 14, comma 4, del decreto legislativo n. 65 del 2018. I soggetti di cui all'articolo 16-ter, comma 2, del decreto legislativo n. 259 del 2003, con la notifica di cui al presente articolo, comunicano che la stessa, ai sensi dell'articolo 1, comma 8, lettera b), del decreto-legge, costituisce anche adempimento dell'obbligo previsto ai sensi dell'articolo 16-ter del decreto legislativo n. 259 del 2003 e delle correlate disposizioni attuative. Restano fermi, per le notifiche degli incidenti non rientranti nell'ambito di applicazione del decreto-legge, gli obblighi e le procedure di notifica previsti dal decreto legislativo n. 65 del 2018 e dal decreto legislativo n. 259 del 2003.
7. Su richiesta del CSIRT italiano, il soggetto incluso nel perimetro che ha proceduto a effettuare una notifica ai sensi dei commi 1, 2 e 3 provvede, tramite i canali di comunicazione di cui al comma 4 ed entro sei ore dalla richiesta, a effettuare un aggiornamento della notifica, salvo che l'autorita' giudiziaria procedente abbia previamente comunicato la sussistenza di specifiche esigenze di segretezza investigativa.
8. Una volta definiti e avviati i piani di attuazione delle attivita' per il ripristino dei beni ICT impattati dall'incidente oggetto di notifica, il soggetto incluso nel perimetro che ha proceduto a effettuare una notifica ai sensi dei commi 1, 2 e 3, tramite i canali di comunicazione di cui al comma 4, ne da' tempestiva comunicazione al CSIRT italiano e trasmette, altresi', su richiesta del CSIRT italiano ed entro trenta giorni dalla stessa richiesta, una relazione tecnica che illustra gli elementi significativi dell'incidente, tra cui le conseguenze dell'impatto sui beni ICT derivanti dall'incidente e le azioni intraprese per porvi rimedio, salvo che l'autorita' giudiziaria procedente abbia previamente comunicato la sussistenza di specifiche esigenze di segretezza investigativa.
9. I soggetti inclusi nel perimetro assicurano che dell'avvenuta notifica sia fornita notizia all'articolazione per l'implementazione del perimetro prevista nell'ambito delle misure di sicurezza di cui alla sottocategoria 2.1.4 (ID.AM-6) dell'allegato B, ed in particolare all'incaricato e al referente tecnico di cui alla medesima sottocategoria.
10. Sino al 31 dicembre 2021, restano fermi per i soggetti inclusi nel perimetro, che effettuano, ai sensi del comma 2, le notifiche in via sperimentale, gli obblighi di notifica di cui agli articoli 12, comma 5, e 14, comma 4, del decreto legislativo n. 65 del 2018, nonche' quelli previsti ai sensi dell'articolo 16-ter del decreto legislativo n. 259 del 2003 e delle correlate disposizioni attuative.

Note all'art. 3:
- Si riporta il testo del comma 2 dell'articolo 7 del
citato decreto del Presidente del Consiglio dei ministri 30
luglio 2020, n. 131:
«Art. 7. (Definizione dei criteri per la
predisposizione e l'aggiornamento degli elenchi delle reti,
dei sistemi informativi e dei servizi informatici). - 1.
(Omissis).
2. Ricevuta la comunicazione prevista dall'articolo 1,
comma 2-bis), secondo periodo, del decreto-legge, i
soggetti inclusi nel perimetro, in esito all'analisi del
rischio, per ogni funzione essenziale o servizio essenziale
di cui all'articolo 4, comma 1, lettera c), provvedono:
a) ad individuare i beni ICT necessari a svolgere la
funzione essenziale o il servizio essenziale. A tale fine
sono valutati:
1) l'impatto di un incidente sul bene ICT, in
termini sia di limitazione della operativita' del bene
stesso, sia di compromissione della disponibilita',
integrita', o riservatezza dei dati e delle informazioni da
esso trattati, ai fini dello svolgimento della funzione o
del servizio essenziali;
2) le dipendenze con altre reti, sistemi
informativi, servizi informatici o infrastrutture fisiche
di pertinenza di altri soggetti, ivi compresi quelli
utilizzati per fini di manutenzione e gestione;
b) a predisporre l'elenco dei beni ICT di cui
all'articolo 1, comma 2, lettera b), del decreto-legge. In
fase di prima applicazione e fino all'aggiornamento del
presente decreto, ai sensi dell'articolo 1, comma 5, del
decreto-legge, sono individuati, all'esito dell'analisi del
rischio, in ossequio al principio di gradualita', i beni
ICT che, in caso di incidente, causerebbero l'interruzione
totale dello svolgimento della funzione essenziale o del
servizio essenziale o una compromissione degli stessi con
effetti irreversibili sotto il profilo della integrita' o
della riservatezza dei dati e delle informazioni.
3. (Omissis).».
- Si riporta il testo del punto 1, lettera a),
dell'allegato I, del citato decreto legislativo 18 maggio
2018, n. 65:

«Allegato I
Requisiti e compiti dei gruppi di intervento per la
sicurezza informatica in caso di incidente (CSIRT)

