D.L. 21/09/2019, n. 105

IL PRESIDENTE DELLA REPUBBLICA

Visti gli articoli 77 e 87, quinto comma, della Costituzione;

Considerata la straordinaria nec

^N21

1. Al fine di assicurare un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, degli enti e degli operatori pubblici e privati aventi una sede nel territorio nazionale, da cui dipende l’esercizio di una funzione essenziale dello Stato, ovvero la prestazione di un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato e dal cui malfunzionamento, interruzione, anche parziali, ovvero utilizzo improprio, possa derivare un pregiudizio per la sicurezza nazionale, è istituito il perimetro di sicurezza nazionale cibernetica.

2. Entro quattro mesi dalla data di entrata in vigore della legge di conversione del presente decreto, con decreto del Presidente del Consiglio dei ministri, adottato su proposta del Comitato interministeriale per la cybersicurezza (CIC):

a) sono definiti modalità e criteri procedurali di individuazione di amministrazioni pubbliche, enti e operatori pubblici e privati di cui al comma 1 aventi una sede nel territorio nazionale, inclusi nel perimetro di sicurezza nazionale cibernetica e tenuti al rispetto delle misure e degli obblighi previsti dal presente articolo; ai fini dell’individuazione, fermo restando che per gli Organismi di informazione per la sicurezza si applicano le norme previste dalla legge 3 agosto 2007, n. 124, si procede sulla base dei seguenti criteri:

1) il soggetto esercita una funzione essenziale dello Stato, ovvero assicura un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato;

2) l’esercizio di tale funzione o la prestazione di tale servizio dipende da reti, sistemi informativi e servizi informatici; ^N1

2-bis) l’individuazione avviene sulla base di un criterio di gradualità, tenendo conto dell’entità del pregiudizio per la sicurezza nazionale che, in relazione alle specificità dei diversi settori di attività, può derivare dal malfunzionamento, dall’interruzione, anche parziali, ovvero dall’utilizzo improprio delle reti, dei sistemi informativi e dei servizi informatici predetti; ^N6

b) sono definiti, sulla base di un’analisi del rischio e di un criterio di gradualità che tenga conto delle specificità dei diversi settori di attività, i criteri con i quali i soggetti di cui al comma 2-bis predispongono e aggiornano con cadenza almeno annuale un elenco delle reti, dei sistemi informativi e dei servizi informatici di cui al comma 1, di rispettiva pertinenza, comprensivo della relativa architettura e componentistica, fermo restando che, per le reti, i sistemi informativi e i servizi informatici attinenti alla gestione delle informazioni classificate, si applica quanto previsto dal regolamento adottato ai sensi dell’articolo 4, comma 3, lettera l), della legge 3 agosto 2007, n. 124; all’elaborazione di tali criteri provvede, adottando opportuni moduli organizzativi, il Tavolo interministeriale di cui all’articolo 6 del regolamento di cui al decreto del Presidente del Consiglio dei ministri 30 luglio 2020, n. 131; entro sei mesi dalla data della comunicazione, prevista dal comma 2-bis, a ciascuno dei soggetti iscritti nell’elenco di cui al medesimo comma, i soggetti pubblici e quelli di cui all’articolo 29 del codice dell’amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82, nonché quelli privati, di cui al citato comma 2-bis, trasmettono tali elenchi all’Agenzia per la cybersicurezza nazionale, anche per le attività di prevenzione, preparazione e gestione di crisi cibernetiche affidate al Nucleo per la cybersicurezza; il Dipartimento delle informazioni per la sicurezza, l’Agenzia informazioni e sicurezza esterna (AISE) e l’Agenzia informazioni e sicurezza interna (AISI) ai fini dell’esercizio delle funzioni istituzionali previste dagli articoli 1, comma 3-bis, 4, 6 e 7 della legge n. 124 del 2007, nonché l’organo del Ministero dell’interno per la sicurezza e per la regolarità dei servizi di telecomunicazione di cui all’articolo 7-bis del decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n. 155, accedono a tali elenchi per il tramite della piattaforma digitale di cui all’articolo 9, comma 1, del regolamento di cui al decreto del Presidente del Consiglio dei ministri n. 131 del 2020, costituita presso l’Agenzia per la cybersicurezza nazionale. ^{N17 N16}

