D.lgs. 4 settembre 2024, n. 138 · Capo VI
Articolo 40
Attuazione
Sintesi Articolo 40
L'articolo individua gli strumenti attuativi del decreto. Con decreti del Presidente del Consiglio dei ministri — su proposta dell'ACN, sentito il Tavolo per l'attuazione della disciplina NIS — sono definiti i criteri per la clausola di salvaguardia, le procedure di esercizio dei poteri di vigilanza ed esecuzione e le modalità degli strumenti deflattivi del contenzioso; lo stesso strumento può estendere i criteri di identificazione dei soggetti, incluse ulteriori pubbliche amministrazioni, e regolare il raccordo tra ACN e Autorità di settore.
All'ACN, sentito il Tavolo, è riconosciuto il potere di adottare determinazioni su funzionamento del Tavolo stesso, condizioni d'uso di prodotti e processi TIC e obblighi proporzionati e graduali, settoriali o multisettoriali, oltre che di quantificare le sanzioni. Sono infine fissati i termini di adozione e aggiornamento: le determinazioni ogni due anni, i decreti ogni tre, con revisione periodica. È la base normativa da cui discendono le determinazioni ACN pubblicate su questo portale.
Sintesi editoriale a finalità informativa: non sostituisce il testo ufficiale.
Testo ufficiale
Fonte: Normattiva.
1. Con uno o piu' decreti del Presidente del Consiglio dei ministri, adottati anche in deroga all'articolo 17 della legge 23 agosto 1988, n. 400, su proposta dell'Agenzia per la cybersicurezza nazionale, sentito il Tavolo per l'attuazione della disciplina NIS di cui all'articolo 12 e previo parere del Comitato interministeriale per la cybersicurezza, di cui all'articolo 4 del decreto-legge 14 giugno 2021, n. 82, convertito, con modificazioni, dalla legge 4 agosto 2021, n. 109:
a) sono definiti i criteri per l'applicazione della clausola di salvaguardia di cui all'articolo 3, comma 4;
b) sono stabiliti i criteri, le procedure e le modalita' di cui all'articolo 34, comma 10;
c) sono individuate le modalita' di applicazione, nell'ambito del procedimento sanzionatorio, degli strumenti deflattivi del contenzioso di cui all'articolo 38, comma 15.
2. Con uno o piu' decreti del Presidente del Consiglio dei ministri, adottati anche in deroga all'articolo 17 della legge 23 agosto 1988, n. 400, su proposta dell'Agenzia per la cybersicurezza nazionale, d'intesa con le Autorita' di settore NIS interessate, sentito il Tavolo per l'attuazione della disciplina NIS e previo parere del Comitato interministeriale per la cybersicurezza:
a) possono essere stabiliti ulteriori criteri di identificazione delle tipologie di soggetto di cui agli allegati I e II, nonche' delle ulteriori tipologie di soggetto di cui all'articolo 3;
b) possono essere individuate ulteriori categorie di pubbliche amministrazioni di cui all'articolo 3, commi 6 e 7, a cui si applica il presente decreto;
c) sono stabilite le modalita' di raccordo e di collaborazione tra l'Agenzia per la cybersicurezza nazionale e le Autorita' di settore NIS ai fini del presente decreto.
3. Con uno o piu' decreti del Presidente del Consiglio dei ministri, adottati anche in deroga all'articolo 17 della legge 23 agosto 1988, n. 400, su proposta dell'Agenzia per la cybersicurezza nazionale, d'intesa con le Amministrazioni interessate, sentito il Tavolo per l'attuazione della disciplina NIS, previo parere del Comitato interministeriale per la cybersicurezza, sono stabilite, ove necessario, le modalita' di raccordo e collaborazione di cui all'articolo 14.
4. Con una o piu' determinazioni dell'Agenzia per la cybersicurezza nazionale, su proposta delle Autorita' di settore NIS interessate, sentito il Tavolo per l'attuazione della disciplina NIS:
a) sono individuati, ove necessario, i soggetti ai quali si applica la clausola di salvaguardia di cui all'articolo 3, comma 4;
b) sono individuati i soggetti ai quali si applica il presente decreto ai sensi dell'articolo 3, commi 8 e 9.