I requisiti e i compiti del CSIRT sono adeguatamente e
chiaramente definiti ai sensi del presente decreto e del
decreto del Presidente del Consiglio dei ministri di cui
all'art. 8, comma 2. Essi includono quanto segue:
1. Requisiti per il CSIRT:
a) Il CSIRT garantisce un alto livello di
disponibilita' dei propri servizi di comunicazione,
evitando singoli punti di guasto, e dispone di vari mezzi
che permettono allo stesso di essere contattato e di
contattare altri in qualsiasi momento. Inoltre, i canali di
comunicazione sono chiaramente specificati e ben noti alla
loro base di utenti e ai partner con cui collaborano;
b). - d). (Omissis).».
- Si riporta il testo degli articoli 12 e 14 del citato
decreto legislativo 18 maggio 2018, n. 65:
«Art. 12. (Obblighi in materia di sicurezza e notifica
degli incidenti). - 1. Gli operatori di servizi essenziali
adottano misure tecniche e organizzative adeguate e
proporzionate alla gestione dei rischi posti alla sicurezza
della rete e dei sistemi informativi che utilizzano nelle
loro operazioni. Tenuto conto delle conoscenze piu'
aggiornate in materia, dette misure assicurano un livello
di sicurezza della rete e dei sistemi informativi adeguato
al rischio esistente.
2.Gli operatori di servizi essenziali adottano misure
adeguate per prevenire e minimizzare l'impatto di incidenti
a carico della sicurezza della rete e dei sistemi
informativi utilizzati per la fornitura dei servizi
essenziali, al fine di assicurare la continuita' di tali
servizi.
3.Nell'adozione delle misure di cui ai commi 1 e 2, gli
operatori di servizi essenziali tengono conto delle linee
guida predisposte dal gruppo di cooperazione di cui
all'articolo 10, nonche' delle linee guida di cui al comma
7.
4. Fatto salvo quanto previsto dai commi 1, 2 e 3, le
autorita' competenti NIS possono, se necessario, definire
specifiche misure, sentiti gli operatori di servizi
essenziali.
5. Gli operatori di servizi essenziali notificano al
CSIRT italiano e, per conoscenza, all'autorita' competente
NIS, senza ingiustificato ritardo, gli incidenti aventi un
impatto rilevante sulla continuita' dei servizi essenziali
forniti.
6. Il CSIRT italiano inoltra tempestivamente le
notifiche all'organo istituito presso il Dipartimento
informazioni per la sicurezza incaricato, ai sensi delle
direttive del Presidente del Consiglio dei ministri
adottate sentito il Comitato interministeriale per la
sicurezza della Repubblica (CISR), delle attivita' di
prevenzione e preparazione ad eventuali situazioni di crisi
e di attivazione delle procedure di allertamento.
7. Le notifiche includono le informazioni che
consentono al CSIRT italiano di determinare un eventuale
impatto transfrontaliero dell'incidente. La notifica non
espone la parte che la effettua a una maggiore
responsabilita' rispetto a quella derivante dall'incidente.
Le autorita' competenti NIS possono predisporre linee guida
per la notifica degli incidenti.
8. Per determinare la rilevanza dell'impatto di un
incidente si tiene conto in particolare dei seguenti
parametri:
a) il numero di utenti interessati dalla
perturbazione del servizio essenziale;
b) la durata dell'incidente;
c) la diffusione geografica relativamente all'area
interessata dall'incidente.
9. Sulla base delle informazioni fornite nella notifica
da parte dell'operatore di servizi essenziali, il CSIRT
italiano informa gli eventuali altri Stati membri
interessati in cui l'incidente ha un impatto rilevante
sulla continuita' dei servizi essenziali.
10. Ai fini del comma 9, il CSIRT italiano preserva,
conformemente al diritto dell'Unione europea e alla
legislazione nazionale, la sicurezza e gli interessi
commerciali dell'operatore di servizi essenziali, nonche'
la riservatezza delle informazioni fornite nella notifica
secondo quanto previsto dall'articolo 1, comma 5.
11. Ove le circostanze lo consentano, il CSIRT italiano
fornisce all'operatore di servizi essenziali, che effettua
la notifica, le pertinenti informazioni relative al seguito
della notifica stessa, nonche' le informazioni che possono
facilitare un trattamento efficace dell'incidente.
12. Su richiesta dell'autorita' competente NIS o del
CSIRT italiano, il punto di contatto unico trasmette,
previa verifica dei presupposti, le notifiche ai punti di
contatto unici degli altri Stati membri interessati.
13. Previa valutazione da parte dell'organo di cui al
comma 6, l'autorita' competente NIS, d'intesa con il CSIRT
italiano, dopo aver consultato l'operatore dei servizi
essenziali notificante, puo' informare il pubblico in
merito ai singoli incidenti, qualora ne sia necessaria la
sensibilizzazione per evitare un incidente o gestire un
incidente in corso.
14. Dall'attuazione del presente articolo non devono
derivare nuovi o maggiori oneri a carico della finanza
pubblica. Gli operatori di servizi essenziali provvedono
agli adempimenti previsti dal presente articolo a valere
sulle risorse finanziarie disponibili sui propri bilanci.»
«Art. 14. (Obblighi in materia di sicurezza e notifica
degli incidenti). - 1. I fornitori di servizi digitali
identificano e adottano misure tecniche e organizzative
adeguate e proporzionate alla gestione dei rischi relativi
alla sicurezza della rete e dei sistemi informativi che
utilizzano nel contesto dell'offerta di servizi di cui
all'allegato III all'interno dell'Unione europea.
2. Tenuto conto delle conoscenze piu' aggiornate in
materia, tali misure assicurano un livello di sicurezza
della rete e dei sistemi informativi adeguato al rischio
esistente e tengono conto dei seguenti elementi:
a) la sicurezza dei sistemi e degli impianti;
b) trattamento degli incidenti;
c) gestione della continuita' operativa;
d) monitoraggio, audit e test;
e) conformita' con le norme internazionali.
3. I fornitori di servizi digitali adottano misure per
prevenire e minimizzare l'impatto di incidenti a carico
della sicurezza della rete e dei sistemi informativi del
fornitore di servizi digitali sui servizi di cui
all'allegato III offerti all'interno dell'Unione europea,
al fine di assicurare la continuita' di tali servizi.
4. I fornitori di servizi digitali notificano al CSIRT
italiano e, per conoscenza, all'autorita' competente NIS,
senza ingiustificato ritardo, gli incidenti aventi un