2-bis. L’elencazione dei soggetti individuati ai sensi del comma 2, lettera a), è contenuta in un atto amministrativo, adottato dal Presidente del Consiglio dei ministri, su proposta del CIC, entro trenta giorni dalla data di entrata in vigore del decreto del Presidente del Consiglio dei ministri di cui al comma 2. Il predetto atto amministrativo, per il quale è escluso il diritto di accesso, non è soggetto a pubblicazione, fermo restando che a ciascun soggetto è data, separatamente, comunicazione senza ritardo dell’avvenuta iscrizione nell’elenco. L’aggiornamento del predetto atto amministrativo è effettuato con le medesime modalità di cui al presente comma. ^N18

2-ter. Gli elenchi dei soggetti di cui alla lettera a) del comma 2 del presente articolo sono trasmessi al Dipartimento delle informazioni per la sicurezza, che provvede anche a favore dell’AISE e dell’AISI ai fini dell’esercizio delle funzioni istituzionali previste dagli articoli 1, comma 3-bis, 4, 6 e 7 della legge 3 agosto 2007, n. 124.

1. Tenuto conto dell’esigenza di disporre di personale in possesso della professionalità necessaria per lo svolgimento delle funzioni del CVCN, di cui all’articolo 1, commi 6 e 7, il Ministero dello sviluppo economico è autorizzato ad assumere a tempo indeterminato, con incremento della vigente dotazione organica nel limite delle unità eccedenti, in aggiunta alle ordinarie facoltà assunzionali, un contingente massimo di settantasette unità di personale, di cui sessantasette di area terza e dieci di area seconda, nel limite di spesa di euro 3.005.000 annui a decorrere dall’anno 2020.

2. Fino al completamento delle procedure di cui al comma 1, il Ministero dello sviluppo economico, fatte salve le unità dedicate all’assolvimento delle esigenze connesse alle operazioni condotte dalle Forze armate per la difesa nazionale anche nell’ambito del Trattato dell’Atlantico del Nord, può avvalersi, per le esigenze del CVCN di un contingente di personale non dirigenziale appartenente alle pubbliche amministrazioni di cui all’

^N24

Soppresso. ^N5

1. Al fine di rafforzare la tutela della sicurezza nazionale in ambiti di rilevanza strategica, al decreto-legge 15 marzo 2012, n. 21, convertito, con modificazioni, dalla legge 11 maggio 2012, n. 56, sono apportate le seguenti modificazioni:

a) all’articolo 1:

1) al comma 1, alinea, la parola: “contestualmente” è sostituita dalle seguenti: “tempestivamente e per estratto”;

2) al comma 1, lettera b):

2.1) dopo le parole: “all’adozione di delibere” sono inserite le seguenti: “, atti od operazioni”;

2.2) le parole: “il mutamento” sono sostituite dalle seguenti: “la modifica”;

2.3) dopo le parole: “di vincoli che ne condizionino l’impiego” sono aggiunte le seguenti: “, anche in ragione della sottoposizione dell’impresa a procedure concorsuali”;

3) al comma 2:

3.1) dopo le parole: “derivante dalle delibere” sono inserite le seguenti: “, dagli atti o dalle operazioni”;

3.2) dopo le parole: “oggetto della delibera,” sono inserite le seguenti: “dell’atto o dell’operazione,”;

3.3) dopo le parole: “risultante dalla delibera” sono inserite le seguenti: “, dall’atto”;

4) dopo il comma 3 è inserito il seguente:

