La Camera ha approvato in via definitiva il decreto sul Perimetro cibernetico (QUI IL TESTO DEFINITIVO). Il testo è stato licenziato senza emendamenti – opzione che avrebbe fatto slittare la deadline del 20 novembre a causa della necessità di un nuovo passaggio alle Camere. È l’articolo 3 a determinare le “disposizioni in materia di reti di telecomunicazione elettronica a banda larga con tecnologia 5G”. La decisione se esercitare o meno i poteri speciali dovrà essere quindi presa “previa valutazione degli elementi indicanti la presenza di fattori di vulnerabilità che potrebbero compromettere l’integrità e la sicurezza delle reti e dei dati che vi transitano”.
Le autorizzazioni già rilasciate potranno essere riviste chiedendo “misure aggiuntive necessarie al fine di assicurare livelli di sicurezza equivalenti” prescrivendo anche, “ove indispensabile al fine di risolvere le vulnerabilità accertate, la sostituzione di apparati o prodotti”. Ma è all’articolo 4 bis “Modifiche alla disciplina dei poteri speciali nei settori di rilevanza strategica” che si specificano le modalità dell’esercizio dei poteri speciali da parte del Governo in particolare per quel che concerne i fornitori extra Ue. Al comma 3 bis. Qualora l’acquisto delle partecipazioni sia effettuato da un soggetto esterno all’Unione europea, il Governo può considerare altresì le seguenti circostanze: a) che l’acquirente sia direttamente o indirettamente controllato dall’amministrazione pubblica, compresi organismi statali o forze armate, di un Paese non appartenente all’Unione europea, anche attra-verso l’assetto proprietario o finanziamenti consistenti; b) che l’acquirente sia già stato coinvolto in attività che incidono sulla sicurezza o sull’ordine pubblico in uno Stato membro dell’Unione europea; c) che vi sia un grave rischio che l’acquirente intraprenda attività illegali o criminali”.
Riguardo all’Unione europea a decorrere dall’11 ottobre 2020, qualora uno Stato membro o la Commissione Ue notifichi l’intenzione di formulare osservazioni o di emettere un parere in relazione ad un investimento estero diretto oggetto di un procedimento in corso, i termini per l’esercizio della Golden power “sono sospesi fino al ricevimento delle osservazioni dello Stato membro o del parere della Commissione Ue”. Uguale sospensione scatta nel caso in cui il Governo chieda un parere agli altri Stati membri. I poteri speciali potranno comunque essere esercitati “nei casi in cui la tutela della sicurezza nazionale o dell’ordine pubblico richiedano l’adozione di una decisione immediata”.
Non solo reti: poteri speciali anche sulle forniture
Il Governo potrà applicare i poteri speciali della golden power anche sulle forniture ad alta intensità tecnologica funzionali alla loro realizzazione. Previsto un obbligo di notifica entro 10 giorni dalla conclusione di un contratto o di un accordo di fornitura: sulla base della informativa il Governo potrà decidere se esercitare il potere di veto o chiedere l’adempimento di specifiche prescrizioni, che dovranno essere comunicate entro 30 giorni, salvo proroga di altri 20 giorni in caso sia necessario svolgere approfondimenti (la proroga può essere concessa una seconda volta solo in caso di particolari complessità). Decorsi i termini senza nessuna decisione da parte della presidenza del Consiglio i poteri speciali si intendono non esercitati. Tra le decisioni che il Governo può prendere anche quella di chiedere all’impresa il ripristino delle condizioni antecedenti. In caso di mancata notifica gli operatori rischiano – secondo questa ipotesi di lavoro – una sanzione dal 25% al 150% del valore dell’operazione.
Il governo potrà intervenire per semplificare le procedure
Prevista la possibilità che il Governo riveda i termini per l’esercizio della Golden power “al fine di individuare procedure semplificate, tenuto conto del grado di potenziale pregiudizio per gli interessi essenziali della difesa, della sicurezza nazionale e dell’ordine pubblico, inclusi quelli relativi alla sicurezza e al funzionamento delle reti e degli impianti e alla continuità degli approvvigionamenti, nonché dell’esigenza di assicurare l’armonizzazione delle procedure nazionali con quelle relative ai meccanismi di controllo, scambio di informazione e cooperazione definiti ai sensi del Regolamento Ue 452 del 2019. Un apposito dpcm dovrà disciplinarne il funzionamento e l’organizzazione. Infine, Banca d’Italia, Consob, Covip, Ivass, Art, Agcm, Agcom e Arera dovranno scambiare informazioni con il Gruppo di coordinamento delle attività per l’esercizio della Golden power senza poter opporre il segreto d’ufficio.
Chi sono i soggetti tutelati dal perimetro cibernetico
I soggetti pubblici e privati che faranno parte del perimetro cibernetico poiché titolari di reti e infrastrutture critiche nonché di sistemi IT che possano essere violati compromettendo la sicurezza nazionale dovranno essere definiti con futuri dpcm. Chi farà parte del Perimetro dovrà compilare un elenco delle reti e dei sistemi sensibili. Un altro dpcm dovrà specificare le procedure di segnalazione degli incidenti e le misure di sicurezza che i soggetti del Perimetro dovranno adottare. Tutte le forniture Ict, inoltre, dovranno superare il vaglio del Centro di valutazione e certificazione nazionale (Cvcn).
Risorse ad hoc per il Cvcn
Stanziati 3,2 milioni per il 2019, 2,85 milioni dal 2020 al 2023 e 750mila euro dal 2024 per garantire l’operatività del Cvcn che fa capo al Mise. Il ministero è autorizzato ad assumere a tempo indeterminato 77 unità di personale. Nel frattempo potrà essere utilizzato personale in distacco. Assunzioni anche alla presidenza del Consiglio, che potrà far entrare 10 unità di personale. Anche in questo caso, nel frattempo, potrà essere utilizzato personale in distacco.
Sanzioni fino a 1,8 milioni di euro
Nel caso in cui un soggetto fornisca volutamente informazioni false è prevista la reclusione da uno a tre anni e, all’ente, una sanzione pecuniaria fino a 400 quote. Previste anche sanzioni pecuniarie scaglionate in relazione alla gravità della condotta da 200mila euro a 1,8 milioni.
Poteri speciali al Presidente del Consiglio
Il presidente del Consiglio potrà decidere, su deliberazione del Comitato interministeriale per la sicurezza della Repubblica, di disattivare parti di reti in caso di procedura d’urgenza ossia in caso di crisi cibernetica. Il presidente del Consiglio dovrà informare il Copasir.