impatto rilevante sulla fornitura di un servizio di cui
all'allegato III che essi offrono all'interno dell'Unione
europea.
5. Le notifiche includono le informazioni che
consentono al CSIRT italiano di determinare la rilevanza di
un eventuale impatto transfrontaliero. La notifica non
espone la parte che la effettua a una maggiore
responsabilita' rispetto a quella derivante dall'incidente.
6. Il CSIRT italiano inoltra tempestivamente le
notifiche all'organo di cui all'articolo 12, comma 6.
7. Al fine di determinare la rilevanza dell'impatto di
un incidente, sono tenuti in considerazione, in
particolare, i seguenti parametri:
a) il numero di utenti interessati dall'incidente, in
particolare gli utenti che dipendono dal servizio digitale
per la fornitura dei propri servizi;
b) la durata dell'incidente;
c) la diffusione geografica relativamente all'area
interessata dall'incidente;
d) la portata della perturbazione del funzionamento
del servizio;
e) la portata dell'impatto sulle attivita' economiche
e sociali.
8. L'obbligo di notificare un incidente si applica
soltanto qualora il fornitore di servizi digitali abbia
accesso alle informazioni necessarie per valutare l'impatto
di un incidente con riferimento ai parametri di cui al
comma 7.
9. Qualora un operatore di servizi essenziali dipenda
da una terza parte fornitrice di servizi digitali per la
fornitura di un servizio che e' indispensabile per il
mantenimento di attivita' economiche e sociali
fondamentali, l'operatore stesso notifica qualsiasi impatto
rilevante per la continuita' di servizi essenziali dovuto
ad un incidente a carico di tale operatore.
10. Qualora l'incidente di cui al comma 4 riguardi due
o piu' Stati membri, il CSIRT italiano informa gli altri
Stati membri coinvolti.
11. Ai fini del comma 9, il CSIRT italiano tutela, nel
rispetto del diritto dell'Unione europea e della
legislazione nazionale, la sicurezza e gli interessi
commerciali del fornitore del servizio digitale nonche' la
riservatezza delle informazioni fornite.
12. Previa valutazione da parte dell'organo di cui
all'articolo 12, comma 6, l'autorita' competente NIS,
d'intesa con il CSIRT italiano, dopo aver consultato il
fornitore di servizi digitali interessato e, se del caso,
le autorita' competenti o i CSIRT degli altri Stati membri
interessati, puo' informare il pubblico riguardo ai singoli
incidenti o chiedere al fornitore di servizi digitali di
provvedervi, qualora ne sia necessaria la sensibilizzazione
per evitare un incidente o gestirne uno in corso, o qualora
sussista comunque un interesse pubblico alla divulgazione
dell'incidente.
13. I fornitori di servizi digitali applicano le
disposizioni di attuazione degli atti di esecuzione della
Commissione europea che specificano ulteriormente le misure
tecnico-organizzative di cui al comma 1 e i parametri, ivi
compresi formati e procedure, relativi agli obblighi di
notifica di cui al comma 4.
14. Fatto salvo quanto previsto dall'articolo 1, comma
7, non sono imposti ulteriori obblighi in materia di
sicurezza o di notifica ai fornitori di servizi digitali.
15. Il presente capo non si applica alle microimprese e
alle piccole imprese quali definite nella raccomandazione
della Commissione europea del 6 maggio 2003, n.
2003/361/CE.».
- Si riporta il testo dell'articolo 1, comma 8, lettera
b), del citato decreto-legge 21 settembre 2019, n. 105,
convertito, con modificazioni, dalla legge 18 novembre
2019, n. 133:
«Art. 1. (Perimetro di sicurezza nazionale
cibernetica). - 1. - 7. (Omissis).
8. I soggetti di cui agli articoli 12 e 14 del decreto
legislativo 18 maggio 2018, n. 65, e quelli di cui
all'articolo 16-ter, comma 2, del codice delle
comunicazioni elettroniche di cui al decreto legislativo 1°
agosto 2003, n. 259, inclusi nel perimetro di sicurezza
nazionale cibernetica:
a) (Omissis);
b) assolvono l'obbligo di notifica di cui al comma 3,
lettera a), che costituisce anche adempimento,
rispettivamente, dell'obbligo di notifica di cui agli
articoli 12 e 14 del decreto legislativo 18 maggio 2018, n.
65, e dell'analogo obbligo previsto ai sensi dell'articolo
16-ter del codice di cui al decreto legislativo 1° agosto
2003, n. 259, e delle correlate disposizioni attuative; a
tal fine, oltre a quanto previsto dal comma 3, lettera a),
anche in relazione alle disposizioni di cui all'articolo
16-ter del codice di cui al decreto legislativo 1° agosto
2003, n. 259, il CSIRT italiano inoltra le notifiche
ricevute ai sensi del predetto comma 3, lettera a),
all'autorita' competente di cui all'articolo 7 del decreto
legislativo 18 maggio 2018, n. 65.
9. - 19-ter. (Omissis).».
- Si riporta il testo dell'articolo 16-ter, del citato
decreto legislativo 1° agosto 2003, n. 259 (Codice delle
comunicazioni elettroniche):
«Art. 16-ter (Attuazione e controllo). - 1. Le misure
adottate ai fini dell'attuazione del presente articolo e
dell'articolo 16-bis sono approvate con decreto del
Ministro dello sviluppo economico.
2. Ai fini del controllo del rispetto dell'articolo
16-bis le imprese che forniscono reti pubbliche di
comunicazioni o servizi di comunicazione elettronica
accessibili al pubblico sono tenute a:
a) fornire al Ministero, e se necessario
all'Autorita', le informazioni necessarie per valutare la
sicurezza e l'integrita' dei loro servizi e delle loro
reti, in particolare i documenti relativi alle politiche di
sicurezza; nonche';
b) sottostare a una verifica della sicurezza
effettuata dal Ministero, anche su impulso dell'Autorita',
in collaborazione con gli Ispettorati territoriali del
Ministero dello sviluppo economico, o da un organismo
qualificato indipendente designato dal Ministero. L'impresa
si assume l'onere finanziario della verifica.
3. Il Ministero e l'Autorita' hanno la facolta' di
indagare i casi di mancata conformita' nonche' i loro
effetti sulla sicurezza e l'integrita' delle reti.
4. Nel caso in cui il Ministero riscontri, anche su
indicazione dell'Autorita', il mancato rispetto degli
articoli 16-bis o 16-ter ovvero delle disposizioni
attuative previste dal comma 1 da parte delle imprese che
forniscono reti pubbliche di comunicazioni o servizi di
comunicazione elettronica accessibili al pubblico, si
applicano le sanzioni di cui all'articolo 98, commi da 4 a
12.».