“3-bis. Qualora l’acquisto delle partecipazioni di cui al comma 1, lettere a) e c), sia effettuato da un soggetto esterno all’Unione europea, di cui all’articolo 2, comma 5-bis, il Governo può considerare altresì le seguenti circostanze:

a) che l’acquirente sia direttamente o indirettamente controllato dall’amministrazione pubblica, compresi organismi statali o forze armate, di un Paese non appartenente all’Unione europea, anche attraverso l’assetto proprietario o finanziamenti consistenti;

b) che l’acquirente sia già stato coinvolto in attività che incidono sulla sicurezza o sull’ordine pubblico in uno Stato membro dell’Unione europea;

c) che vi sia un grave rischio che l’acquirente intraprenda attività illegali o criminali.”;

5) al comma 4:

5.1) al primo periodo, le parole: “o sull’atto” sono sostituite dalle seguenti: “, sull’atto o sull’operazione”;

5.2) al terzo periodo, la parola: “quindici” è sostituita dalla seguente: “quarantacinque”;

5.3) dopo il quarto periodo è inserito il seguente: “Qualora si renda necessario formulare richieste istruttorie a soggetti terzi, il predetto termine di quarantacinque giorni è sospeso, per una sola volta, fino al ricevimento delle informazioni richieste, che sono rese entro il termine di venti giorni”;

5.4) al quinto periodo, dopo le parole: “Le richieste di informazioni” sono inserite le seguenti: “e le richieste istruttorie a soggetti terzi”;

5.5) dopo il quinto periodo è inserito il seguente: “In caso di incompletezza della notifica, il termine di quarantacinque giorni previsto dal presente comma decorre dal ricevimento delle informazioni o degli elementi che la integrano”;

5.6) al decimo periodo, le parole: “le disposizioni di cui al presente comma” sono sostituite dalle seguenti: “gli obblighi di cui al presente comma, ivi compresi quelli derivanti dal provvedimento di esercizio del potere di cui al comma 1, lettera b), eventualmente esercitato nella forma dell’imposizione di specifiche prescrizioni o condizioni,”;

6) al comma 5:

6.1) al secondo periodo, le parole: “prevista dall’articolo 120, comma 2, del testo unico di cui al decreto legislativo 24 febbraio 1998, n. 58, e successive modificazioni” sono sostituite dalle seguenti: “del 3 per cento”;

6.2) al secondo periodo, le parole: “3 per cento,” sono soppresse;

6.3) al secondo periodo, le parole: “20 per cento e 25 per cento” sono sostituite dalle seguenti: “20 per cento, 25 per cento e 50 per cento”;

6.4) dopo il secondo periodo è inserito il seguente: “Nel caso in cui l’acquisizione abbia ad oggetto azioni o quote di una società non ammessa alla negoziazione nei mercati regolamentati, la notifica deve essere effettuata qualora l’acquirente venga a detenere, a seguito dell’acquisizione, una partecipazione superiore alle soglie indicate nel secondo periodo”;

6.5) al terzo periodo, la parola: “quindici” è sostituita dalla seguente: “quarantacinque”;

6.6) dopo il quarto periodo è inserito il seguente: “Qualora si renda necessario formulare richieste istruttorie a soggetti terzi, il predetto termine di quarantacinque giorni è sospeso, per una sola volta, fino al ricevimento delle informazioni richieste, che sono rese entro il termine di venti giorni”;

6.7) al quinto periodo, dopo le parole: “Eventuali richieste di informazioni” sono inserite le seguenti: “e richieste istruttorie a soggetti terzi”;

6.8) dopo il quinto

1. Il Presidente del Consiglio dei ministri, in presenza di un rischio grave e imminente per la sicurezza nazionale connesso alla vulnerabilità di reti, sistemi informativi e servizi informatici, su deliberazione del Comitato interministeriale per la sicurezza della Repubblica, pu�

1. Agli oneri di cui agli articoli 1, comma 19, e 2, commi 1 e 3, per complessivi euro 3.400.000 per l’anno 2019, euro 7.995.000 per ciascuno degli anni 2020 e 2021, euro 6.495.000 per ciascuno degli anni 2022 e 2023 ed euro 4.395.000 annui a decorrere dall’anno 2024, si provvede:

1.Il presente decreto entra in vigore il giorno successivo a quello della sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana e sarà presentato alle Camere per la conversione