Articolo 22

Testo ufficiale

Fonte: Normattiva.

1. Successivamente alla data di entrata in vigore del presente decreto, la Presidenza del Consiglio dei ministri notifica tempestivamente alla Commissione europea la conferma dell'Agenzia per la cybersicurezza nazionale quale Autorita' nazionale competente NIS e quale Punto di contatto unico NIS, nonche' la designazione dell'Agenzia per la cybersicurezza nazionale, con funzioni di coordinatore ai sensi dell'articolo 9, paragrafo 2, della direttiva (UE) 2022/2555, e del Ministero della difesa, quali Autorita' nazionali di gestione delle crisi informatiche, e i relativi ambiti di competenza come indicati all'articolo 2, comma 1, lettera g). Successivamente, ogni ulteriore modifica a tali designazioni o compiti e' notificata, senza ingiustificato ritardo, alla Commissione europea. Alle designazioni sono assicurate idonee forme di pubblicita'.

2. L'Autorita' nazionale competente NIS:

a) trasmette alla Commissione europea la Strategia nazionale di cybersicurezza di cui all'articolo 9 entro tre mesi dalla sua adozione o dal suo aggiornamento. Possono essere esclusi dalla trasmissione gli elementi della strategia riguardanti la sicurezza nazionale e quelli ulteriori rispetto alle previsioni del presente decreto;

b) comunica entro il 17 gennaio 2025 alla Commissione europea le misure sanzionatorie e le disposizioni che stabiliscono sanzioni nei confronti dei soggetti essenziali e dei soggetti importanti di cui al presente decreto. Successivamente, e' comunicata ogni ulteriore modifica a tali misure e disposizioni;

c) comunica entro il 17 aprile 2025 e, successivamente, ogni due anni:

1) alla Commissione europea e al Gruppo di cooperazione NIS, il numero dei soggetti essenziali e dei soggetti importanti inclusi nell'elenco di cui all'articolo 7, comma 2, per ciascun settore e sottosettore di cui agli allegati I, II e III;

2) alla Commissione europea informazioni pertinenti sul numero di soggetti essenziali e di soggetti importanti individuati ai sensi dell'articolo 3, comma 9, lettere da b) a e), sui settori e i sottosettori di cui agli allegati I, II e III ai quali appartengono, sul tipo di servizio che forniscono e sui criteri di cui all'articolo 3, comma 9, lettere da b) a e), per i quali sono stati individuati;

d) su richiesta della Commissione europea, puo' notificare a quest'ultima, in tutto o in parte, le denominazioni dei soggetti essenziali e dei soggetti importanti di cui alla lettera c), numero 2);

e) comunica all'ENISA, senza ingiustificato ritardo e comunque entro quattordici giorni dalla loro ricezione, le informazioni di cui all'articolo 7, comma 1, lettere a), b) e d), comma 4, lettera b), e comma 5, lettere a) e b), fornite dai soggetti di cui a quest'ultimo comma, per l'inserimento nel registro di cui all'articolo 27 della direttiva (UE) 2022/2555. L'Autorita' nazionale competente NIS puo' richiedere all'ENISA l'accesso a tale registro, assicurando la tutela della riservatezza delle informazioni ivi contenute.

3. Il Punto di contatto unico NIS:

a) successivamente alla data di entrata in vigore del presente decreto, comunica alla Commissione europea, senza ingiustificato ritardo, la designazione dell'Agenzia per la cybersicurezza nazionale quale CSIRT nazionale, denominato CSIRT Italia, e quale coordinatore conformemente all'articolo 16, i rispettivi compiti in relazione ai soggetti essenziali e ai soggetti importanti e qualsiasi ulteriore modifica dei medesimi;

b) trasmette all'ENISA, ogni trimestre a partire dal 1° gennaio 2026, una relazione di sintesi che comprende dati anonimizzati e aggregati sugli incidenti significativi, sugli incidenti, sulle minacce informatiche e sui quasi-incidenti notificati ai sensi degli

articoli 25 e 26;

c) trasmette, successivamente alla data di entrata in vigore del presente decreto, senza ingiustificato ritardo, le notifiche di incidente con effetti transfrontalieri di cui agli articoli 25 e 26 ai punti di contatto unici degli altri Stati membri interessati e all'ENISA.

4. L'Autorita' nazionale di gestione delle crisi informatiche comunica entro tre mesi dall'adozione o dall'aggiornamento del piano nazionale di risposta agli incidenti e alle crisi informatiche su vasta scala di cui all'articolo 13, comma 3, alla Commissione europea e alla Rete europea delle organizzazioni di collegamento per le crisi informatiche (EU-CyCLONe) le informazioni pertinenti relative ai requisiti di cui all'articolo 13, comma 4, in merito al proprio piano nazionale di risposta agli incidenti e alle crisi informatiche su vasta scala, fatto salvo quanto previsto dall'articolo 4, commi 1, 7 e 8.