DECRETO-LEGGE 14 giugno 2021, n. 82 - Disposizioni urgenti in materia di cybersicurezza, definizione dell'architettura nazionale di cybersicurezza e istituzione dell'Agenzia per la cybersicurezza nazionale. (21G00098)

IL PRESIDENTE DELLA REPUBBLICA

Visti gli articoli 77 e 87, quinto comma, della Costituzione

Vista la legge 23 agosto 1988, n. 400, recante disciplina dell'attivita' di Governo e ordinamento della Presidenza del Consiglio dei ministri

Considerato che le vulnerabilita' delle reti, dei sistemi informativi, dei servizi informatici e delle comunicazioni elettroniche di soggetti pubblici e privati possono essere sfruttate al fine di provocare il malfunzionamento o l'interruzione, totali o parziali, di funzioni essenziali dello Stato e di servizi essenziali per il mantenimento di attivita' civili, sociali o economiche fondamentali per gli interessi dello Stato, nonche' di servizi di pubblica utilita', con potenziali gravi ripercussioni sui cittadini, sulle imprese e sulle pubbliche amministrazioni, sino a poter determinare un pregiudizio per la sicurezza nazionale

Considerata la straordinaria necessita' e urgenza, nell'attuale quadro normativo e a fronte della realizzazione in corso di importanti e strategiche infrastrutture tecnologiche, anche in relazione a recenti attacchi alle reti di Paesi europei e di importanti partner internazionali idonei a determinare effetti anche di natura sistemica e che sottolineano ulteriormente come il dominio cibernetico costituisca terreno di confronto con riflessi sulla sicurezza nazionale, di razionalizzare le competenze in materia, di assicurare un piu' efficace coordinamento, di attuare misure tese a rendere il Paese piu' sicuro e resiliente anche nel dominio digitale, di disporre dei piu' idonei strumenti di immediato intervento che consentano di affrontare con la massima efficacia e tempestivita' eventuali situazioni di emergenza che coinvolgano profili di cybersicurezza

Considerata altresi' la necessita' e urgenza di dare attuazione al Piano nazionale di ripresa e resilienza, deliberato dal Consiglio dei ministri nella riunione del 29 aprile 2021, che prevede apposite progettualita' nell'ambito della cybersicurezza, in particolare per l'istituzione di un'Agenzia di cybersicurezza nazionale, quale fattore necessario per tutelare la sicurezza dello sviluppo e della crescita dell'economia e dell'industria nazionale, ponendo la cybersicurezza a fondamento della trasformazione digitale

Ritenuto pertanto di dover intervenire con urgenza al fine di ridefinire l'architettura italiana di cybersicurezza, prevedendo anche l'istituzione di un'apposita Agenzia per la cybersicurezza nazionale, per adeguarla all'evoluzione tecnologica, al contesto di minaccia proveniente dallo spazio cibernetico, nonche' al quadro normativo europeo, e di dover raccordare, altresi', pure a tutela dell'unita' giuridica dell'ordinamento, le disposizioni in materia di sicurezza delle reti, dei sistemi informativi, dei servizi informatici e delle comunicazioni elettroniche

Vista la deliberazione del Consiglio dei ministri, adottata nella riunione del 10 giugno 2021

Sulla proposta del Presidente del Consiglio dei ministri

E m a n a

il seguente decreto-legge:

Art. 1

Definizioni

1. Ai fini del presente decreto si intende per:

   a) cybersicurezza, l'insieme delle attivita' necessarie per proteggere dalle minacce informatiche reti, sistemi informativi, servizi informatici e comunicazioni elettroniche, assicurandone la disponibilita', la confidenzialita' e l'integrita', e garantendone altresi' la resilienza

   b) decreto-legge perimetro, il decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133, recante disposizioni urgenti in materia di perimetro di sicurezza nazionale cibernetica e di disciplina dei poteri speciali nei settori di rilevanza strategica

   c) decreto legislativo NIS, il decreto legislativo 18 maggio 2018, n. 65, di attuazione della direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio, del 6 luglio 2016, recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell'Unione

   d) CISR, il Comitato interministeriale per la sicurezza della Repubblica di cui all'articolo 5 della legge 3 agosto 2007, n. 124

   e) DIS, il Dipartimento delle informazioni per la sicurezza di cui all'articolo 4 della legge n. 124 del 2007

   f) AISE, l'Agenzia informazioni e sicurezza esterna di cui all'articolo 6 della legge n. 124 del 2007

   g) AISI, l'Agenzia informazioni e sicurezza interna di cui all'articolo 7 della legge n. 124 del 2007

   h) COPASIR, il Comitato parlamentare per la sicurezza della Repubblica di cui all'articolo 30 della legge n. 124 del 2007

   i) strategia nazionale di cybersicurezza, la strategia di cui all'articolo 6 del decreto legislativo NIS.

   Art. 2

   Competenze del Presidente del Consiglio dei ministri

1. Al Presidente del Consiglio dei ministri sono attribuite in via esclusiva:

   a) l'alta direzione e la responsabilita' generale delle politiche di cybersicurezza, anche ai fini della tutela della sicurezza nazionale nello spazio cibernetico

   b) l'adozione della strategia nazionale di cybersicurezza, sentito il Comitato interministeriale per la cybersicurezza (CIC) di cui all'articolo 4

   c) la nomina e la revoca del direttore generale e del vice direttore generale dell'Agenzia per la cybersicurezza nazionale di cui all'articolo 5.