Art. 4

Notifica volontaria degli incidenti

1. Al di fuori dei casi di cui all'articolo 3, i soggetti inclusi nel perimetro possono notificare, su base volontaria, gli incidenti, relativi ai beni ICT, non indicati nelle tabelle di cui all'allegato A, ovvero gli incidenti, indicati nelle tabelle di cui all'allegato A, relativi a reti, sistemi informativi e servizi informatici di propria pertinenza diversi dai beni ICT. La notifica e' effettuata tramite appositi canali di comunicazione del CSIRT italiano aventi i requisiti di cui al punto 1, lettera a), dell'allegato I, del decreto legislativo n. 65 del 2018, e secondo le modalita' definite dal CSIRT italiano e rese disponibili sul sito Internet del CSIRT italiano.
2. Le notifiche volontarie sono trattate dal CSIRT italiano in subordine a quelle obbligatorie e qualora tale trattamento non costituisca un onere sproporzionato o eccessivo.
3. La notifica volontaria non puo' avere l'effetto di imporre al soggetto notificante alcun obbligo a cui non sarebbe stato sottoposto se non avesse effettuato tale notifica.
4. I soggetti inclusi nel perimetro assicurano che dell'avvenuta notifica sia fornita notizia all'articolazione per l'implementazione del perimetro prevista nell'ambito delle misure di sicurezza di cui alla sottocategoria 2.1.4 (ID.AM-6) dell'allegato B, ed in particolare all'incaricato e al referente tecnico di cui alla medesima sottocategoria.

Art. 5

Trasmissione delle notifiche

1. Il DIS inoltra le notifiche ricevute dal CSIRT italiano:
a) all'organo del Ministero dell'interno per la sicurezza e la regolarita' dei servizi di telecomunicazione di cui all'articolo 7-bis del decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n. 155;
b) alla struttura della Presidenza del Consiglio dei ministri competente per la innovazione tecnologica e la digitalizzazione, qualora le notifiche provengano da un soggetto pubblico o da un soggetto di cui all'articolo 29 del decreto legislativo 7 marzo 2005, n. 82, fatta eccezione per quelle concernenti i beni ICT in relazione ai quali per le attivita' di ispezione e verifica sono competenti le strutture specializzate di cui all'articolo 1, comma 6, lettera c), terzo periodo, del decreto-legge;
c) al Ministero dello sviluppo economico, qualora le notifiche provengano da un soggetto privato.
2. Le notifiche volontarie, di cui all'articolo 4, sono trasmesse solo nel caso in cui siano state trattate.
3. Il CSIRT italiano, ai sensi dell'articolo 1, comma 8, lettera b), del decreto-legge, inoltra le notifiche ricevute dai soggetti inclusi nel perimetro, che siano identificati anche quali soggetti di cui agli articoli 12 e 14 del decreto legislativo n. 65 del 2018, all'autorita' competente NIS indicata ai sensi dell'articolo 3, comma 5.
4. Le modalita' di inoltro delle notifiche previste ai commi 1 e 2 possono essere concordate mediante apposite intese con ciascuna delle amministrazioni interessate e, tenuto anche conto di quanto previsto dall'articolo 8, comma 4, con il Ministero della difesa.

