Istruttoria per l’Individuazione dei Soggetti del Perimetro di sicurezza cibernetica nazionale
(art. 3 DPCM 131/2021)
Con il decreto-legge n. 105 del 2019, convertito nella legge n. 133 dello stesso anno – è stato definito il Perimetro di sicurezza cibernetica nazionale al fine di assicurare un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, degli enti e degli operatori pubblici e privati aventi una sede nel territorio nazionale, da cui dipende l'esercizio di una funzione essenziale o la fornitura di un servizio essenziale per lo Stato e dal cui malfunzionamento, interruzione, anche parziali o utilizzo improprio, possa derivare un pregiudizio per la sicurezza nazionale.
Come indicato nel DPCM 31 luglio 2020, n. 131, i soggetti pubblici e privati - che forniscono tali servizi o esercitano tali funzioni - sono stati individuati sulla base di specifici criteri e nell’ambito di diversi settori strategici– interno, difesa, spazio e aerospazio, energia, telecomunicazioni, economia e finanza, trasporti, servizi digitali, tecnologie critiche, enti previdenziali/lavoro – dalle Amministrazioni competenti nei rispettivi settori.
I soggetti inclusi nel perimetro di sicurezza cibernetica sono tenuti a predisporre annualmente l'elenco degli asset ritenuti “strategici” per la fornitura dei servizi essenziali e funzioni essenziali di rispettiva pertinenza e, con riferimento a tali asset, ad adottare misure nell’ottica di assicurare elevati livelli di sicurezza e a notificare eventuali incidenti al CSIRT (Computer Security Incident Response Team) attivo presso l’ACN. Le misure di sicurezza, che i soggetti inclusi nel Perimetro sono tenuti ad adottare, e le modalità di notifica degli incidenti sono state definite con il DPCM 14 aprile 2021, n. 81.
Inoltre, i soggetti inclusi nel perimetro, ai sensi dell'articolo 1, comma 6, del decreto legge n. 105/2019 – attuato con il Decreto del Presidente della Repubblica 5 febbraio 2021, n. 54 - sono tenuti a comunicare al Centro di Valutazione e Certificazione Nazionale (CVCN) – l’intenzione di acquisire beni, sistemi e servizi ICT da impiegare sui propri asset “strategici” e appartenenti a determinate categorie di cui al DPCM 15 giugno 2021.
L’elenco dei soggetti inclusi nel Perimetro nei diversi settori strategici sopra indicati è aggiornato su proposta delle Amministrazioni competenti all’ACN.
I settori per i quali il MISE effettua l’istruttoria per l’individuazione dei Soggetti rientranti nel Perimetro di sicurezza cibernetica nazional sono stabiliti dall’articolo 3, comma 2, lett. e), h) ed i) del DPCM 131/2020 e sono i seguenti:
- settore telecomunicazioni (lett. e);
- settore servizi digitali, in raccordo con la struttura della Presidenza del Consiglio dei ministri competente per la innovazione tecnologica e la digitalizzazione (lett. h);
- settore tecnologie critiche, la struttura della Presidenza del Consiglio dei ministri competente per la innovazione tecnologica e la digitalizzazione, in raccordo con il Ministero dello sviluppo economico e con il Ministero dell’università e della ricerca (lett. i).
Riferimenti
- Decreto-legge 21 settembre 2019, n. 105, convertito nella legge 18 novembre 2019, n. 133 - Disposizioni urgenti in materia di perimetro di sicurezza nazionale cibernetica e di disciplina dei poteri speciali nei settori di rilevanza strategica.
- Decreto del presidente del Consiglio dei Ministri 30 luglio 2020, n. 131 Regolamento in materia di perimetro di sicurezza nazionale cibernetica, ai sensi dell'articolo 1, comma 2, del decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133.
- Decreto del Presidente della Repubblica 5 febbraio 2021, n. 54 “Regolamento recante attuazione dell'articolo 1, comma 6, del decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133”.
- Decreto del presidente del Consiglio dei Ministri 14 aprile 2021, n. 81 “Regolamento in materia di notifiche degli incidenti aventi impatto su reti, sistemi informativi e servizi informatici di cui all'articolo 1, comma 2, lettera b), del decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133, e di misure volte a garantire elevati livelli di sicurezza”.
- Decreto-legge 14 giugno 2021, n. 82 convertito nella legge 4 agosto 2021, n. 109, recante disposizioni urgenti in materia di cybersicurezza, definizione dell’architettura nazionale di cybersicurezza e istituzione dell’Agenzia per la cybersicurezza nazionale.
- Decreto del presidente del Consiglio dei Ministri 15 giugno 2021, - Individuazione delle categorie di beni, sistemi e servizi ICT destinati ad essere impiegati nel perimetro di sicurezza nazionale cibernetica, in attuazione dell'articolo 1, comma 6, lettera a), del decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133.