2. Ai fini dell'esercizio delle competenze di cui al comma 1, lett. a), e dell'attuazione della strategia nazionale di cybersicurezza, il Presidente del Consiglio dei ministri, sentito il CIC, impartisce le direttive per la cybersicurezza ed emana ogni disposizione necessaria per l'organizzazione e il funzionamento dell'Agenzia per la cybersicurezza nazionale.

3. Il Presidente del Consiglio dei ministri informa preventivamente il presidente del COPASIR circa le nomine di cui al comma 1, lettera c).

   Art. 3

   Autorita' delegata

1. Il Presidente del Consiglio dei ministri, ove lo ritenga opportuno, puo' delegare alla medesima Autorita' di cui all'articolo 3 della legge n. 124 del 2007, ove istituita, le funzioni di cui al presente decreto che non sono ad esso attribuite in via esclusiva.

2. Il Presidente del Consiglio dei ministri e' costantemente informato dall'Autorita' delegata sulle modalita' di esercizio delle funzioni delegate ai sensi del presente decreto e, fermo restando il potere di direttiva, puo' in qualsiasi momento avocare l'esercizio di tutte o di alcune di esse.

3. L'Autorita' delegata, in relazione alle funzioni delegate ai sensi del presente decreto, partecipa alle riunioni del Comitato interministeriale per la transizione digitale di cui all'articolo 8 del decreto-legge 1° marzo 2021, n. 22, convertito, con modificazioni, dalla legge 22 aprile 2021, n. 55.

   Art. 4

   Comitato interministeriale per la cybersicurezza

1. Presso la Presidenza del Consiglio dei ministri e' istituito il Comitato interministeriale per la cybersicurezza (CIC), con funzioni di consulenza, proposta e vigilanza in materia di politiche di cybersicurezza, anche ai fini della tutela della sicurezza nazionale nello spazio cibernetico.

2. Il Comitato:

   a) propone al Presidente del Consiglio dei ministri gli indirizzi generali da perseguire nel quadro delle politiche di cybersicurezza nazionale

   b) esercita l'alta sorveglianza sull'attuazione della strategia nazionale di cybersicurezza

   c) promuove l'adozione delle iniziative necessarie per favorire l'efficace collaborazione, a livello nazionale e internazionale, tra i soggetti istituzionali e gli operatori privati interessati alla cybersicurezza, nonche' per la condivisione delle informazioni e per l'adozione di migliori pratiche e di misure rivolte all'obiettivo della cybersicurezza e allo sviluppo industriale, tecnologico e scientifico in materia di cybersicurezza

   d) esprime il parere sul bilancio preventivo e sul bilancio consuntivo dell'Agenzia per la cybersicurezza nazionale.

3. Il Comitato e' presieduto dal Presidente del Consiglio dei ministri ed e' composto dall'Autorita' delegata, ove istituita, dal Ministro degli affari esteri e della cooperazione internazionale, dal Ministro dell'interno, dal Ministro della giustizia, dal Ministro della difesa, dal Ministro dell'economia e delle finanze, dal Ministro dello sviluppo economico, dal Ministro della transizione ecologica, dal Ministro dell'universita' e della ricerca, dal Ministro delegato per l'innovazione tecnologica e la transizione digitale e dal Ministro delle infrastrutture e della mobilita' sostenibili.

4. Il direttore generale dell'Agenzia svolge le funzioni di segretario del Comitato.

5. Il Presidente del Consiglio dei ministri puo' chiamare a partecipare alle sedute del Comitato, anche a seguito di loro richiesta, senza diritto di voto, altri componenti del Consiglio dei ministri, il direttore generale del DIS, il direttore dell'AISE, il direttore dell'AISI, nonche' altre autorita' civili e militari di cui, di volta in volta, ritenga necessaria la presenza in relazione alle questioni da trattare.

6. Il Comitato svolge altresi' le funzioni gia' attribuite al CISR dal decreto-legge perimetro e dai relativi provvedimenti attuativi, fatta eccezione per quelle previste dall'articolo 5 del medesimo decreto-legge perimetro.

   Art. 5

   Agenzia per la cybersicurezza nazionale

1. E' istituita, a tutela degli interessi nazionali nel campo della cybersicurezza, anche ai fini della tutela della sicurezza nazionale nello spazio cibernetico, l'Agenzia per la cybersicurezza nazionale, denominata ai fini del presente decreto «Agenzia», con sede in Roma.

2. L'Agenzia ha personalita' giuridica di diritto pubblico ed e' dotata di autonomia regolamentare, amministrativa, patrimoniale, organizzativa, contabile e finanziaria, nei limiti di quanto previsto dal presente decreto. Il Presidente del Consiglio dei ministri e l'Autorita' delegata, ove istituita, si avvalgono dell'Agenzia per l'esercizio delle competenze di cui al presente decreto.

3. Il direttore generale dell'Agenzia e' nominato tra soggetti appartenenti a una delle categorie di cui all'articolo 18, comma 2, della legge n. 400 del 1988, in possesso di una documentata...