Note all'art. 5:
- Per il testo dell'articolo 7-bis, del decreto-legge
27 luglio 2005, n. 144 (Misure urgenti per il contrasto del
terrorismo internazionale) convertito, con modificazioni,
dalla legge 31 luglio 2005, n. 155, si veda nelle note alle
premesse.
- Per il testo dell'articolo 29 del decreto legislativo
7 marzo 2005, n. 82 (Codice dell'amministrazione digitale),
si veda nelle note alle premesse.
- Si riporta il testo dell'articolo 1, comma 6, lettera
c), del citato decreto-legge 21 settembre 2019, n. 105
convertito, con modificazioni, dalla legge 18 novembre
2019, n. 133:
«Art. 1. (Perimetro di sicurezza nazionale
cibernetica). - 1.-5- (Omissis).
1. Con regolamento, adottato ai sensi dell'articolo 17,
comma 1, della legge 23 agosto 1988, n. 400, entro dieci
mesi dalla data di entrata in vigore della legge di
conversione del presente decreto, sono disciplinati le
procedure, le modalita' e i termini con cui:
a). - b). (Omissis);
c) la Presidenza del Consiglio dei ministri, per i
profili di pertinenza dei soggetti pubblici e di quelli di
cui all'articolo 29 del codice dell'Amministrazione
digitale di cui al decreto legislativo 7 marzo 2005, n. 82,
di cui al comma 2-bis, e il Ministero dello sviluppo
economico, per i soggetti privati di cui al medesimo comma,
svolgono attivita' di ispezione e verifica in relazione a
quanto previsto dal comma 2, lettera b), dal comma 3, dal
presente comma e dal comma 7, lettera b), impartendo, se
necessario, specifiche prescrizioni; nello svolgimento
delle predette attivita' di ispezione e verifica l'accesso,
se necessario, a dati o metadati personali e amministrativi
e' effettuato in conformita' a quanto previsto dal
regolamento (UE) n. 2016/679 del Parlamento europeo e del
Consiglio, del 27 aprile 2016, e dal codice in materia di
protezione dei dati personali, di cui al decreto
legislativo 30 giugno 2003, n. 196; per le reti, i sistemi
informativi e i servizi informatici di cui al comma 2,
lettera b), connessi alla funzione di prevenzione e
repressione dei reati, alla tutela dell'ordine e della
sicurezza pubblica, alla difesa civile e alla difesa e
sicurezza militare dello Stato, le attivita' di ispezione e
verifica sono svolte, nell'ambito delle risorse umane e
finanziarie disponibili a legislazione vigente e senza
nuovi o maggiori oneri a carico della finanza pubblica,
dalle strutture specializzate in tema di protezione di reti
e sistemi, nonche', nei casi in cui siano espressamente
previste dalla legge, in tema di prevenzione e di contrasto
del crimine informatico, delle amministrazioni da cui
dipendono le Forze di polizia e le Forze armate, che ne
comunicano gli esiti alla Presidenza del Consiglio dei
ministri per i profili di competenza.».
- Per il testo dell'articolo 1, comma 8, lettera b),
del citato decreto-legge 21 settembre 2019, n. 105,
convertito con modificazioni dalla legge 18 novembre 2019,
n. 133, si veda nelle note all'articolo 3.
- Per il testo degli articoli 12 e 14 del citato
decreto legislativo 18 maggio 2018, n. 65, si veda nelle
note all'articolo 3.

Art. 6
Incidenti relativi alle reti, ai sistemi informativi e ai servizi
informatici attinenti alla gestione delle informazioni classificate

1. In materia di notifica degli incidenti relativi alle reti, ai sistemi informativi e ai servizi informatici attinenti alla gestione delle informazioni classificate, non inclusi nell'elenco dei beni ICT ai sensi dell'articolo 1, comma 2, lettera b), del decreto-legge, resta fermo quanto previsto dal regolamento adottato ai sensi dell'articolo 4, comma 3, lettera l), della legge n. 124 del 2007, e dalle correlate disposizioni attuative.

Note all'art. 6:
- Per il testo dell'articolo 1, comma 2, lettera b) del
citato decreto-legge 21 settembre 2019, n. 105 convertito,
con modificazioni, dalla legge 18 novembre 2019, n. 133, si
veda nelle note all'articolo 1.
- Per il testo dell'articolo 4, comma 3, lettera l),
della citata legge n. 124 del 2007, si veda nelle note
all'articolo 1.

Art. 7

Misure di sicurezza

1. Le misure di sicurezza, articolate in funzioni, categorie, sottocategorie, punti e lettere, sono individuate nell'allegato B al presente regolamento. La corrispondenza tra le misure di sicurezza e gli ambiti elencati all'articolo 1, comma 3, lettera b), del decreto-legge, e' indicata nella tabella in appendice n. 1 dell'allegato B. Nella tabella in appendice n. 2 del medesimo allegato B e' indicata per ciascuna misura di sicurezza la corrispondente categoria di cui all'articolo 8, comma 1, lettera a), ovvero lettera b).

Note all'art. 7:
- Per il testo dell'articolo 1, comma 3, lettera b),
numeri 3 e 4, del citato decreto-legge 21 settembre 2019,
n. 105 convertito, con modificazioni, dalla legge 18
novembre 2019, n. 133, si veda nelle note alle premesse.

