Cybersicurezza, via libera definitivo dalla Camera. Golden power e reti: cosa prevede

Il testo è stato approvato a Montecitorio con i voti della sola maggioranza: tutta l’opposizione si è astenuta. La legge amplia i poteri speciali del Governo (la cosiddetta Golden power), che vengono estesi anche al 5G.

Via libera definitivo dell’Aula della Camera al decreto legge in materia di Cybersicurezza. Il testo è stato approvato a Montecitorio con i voti della sola maggioranza: tutta l’opposizione si è astenuta. “Un testo importante, perché rappresenta finalmente una risposta di carattere strutturale a un fenomeno già molto diffuso e che sarà sempre più rilevante negli anni a venire”, dice in una nota Emanuele Scagliusi, capogruppo del MoVimento 5 Stelle in commissione Trasporti alla Camera e relatore del provvedimento. “Secondo i massimi esperti di cyber security – aggiunge – l’era della guerra cibernetica è già cominciata. Viviamo in un mondo sempre più dipendente dai dati: il decreto sulla sicurezza cibernetica, consente al nostro Paese di difendere le infrastrutture di rete e i dati che vi transitano, tutelando al contempo i cittadini e la sicurezza nazionale”.

La legge, come spiega l’agenzia Agi, amplia i poteri speciali del Governo (la cosiddetta Golden power), che vengono estesi anche al 5G. È una delle novita’, introdotte durante l’esame in commissione a Montecitorio, attraverso un emendamento dell’esecutivo. Anche durante l’esame del Senato il testo è stato modificato, con una norma attribuisce anche al Viminale un proprio Centro di valutazione accreditato per reti e forniture Ict di competenza. I compiti di certificazione restano in capo al Centro di valutazione e certificazione del Mise. Il provvedimento prevede nuove misure sulla Cybersecurity, istituendo il Perimetro nazionale sulla sicurezza cibernetica. In particolare, il provvedimento amplia il potere di veto anche su “atti e operazioni” delle aziende che detengono gli asset strategici. Oltre al 5G, le norme riguardano anche la Borsa.

OBIETTIVI– L’obiettivo del decreto è assicurare la sicurezza di reti, sistemi informativi e servizi informatici necessari allo svolgimento di funzioni o alla prestazione di servizi, dalla cui discontinuità possa derivare un pregiudizio alla sicurezza nazionale. Spetterà a un decreto del presidente del Consiglio, da adottare previo parere delle competenti Commissioni parlamentari, l’individuazione dei soggetti inclusi nel perimetro di sicurezza nazionale cibernetica.

SOGGETTI INSERITI NEL PERIMETRO DELLA CYBERSECURITY– In particolare, la norma fa riferimento ad amministrazioni pubbliche, nonchè ad enti e operatori nazionali, pubblici e privati – aventi una sede nel territorio nazionale – le cui reti e sistemi informativi e informatici sono necessari per l’esercizio di una funzione essenziale dello Stato; sono necessari per l’assolvimento di un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato; il cui malfunzionamento, interruzione – anche parziali – o uso improprio possono pregiudicare la sicurezza nazionale. Il decreto, poi, fissa i criteri cui il decreto del presidente del Consiglio deve attenersi per individuare i soggetti da includere nel perimetro: il soggetto esercita una funzione essenziale dello Stato, ovvero assicura un servizio essenziale per il mantenimento di attivita’ civili, sociali o economiche fondamentali per gli interessi dello Stato; l’esercizio di tale funzione o la prestazione di tale servizio dipende da reti, sistemi informativi e servizi informatici; l’individuazione avviene secondo un criterio di gradualità, tenendo conto dell’entità del pregiudizio per la sicurezza nazionale che – in relazione alle specificità dei diversi settori di attività – puo’ derivare dal malfunzionamento, interruzione, anche parziali, ovvero dall’utilizzo improprio delle suddette reti e dei predetti sistemi informativi e servizi informatici.

SICUREZZA E INCIDENTI – Il decreto interviene anche sulle procedure di segnalazione degli incidenti su reti, sistemi informativi e sistemi informatici rientranti nel perimetro di sicurezza nazionale cibernetica: i relativi soggetti (amministrazioni pubbliche, nonchè enti oppure operatori nazionali, pubblici e privati) devono notificare l’incidente al Gruppo di intervento per la sicurezza informatica in caso di incidente (Csirt) italiano. Il Csirt procede poi a inoltrare tempestivamente tali notifiche al Dipartimento delle informazioni della sicurezza (Dis). Per quanto riguarda le misure di sicurezza, devono assicurare elevati livelli di prevenzione e salvaguardia delle reti, sistemi informativi e sistemi informatici rientranti nel perimetro di sicurezza nazionale cibernetica, tenendo conto degli standard definiti a livello internazionale e dell’Unione europea.

5G – Le norme si applicano ai soggetti inclusi nel perimetro di sicurezza nazionale cibernetica, anche per i contratti o gli accordi – ove conclusi con soggetti esterni all’Unione europea – relativi ai servizi di comunicazione elettronica a banda larga basati sulla tecnologia 5G, rispetto ai quali è prevista una notifica alla Presidenza del Consiglio al fine dell’eventuale esercizio del potere di veto o dell’imposizione di specifiche prescrizioni o condizioni.

GOLDEN POWER AMPLIATA – Viene esteso l’ambito operativo delle norme in tema di poteri speciali esercitabili dal Governo nei settori ad alta intensità tecnologica. Nel dettaglio: viene ampliato il perimetro dei beni che possono essere inclusi nell’ambito di applicazione di tale disciplina, nel caso in cui sussista un pericolo per la sicurezza e l’ordine pubblico, attraverso il rinvio alle norme europee; ai fini della verifica del pericolo, viene ricompreso il possibile pregiudizio alla sicurezza e al funzionamento delle reti e degli impianti e alla continuita’ degli approvvigionamenti; fino all’entrata in vigore delle norme secondarie che individuano puntualmente i settori rilevanti, sono assoggettati a notifica al Governo gli acquisti, da parte di soggetti esterni all’Ue, di partecipazioni in società che detengono specifici beni e rapporti, fra cui le infrastrutture e le tecnologie critiche legate alla gestione dei dati e alla Cybersicurezza, nonchè le infrastrutture finanziarie. La notifica in particolare riguarda gli acquisti rilevanti, ovvero in grado di determinare l’insediamento stabile dell’acquirente, in ragione dell’assunzione del controllo della societa’. A seguito della notifica, il Governo può, sulla base di specifici criteri, esercitare poteri speciali imponendo condizioni e impegni diretti a garantire la tutela degli interessi essenziali dello Stato, nonche’ opponendosi all’acquisto della partecipazione.