DECRETO LEGISLATIVO 3 agosto 2022, n. 123

IL PRESIDENTE DELLA REPUBBLICA

Visti gli articoli 76 e 87, quinto comma, della Costituzione;

Visto l'articolo 14, comma 1, della legge 23 agosto 1988, n. 400, recante disciplina dell'attività di Governo e ordinamento della Presidenza del Consiglio dei ministri;

Vista la legge 24 dicembre 2012, n. 234, recante norme generali sulla partecipazione dell'Italia alla formazione e all'attuazione della normativa e delle politiche dell'Unione europea;

Vista la legge 22 aprile 2021, n. 53, concernente delega al Governo per il recepimento delle direttive europee e l'attuazione di altri atti dell'Unione europea - Legge di delegazione europea 2019-2020, e, in particolare, l'articolo 18, recante i principi e criteri direttivi per l'adeguamento della normativa nazionale alle disposizioni del titolo III del regolamento (UE) 2019/881;

Visto il regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio, del 9 luglio 2008, che pone norme in materia di accreditamento e vigilanza del mercato per quanto riguarda la commercializzazione dei prodotti e che abroga il regolamento (CEE) n. 339/93;

Visto il regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio, del 17 aprile 2019, relativo all'ENISA, l'Agenzia dell'Unione europea per la cibersicurezza, e alla certificazione della cibersicurezza per le tecnologie dell'informazione e della comunicazione, e che abroga il regolamento (UE) n. 526/2013;

Visto il regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio, del 23 luglio 2014, in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva 1999/93/CE;

Visto il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonchè alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati);

Vista la legge 24 novembre 1981, n. 689, recante modifiche al sistema penale e che contiene disposizioni in materia di depenalizzazione, sanzioni amministrative e penali, pecuniarie ed accessorie;

Visto il decreto legislativo 23 gennaio 2002, n. 10, recante attuazione della direttiva 1999/93/CE relativa ad un quadro comunitario per le firme elettroniche , e, in particolare, l'articolo 10, comma 1, che ha previsto l'istituzione dello schema nazionale per la valutazione e certificazione di sicurezza nel settore della tecnologia dell'informazione preposto all'accertamento in Italia della conformità dei dispositivi per la creazione di una «firma sicura» ai requisiti prescritti dalla direttiva 1999/93/CE da definire con decreto del Presidente del Consiglio dei ministri o del Ministro per l'innovazione e le tecnologie, di concerto con altri Ministri;

Visto il decreto legislativo 30 giugno 2003, n. 196, concernente il codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonchè alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE;

Visto il decreto legislativo 7 marzo 2005, n. 82, recante Codice dell'amministrazione digitale, che ha disposto l'abrogazione del decreto legislativo 23 gennaio 2002, n. 10, sostituendo l'articolo 10, comma 1 con il nuovo articolo 35, comma 5 ed adeguando il riferimento a «firma sicura» con il nuovo termine «firma qualificata»;

Visto l'articolo 7, comma 1, lettera e), del decreto-legge 14 giugno 2021, n. 82, convertito, con modificazioni, dalla legge 4 agosto 2021, n. 109, recante disposizioni urgenti in materia di cybersicurezza, definizione dell'architettura nazionale di cybersicurezza e istituzione dell'Agenzia per la cybersicurezza nazionale, che attribuisce all'Agenzia per la cybersicurezza nazionale il ruolo di autorità nazionale di certificazione della cybersicurezza ai sensi dell'articolo 58 del regolamento (UE) 2019/881 e traferisce all'agenzia tutte le funzioni in materia di certificazione di cybersicurezza del Ministero dello sviluppo economico in base all'ordinamento vigente, ed il successivo articolo 16, comma 12, lettera b), dello stesso decreto, con il quale si dispone che ogni riferimento al Ministero dello sviluppo economico nell'articolo 18 della legge 22 aprile 2022, n. 53, ovunque ricorra, deve intendersi riferito all'Agenzia per la cybersicurezza nazionale;

Visto il decreto del Presidente del Consiglio dei ministri del 30 ottobre 2003, pubblicato nella Gazzetta Ufficiale n. 98 del 27 aprile 2004, recante approvazione dello schema nazionale per la valutazione e la certificazione della sicurezza nel settore della tecnologia dell'informazione, e che ha individuato, all'articolo 4, nell'ex Ministero delle comunicazioni, oggi Ministero dello sviluppo economico per effetto dei commi 376 e 377 dell'articolo 1 della legge del 24 dicembre 2007, n. 244, l'organismo di certificazione della sicurezza informatica nel settore della tecnologia dell'informazione, ai sensi dell'articolo 10, comma 1, del decreto legislativo 23 febbraio 2002, n. 10;

Visto il regolamento adottato con decreto del Presidente del Consiglio dei ministri del 9 dicembre 2021, n. 223, in materia di organizzazione e funzionamento dell'Agenzia per la cybersicurezza nazionale;

Vista la preliminare deliberazione del Consiglio dei ministri, adottata nella riunione del 5 maggio 2022;

Sentita l'Agenzia per la cybersicurezza nazionale di cui all'articolo 5 del decreto-legge 14 giugno 2021, n. 82, convertito, con modificazioni, dalla legge 4 agosto 2021, n. 109, ai sensi dell'articolo 7, comma 1, lettera p), del medesimo decreto-legge;

Acquisiti i pareri delle competenti Commissioni della Camera dei deputati e del Senato della Repubblica;

Vista la deliberazione del Consiglio dei ministri, adottata nella riunione del 28 luglio 2022;

Sulla proposta del Presidente del Consiglio dei ministri e del Ministro dello sviluppo economico, di concerto con i Ministri degli affari esteri e della cooperazione internazionale, dell'economia e delle finanze, della giustizia, dell'interno, della difesa e per l'innovazione tecnologica e la transizione digitale;

Emana

il seguente decreto legislativo:

Art. 1

Oggetto e ambito di applicazione

1.Il presente decreto stabilisce misure volte ad adeguare la normativa nazionale al nuovo quadro europeo di certificazione della cybersicurezza, introdotto mediante le disposizioni del Titolo III del regolamento (UE) 2019/881.

3.Il presente decreto si applica fatte salve le disposizioni specifiche riguardanti le attività nel settore della pubblica sicurezza, della difesa, della sicurezza nazionale e le attività dello Stato nell'ambito del diritto penale.