Art. 8

Modalita' e termini di adozione
delle misure di sicurezza

1. I soggetti inclusi nel perimetro adottano, per ciascun bene ICT di rispettiva pertinenza, le misure di sicurezza di cui all'allegato B nei seguenti termini:
a) per le misure di sicurezza appartenenti alla categoria A di cui all'appendice n. 2 dell'allegato B, entro sei mesi dalla data di trasmissione degli elenchi dei beni ICT effettuata ai sensi dell'articolo 1, comma 2, lettera b), del decreto-legge, ovvero, qualora la trasmissione sia avvenuta in una data antecedente a quella di entrata in vigore del presente regolamento, entro sei mesi da quest'ultima data;
b) per le misure di sicurezza appartenenti alla categoria B di cui all'appendice n. 2 dell'allegato B, entro trenta mesi dalla data di trasmissione degli elenchi dei beni ICT effettuata ai sensi dell'articolo 1, comma 2, lettera b), del decreto-legge, ovvero, qualora la trasmissione sia avvenuta in una data antecedente a quella di entrata in vigore del presente regolamento, entro trenta mesi da quest'ultima data.
2. I soggetti di cui al comma 1, dopo l'avvenuta adozione delle misure di sicurezza di cui all'allegato B, ne danno tempestivamente comunicazione al DIS, descrivendo le relative modalita', mediante la piattaforma digitale costituita presso il DIS ai sensi dell'articolo 9, comma 1, del regolamento adottato con DPCM n. 131 del 2020.
3. Ai fini della comunicazione di cui al comma 2, il DIS predispone un apposito modello di cui da' informazione ai soggetti di cui al comma 1.
4. Qualora un soggetto incluso nel perimetro proceda, ai sensi degli articoli 7 e 9 del regolamento adottato con il DPCM n. 131 del 2020, all'aggiornamento dell'elenco dei beni ICT, valuta contestualmente se e' necessario procedere all'adeguamento delle misure di sicurezza adottate ai sensi del presente articolo. Nel caso in cui sia necessario procedere all'adeguamento, vi provvede e ne comunica le relative modalita', con il modello di cui al comma 1, nei seguenti termini:
a) per le misure di sicurezza di cui alla categoria A dell'appendice n. 2 dell'allegato B, entro sei mesi dall'aggiornamento dell'elenco dei beni ICT;
b) per le misure di sicurezza di cui alla categoria B dell'appendice n. 2 dell'allegato B, entro trenta mesi dall'aggiornamento dell'elenco dei beni ICT.
5. In ogni altro caso in cui un soggetto incluso nel perimetro abbia proceduto ad adeguare le misure di sicurezza adottate ai sensi del presente articolo, ne comunica, entro sei mesi, le relative modalita' con il modello di cui al comma 1.
6. Il DIS rende tempestivamente disponibili le comunicazioni ricevute ai sensi dei commi 1, 2 e 3 alla struttura della Presidenza del Consiglio dei ministri competente per la innovazione tecnologica e la digitalizzazione e al Ministero dello sviluppo economico ai fini dello svolgimento delle rispettive attivita' di verifica e ispezione, fatta eccezione per quelle comunicazioni concernenti i beni ICT in relazione ai quali per le attivita' di ispezione e verifica sono competenti le strutture specializzate di cui all'articolo 1, comma 6, lettera c), terzo periodo, del decreto-legge.

