Dl Cyber: dal golden power sul 5G al perimetro cibernetico, tutte le misure

Nasce il Perimetro di sicurezza nazionale cibernetica, con nuovi obblighi per soggetti pubblici e privati, un Centro di valutazione e certificazione nazionale (Cvcn) più forte, con poteri anche sulle forniture Ict, rafforzata la normativa sulla golden power, anche sulla forniture 5G. Questi, spiega Public Policy, i punti principali del decreto Cybersecurity approvato in seconda lettura dal Senato. L'unica modifica apportata a Palazzo Madama dota anche il Viminale di un proprio Centro di valutazione accreditato per reti e forniture Ict di competenza (ma i compiti di certificazione restano in capo al Cvcn del Mise). Il provvedimento, in scadenza il 20 novembre, dovrà quindi tornare alla Camera per l'approvazione definitiva.

Ecco, in sintesi, i punti del provvedimento riassunti da Public Policy:

NASCE IL PERIMETRO DI SICUREZZA NAZIONALE

Nasce il perimetro di sicurezza nazionale cibernetica "al fine di assicurare la sicurezza di reti, sistemi informativi e servizi informatici necessari allo svolgimento di funzioni o alla prestazione di servizi, dalla cui discontinuità possa derivare un pregiudizio alla sicurezza nazionale". Un dpcm successivo dovrà decidere quali soggetti - pubblici e provati - far rientrare nel perimetro. Chi farà parte del Perimetro dovrà compilare un elenco delle reti e dei sitemi sensibili. Un altro dpcm dovrà specificare le procedure di segnalazione degli incidenti e le misure di sicurezza che i soggetti del Perimetro dovranno adottare. Tutte le forniture Ict, inoltre, dovranno superare il vaglio del Centro di valutazione e certificazione nazionale (Cvcn).

MISURE DI SICUREZZA CYBER ANCHE SU 5G

 Le nuove disposizioni sul Perimetro di sicurezza nazionale si applicheranno anche ai servizi di comunicazione elettronica a banda larga basati sulla tecnologia 5G. Nel dettaglio la nuova normativa si applicherà alle imprese operanti nel 5G già soggette all'obbligo di notifica previsto dalla legge sul golden power. La decisione se esercitare o meno i poteri speciali dovrà essere quindi presa "previa valutazione degli elementi indicanti la presenza di fattori di vulnerabilità che potrebbero compromettere l'integrità e la sicurezza delle reti e dei dati che vi transitano". Le autorizzazioni già rilasciate potranno essere riviste chiedendo "misure aggiuntive necessarie al fine di assicurare livelli di sicurezza equivalenti" prescrivendo anche, "ove indispensabile al fine di risolvere le vulnerabilità accertate, la sostituzione di apparati o prodotti".

GOLDEN POWER ANCHE SU FORNITURE 5G

Il Governo potrà applicare i poteri speciali della golden power non solo sulle reti 5G ma anche sulle forniture ad alta intensità tecnologica funzionali alla loro realizzazione. Previsto quindi un obbligo di notifica entro 10 giorni dalla conclusione di un contratto o di un accordo di fornitura: sulla base della informativa il Governo potrà decidere se esercitare il potere di veto o chiedere l'adempimento di specifiche prescrizioni, che dovranno essere comunicate entro 30 giorni, salvo proroga di altri 20 giorni in caso sia necessario svolgere approfondimenti (la proroga può essere concessa una seconda volta solo in caso di particolari complessità). Decorsi i termini senza nessuna decisione da parte della presidenza del Consiglio i poteri speciali si intendono non esercitati. Tra le decisioni che il Governo può prendere anche quella di chiedere all'impresa il ripristino delle condizioni antecedenti. In caso di mancata notifica gli operatori rischiano - secondo questa ipotesi di lavoro - una sanzione dal 25% al 150% del valore dell'operazione. 

POTERI SPECIALI PRESIDENTE CONSIGLIO

Arriva una procedura d'urgenza attraverso la quale, in caso di crisi cibernetica, il presidente del Consiglio potrà decidere, su deliberazione del Comitato interministeriale per la sicurezza della Repubblica, di disattivare parti di reti. In questi casi il presidente del Consiglio dovrà informare il Copasir.