5. Con una o piu' determinazioni dell'Agenzia per la cybersicurezza nazionale, sentito il Tavolo per l'attuazione della disciplina NIS:
a) ai sensi degli articoli 3 e 6, e' stabilito l'elenco dei soggetti essenziali e dei soggetti importanti di cui all'articolo 7, comma 2;
b) sono stabiliti i termini, le modalita' nonche' i procedimenti di utilizzo e accesso di cui all'articolo 7, comma 6, le eventuali ulteriori informazioni che i soggetti devono fornire ai sensi dei commi 1 e 4 del medesimo articolo, nonche' i termini, le modalita' e i procedimenti di designazione dei rappresentanti di cui all'articolo 5, comma 3;
c) possono essere definiti ulteriori disposizioni per l'organizzazione e per il funzionamento del Tavolo per l'attuazione della disciplina NIS di cui all'articolo 12;
d) e' adottata, d'intesa con il Ministero della giustizia, la politica nazionale di divulgazione coordinata delle vulnerabilita' di cui all'articolo 16, comma 4;
e) possono essere imposte condizioni per le informazioni messe a disposizione dalle autorita' competenti e dal CSIRT Italia nel contesto degli accordi di condivisione delle informazioni sulla sicurezza informatica di cui all'articolo 17, comma 3;
f) sono stabilite le modalita' con cui i soggetti essenziali e i soggetti importanti notificano all'Autorita' nazionale competente NIS la loro partecipazione agli accordi di condivisione delle informazioni sulla sicurezza informatica di cui all'articolo 17, comma 4;
g) possono essere designati gli esperti di sicurezza informatica di cui all'articolo 21, comma 1, nonche' individuate, se necessario, le modalita' per l'esecuzione della revisione tra pari di cui al medesimo articolo 21;
h) puo' essere imposto l'utilizzo di prodotti TIC, servizi TIC e processi TIC certificati di cui all'articolo 27, definendo i relativi termini, criteri e modalita';
i) sono stabilite le categorie di rilevanza nonche' le modalita' e i criteri per l'elencazione, caratterizzazione e categorizzazione delle attivita' e dei servizi, a valenza multisettoriale e, ove opportuno, settoriale, di cui all'articolo 30;
l) sono stabiliti obblighi proporzionati e graduali, a valenza multisettoriale e, ove opportuno, settoriale, di cui all'articolo 31, le modalita' di applicazione dei medesimi obblighi per i soggetti che svolgono attivita' in piu' settori o sottosettori e per i soggetti di cui all'articolo 32, commi 1 e 2;
m) sono stabiliti i criteri per la determinazione dell'importo delle sanzioni ai sensi dell'articolo 38, comma 2.
6. Sono esclusi dall'accesso e non sono soggetti a pubblicazione:
a) i decreti di cui al comma 3;
b) le determinazioni di cui al comma 4, lettera b), e al comma 5, lettera a);
c) atti, documenti, e informazioni relativi o comunque collegati alle notifiche degli incidenti o la cui divulgazione o il cui accesso possono comunque arrecare un possibile pregiudizio alla sicurezza nazionale nello spazio cibernetico.
7. Entro trenta giorni dalla data di entrata in vigore del presente decreto sono adottati:
a) i decreti del Presidente del Consiglio dei ministri di cui al comma 1, lettera a), e al comma 3;
b) le determinazioni dell'Agenzia per la cybersicurezza nazionale di cui al comma 4, lettera b), e al comma 5, lettere b) e c).
8. Entro sei mesi dalla data di entrata in vigore del presente decreto, sono adottati:
a) i decreti del Presidente del Consiglio dei ministri di cui al comma 1, lettere b) e c), e al comma 2, lettera c);
b) le determinazioni dell'Agenzia per la cybersicurezza nazionale di cui al comma 5, lettere d), f) e l).
9. Entro diciotto mesi dalla data di entrata in vigore del presente decreto, sono adottate le determinazioni dell'Agenzia per la cybersicurezza nazionale di cui al comma 5, lettera i).
10. I decreti del Presidente del Consiglio dei ministri di cui al presente articolo sono aggiornati periodicamente e, comunque, ogni tre anni.
11. Le determinazioni dell'Agenzia per la cybersicurezza nazionale
di cui al presente articolo sono aggiornate periodicamente e, comunque, ogni due anni.