Note all'art. 8:
- Si riporta il testo degli articoli 7 e 9 del citato
decreto del Presidente del Consiglio dei ministri 30 luglio
2020, n. 131:
«Art. 7. (Definizione dei criteri per la
predisposizione e l'aggiornamento degli elenchi delle reti,
dei sistemi informativi e dei servizi informatici). - 1. Ai
sensi dell'articolo 1, comma 2, del decreto-legge, i
soggetti inclusi nel perimetro predispongono e aggiornano,
con cadenza almeno annuale, l'elenco di beni ICT di
rispettiva pertinenza, con l'indicazione delle reti, dei
sistemi informativi e dei servizi informatici che li
compongono, osservando i criteri individuati nel successivo
comma.
2. Ricevuta la comunicazione prevista dall'articolo 1,
comma 2-bis), secondo periodo, del decreto-legge, i
soggetti inclusi nel perimetro, in esito all'analisi del
rischio, per ogni funzione essenziale o servizio essenziale
di cui all'articolo 4, comma 1, lettera c), provvedono:
a) ad individuare i beni ICT necessari a svolgere la
funzione essenziale o il servizio essenziale. A tale fine
sono valutati:
1) l'impatto di un incidente sul bene ICT, in
termini sia di limitazione della operativita' del bene
stesso, sia di compromissione della disponibilita',
integrita', o riservatezza dei dati e delle informazioni da
esso trattati, ai fini dello svolgimento della funzione o
del servizio essenziali;
2) le dipendenze con altre reti, sistemi
informativi, servizi informatici o infrastrutture fisiche
di pertinenza di altri soggetti, ivi compresi quelli
utilizzati per fini di manutenzione e gestione;
b) a predisporre l'elenco dei beni ICT di cui
all'articolo 1, comma 2, lettera b), del decreto-legge. In
fase di prima applicazione e fino all'aggiornamento del
presente decreto, ai sensi dell'articolo 1, comma 5, del
decreto-legge, sono individuati, all'esito dell'analisi del
rischio, in ossequio al principio di gradualita', i beni
ICT che, in caso di incidente, causerebbero l'interruzione
totale dello svolgimento della funzione essenziale o del
servizio essenziale o una compromissione degli stessi con
effetti irreversibili sotto il profilo della integrita' o
della riservatezza dei dati e delle informazioni.
3. Per le reti, i sistemi informativi e i servizi
informatici attinenti alla gestione delle informazioni
classificate si applica quanto previsto dall'articolo 1,
comma 2, lettera b), del decreto-legge.»
«Art. 9. (Modalita' di trasmissione degli elenchi delle
reti, dei sistemi informativi e dei servizi informatici). -
1. Entro sei mesi dal ricevimento della comunicazione di
avvenuta iscrizione nell'elenco di cui all'articolo 1,
comma 2-bis), del decreto-legge, i soggetti pubblici e
quelli di cui all'articolo 29 del codice
dell'amministrazione digitale, nonche' quelli privati ivi
inclusi, trasmettono, rispettivamente, alla struttura della
Presidenza del Consiglio dei ministri competente per la
innovazione tecnologica e la digitalizzazione e al
Ministero dello sviluppo economico, gli elenchi di beni ICT
di cui all'articolo 1, comma 2, lettera b), del
decreto-legge, comprensivi della descrizione
dell'architettura e della componentistica predisposta
secondo il modello di cui all'articolo 8, nonche'
dell'analisi del rischio. La trasmissione degli elenchi di
beni ICT avviene per il tramite di una piattaforma digitale
costituita presso il DIS anche per le attivita' di
prevenzione, preparazione e gestione delle crisi
cibernetiche affidate al NSC, nell'ambito delle risorse
finanziarie, umane e strumentali previste a legislazione
vigente. Le disposizioni di cui al presente comma si
applicano anche per l'aggiornamento degli elenchi di beni
ICT e del modello di cui all'articolo 8, comma 1.
2. La struttura della Presidenza del Consiglio dei
ministri competente per la innovazione tecnologica e la
digitalizzazione e il Ministero dello sviluppo economico,
per i profili di rispettiva competenza, accedono alla
piattaforma di cui al comma 1 ai fini dello svolgimento
delle attivita' di ispezione e verifica previste
dall'articolo 1, comma 6, lettera c), del decreto-legge,
nonche' dei compiti di cui all'articolo 1, comma 12, del
decreto-legge.
3. In relazione alle reti, ai sistemi informativi e ai
servizi informatici connessi alla funzione di prevenzione e
repressione dei reati, alla tutela dell'ordine e della
sicurezza pubblica, alla difesa civile e alla difesa e
sicurezza militare dello Stato di cui all'articolo 1, comma
6, lettera c), del decreto-legge, la struttura della
Presidenza del Consiglio dei ministri competente per la
innovazione tecnologica e la digitalizzazione accede alla
piattaforma di cui al comma 1 limitatamente alle
informazioni necessarie, individuate ai sensi dell'articolo
8, comma 2, per lo svolgimento dei compiti previsti
dall'articolo 1, comma 12, del decreto-legge.
4. L'organo del Ministero dell'interno per la sicurezza
e la regolarita' dei servizi di telecomunicazione di cui
all'articolo 7-bis del decreto-legge 27 luglio 2005, n.
144, convertito, con modificazioni, dalla legge 31 luglio
2005, n. 155, accede per il tramite della piattaforma
digitale di cui al comma 1 agli elenchi di cui all'articolo
1, comma 2, lettera b), del decreto-legge, e fornisce alla
stessa piattaforma gli elenchi di pertinenza del
Ministero.».
- Per il testo dell'articolo 1, comma 2, lettera b) del
citato decreto-legge 21 settembre 2019, n. 105 convertito,
con modificazioni, dalla legge 18 novembre 2019, n. 133, si
veda nelle note all'articolo 1.
- Per il testo del punto 1, lettera a), dell'allegato
I, del citato decreto legislativo 18 maggio 2018, n. 65, si
veda nelle note all'articolo 3.
- Per il testo dell'articolo 1, comma 6, lettera c),
del citato decreto-legge 21 settembre 2019, n. 105
convertito, con modificazioni, dalla legge 18 novembre
2019, n. 133, si veda nelle note all'articolo 5.

Art. 9

Tutela delle informazioni

1. Le misure minime di sicurezza individuate nell'allegato C al presente regolamento, e corrispondenti agli ambiti di cui all'articolo 1, comma 3, lettera b), numeri 3 e 4, del decreto-legge, si applicano alle informazioni relative:
a) all'elencazione dei soggetti di cui all'articolo 1, comma 2-bis, del decreto-legge;
b) agli elenchi di cui all'articolo 1, comma 2, lettera b), del decreto-legge, comprensivi della descrizione dell'architettura e della componentistica, nonche' dell'analisi del rischio;
c) agli elementi delle notifiche effettuate ai sensi dell'articolo 3, ivi compresa la relazione di cui all'articolo 3, comma 7;
d) al modello di cui all'articolo 8, comma 1, e alla documentazione predisposta in attuazione delle misure di sicurezza di cui all'allegato B.
2. Le misure di sicurezza di cui all'allegato C si applicano entro sessanta giorni dalla data di entrata in vigore del presente regolamento.
3. Resta ferma l'adozione, da parte dei soggetti inclusi nel perimetro, delle misure di sicurezza di livello piu' elevato di cui all'allegato B, entro i termini indicati dall'articolo 8.
4. In caso di attribuzione alle informazioni di cui al comma 1 di una classifica di segretezza, ai sensi dell'articolo 42 della legge n. 124 del 2007, si applicano le misure di sicurezza previste dalla normativa vigente in materia.

Note all'art. 9:
- Per il testo dell'articolo 1, commi 2, 2-bis e 3,
lettera b), numeri 3 e 4, del citato decreto-legge 21
settembre 2019, n. 105 convertito, con modificazioni, dalla
legge 18 novembre 2019, n. 133, si veda nelle note alle
premesse.
- Si riporta il testo dell'articolo 42, della citata
legge 3 agosto 2007, n. 124:
«Art. 42. (Classifiche di segretezza). - 1. Le
classifiche di segretezza sono attribuite per circoscrivere
la conoscenza di informazioni, documenti, atti, attivita' o
cose ai soli soggetti che abbiano necessita' di accedervi
in ragione delle proprie funzioni istituzionali.
1-bis. Per la trattazione di informazioni classificate
segretissimo, segreto e riservatissimo e' necessario
altresi' il possesso del nulla osta di sicurezza (NOS).
2. La classifica di segretezza e' apposta, e puo'
essere elevata, dall'autorita' che forma il documento,
l'atto o acquisisce per prima la notizia, ovvero e'
responsabile della cosa, o acquisisce dall'estero
documenti, atti, notizie o cose.
3. Le classifiche attribuibili sono: segretissimo,
segreto, riservatissimo, riservato. Le classifiche sono
attribuite sulla base dei criteri ordinariamente seguiti
nelle relazioni internazionali.
4. Chi appone la classifica di segretezza individua,
all'interno di ogni atto o documento, le parti che devono
essere classificate e fissa specificamente il grado di
classifica corrispondente ad ogni singola parte.
5. La classifica di segretezza e' automaticamente
declassificata a livello inferiore quando sono trascorsi
cinque anni dalla data di apposizione; decorso un ulteriore
periodo di cinque anni, cessa comunque ogni vincolo di
classifica.
6. La declassificazione automatica non si applica
quando, con provvedimento motivato, i termini di efficacia
del vincolo sono prorogati dal soggetto che ha proceduto
alla classifica o, nel caso di proroga oltre il termine di
quindici anni, dal Presidente del Consiglio dei ministri.
7. Il Presidente del Consiglio dei ministri verifica il
rispetto delle norme in materia di classifiche di
segretezza. Con apposito regolamento sono determinati
l'ambito dei singoli livelli di segretezza, i soggetti cui
e' conferito il potere di classifica e gli uffici che,
nell'ambito della pubblica amministrazione, sono collegati
all'esercizio delle funzioni di informazione per la
sicurezza della Repubblica, nonche' i criteri per
l'individuazione delle materie oggetto di classifica e i
modi di accesso nei luoghi militari o in quelli definiti di
interesse per la sicurezza della Repubblica.
8. Qualora l'autorita' giudiziaria ordini l'esibizione
di documenti classificati per i quali non sia opposto il
segreto di Stato, gli atti sono consegnati all'autorita'
giudiziaria richiedente, che ne cura la conservazione con
modalita' che ne tutelino la riservatezza, garantendo il
diritto delle parti nel procedimento a prenderne visione
senza estrarne copia.
9. Chiunque illegittimamente distrugge documenti del
DIS o dei servizi di informazione per la sicurezza, in ogni
stadio della declassificazione, nonche' quelli privi di
ogni vincolo per decorso dei termini, e' punito con la
reclusione da uno a cinque anni.».

Art. 10
Misure di sicurezza relative alle reti, ai sistemi informativi e ai
servizi informatici attinenti alla gestione delle informazioni
classificate

1. In materia di misure di sicurezza relative alle reti, ai sistemi informativi e ai servizi informatici attinenti alla gestione delle informazioni classificate, non inclusi nell'elenco dei beni ICT ai sensi dell'articolo 1, comma 2, lettera b), del decreto-legge, resta fermo quanto previsto dal regolamento adottato ai sensi dell'articolo 4, comma 3, lettera l), della legge n. 124 del 2007, e dalle correlate disposizioni attuative.

Note all'art. 10:
- Per il testo dell'articolo 1, comma 2, lettera b) del
citato decreto-legge 21 settembre 2019, n. 105 convertito,
con modificazioni, dalla legge 18 novembre 2019, n. 133, si
veda nelle note all'articolo 1.
- Per il testo dell'articolo 4, comma 3, lettera l),
della citata legge 3 agosto 2007, n. 124, si veda nelle
note all'articolo 1.

Art. 11

Disposizioni finali

1. All'attuazione delle disposizioni di cui al presente decreto si provvede nei limiti delle risorse finanziarie, umane e strumentali disponibili a legislazione vigente e, comunque, senza nuovi o maggiori oneri a carico della finanza pubblica.
Il presente decreto munito del sigillo dello Stato sara' inserito nella raccolta ufficiale degli atti normativi della Repubblica italiana. E' fatto obbligo a chiunque spetti di osservarlo e di farlo osservare.

Roma, 14 aprile 2021

Il Presidente: Draghi Visto, il Guardasigilli: Cartabia

Registrato alla Corte dei conti il 4 giugno 2021 Ufficio di controllo sugli atti della Presidenza del Consiglio, del Ministero della giustizia e del Ministero degli affari esteri, registrazione n. 1450