BONAFEDE DADONE...comma 512, della legge 28 dicembre 2015, n. 208, che intendano procedere all’af...

N. 2100-B—CAMERA DEI DEPUTATI

DISEGNO DI LEGGE

APPROVATO DALLA CAMERA DEI DEPUTATI

il 24 ottobre 2019 (v. stampato Senato n. 1570)

MODIFICATO DAL SENATO DELLA REPUBBLICA

il 7 novembre 2019

PRESENTATO DAL PRESIDENTE DEL CONSIGLIO DEI MINISTRI

(CONTE)

DI CONCERTO CON IL MINISTRO DELL’ECONOMIA E DELLE FINANZE

(GUALTIERI)

CON IL MINISTRO DELLO SVILUPPO ECONOMICO

(PATUANELLI)

CON IL MINISTRO DELLA DIFESA

(GUERINI)

CON IL MINISTRO DELL’INTERNO

(LAMORGESE)

CON IL MINISTRO DEGLI AFFARI ESTERI

E DELLA COOPERAZIONE INTERNAZIONALE

(DI MAIO)

CON IL MINISTRO DELLA GIUSTIZIA

(BONAFEDE)

CON IL MINISTRO PER LA PUBBLICA AMMINISTRAZIONE

(DADONE)

Atti Parlamentari — 1 — Camera dei Deputati

XVIII LEGISLATURA — DISEGNI DI LEGGE E RELAZIONI — DOCUMENTI

E CON IL MINISTRO PER L’INNOVAZIONE TECNOLOGICA E LA DIGITALIZZAZIONE

(PISANO)

Conversione in legge, con modificazioni, del decreto-legge 21settembre 2019, n. 105, recante disposizioni urgenti in materia di

perimetro di sicurezza nazionale cibernetica

Trasmesso dal Presidente del Senato della Repubblical’8 novembre 2019


XVIII LEGISLATURA A.C. 2100-B

TESTOAPPROVATO DALLA CAMERA DEI DEPUTATI

__

TESTOMODIFICATO DAL SENATO DELLA REPUBBLICA

__

Art. 1. Art. 1.

1. Il decreto-legge 21 settembre 2019,n. 105, recante disposizioni urgenti in ma-teria di perimetro di sicurezza nazionalecibernetica, è convertito in legge con lemodificazioni riportate in allegato alla pre-sente legge.

Identico.

2. La presente legge entra in vigore ilgiorno successivo a quello della sua pub-blicazione nella Gazzetta Ufficiale.



TESTO APPROVATO DALLA CAMERA DEI DEPUTATI

ALLEGATO

MODIFICAZIONI APPORTATE IN SEDE DI CONVERSIONE

AL DECRETO-LEGGE 21 SETTEMBRE 2019, N. 105

All’articolo 1:

al comma 1, le parole: « nazionali, pubblici e privati » sonosostituite dalle seguenti: « pubblici e privati aventi una sede nel terri-torio nazionale »;

al comma 2:

alla lettera a):

all’alinea, le parole: « nazionali, pubblici e privati di cui alcomma 1 » sono sostituite dalle seguenti: « pubblici e privati di cui alcomma 1 aventi una sede nel territorio nazionale »;

al numero 2), le parole: « dal cui malfunzionamento, inter-ruzione, anche parziali, ovvero utilizzo improprio possa derivare unpregiudizio per la sicurezza nazionale » sono soppresse;

dopo il numero 2) è aggiunto il seguente:

« 2-bis) l’individuazione avviene sulla base di un criterio di gra-dualità, tenendo conto dell’entità del pregiudizio per la sicurezzanazionale che, in relazione alle specificità dei diversi settori di attività,può derivare dal malfunzionamento, dall’interruzione, anche parziali,ovvero dall’utilizzo improprio delle reti, dei sistemi informativi e deiservizi informatici predetti »;

alla lettera b), le parole: « i criteri in base ai quali » sonosostituite dalle seguenti: « , sulla base di un’analisi del rischio e di uncriterio di gradualità che tenga conto delle specificità dei diversi settoridi attività, i criteri con i quali » e dopo le parole: « architettura ecomponentistica » sono inserite le seguenti: « , fermo restando che, perle reti, i sistemi informativi e i servizi informatici attinenti alla gestionedelle informazioni classificate, si applica quanto previsto dal regola-mento adottato ai sensi dell’articolo 4, comma 3, lettera l), della legge3 agosto 2007, n. 124 »;

al comma 3:

all’alinea, la parola: « ne » è soppressa;



TESTO MODIFICATO DAL SENATO DELLA REPUBBLICA

ALLEGATO

MODIFICAZIONI APPORTATE IN SEDE DI CONVERSIONE

AL DECRETO-LEGGE 21 SETTEMBRE 2019, N. 105

All’articolo 1:

identico;

identico;

identico;



alla lettera b):

all’alinea, dopo le parole: « e dei servizi informatici di cui alcomma 2, lettera b) » sono inserite le seguenti: « , tenendo conto deglistandard definiti a livello internazionale e dell’Unione europea »;

il numero 1) è sostituito dal seguente:

« 1) alla struttura organizzativa preposta alla gestione dellasicurezza »;

dopo il numero 1) è inserito il seguente:

« 1-bis) alle politiche di sicurezza e alla gestione del rischio »;

al numero 2), le parole: « la sostituzione di » sono sostituitedalle seguenti: « interventi su »;

al numero 8) sono aggiunte, in fine, le seguenti parole: « , distandard e di eventuali limiti »;

dopo il comma 4 è inserito il seguente:

« 4-bis. Gli schemi dei decreti di cui ai commi 2 e 3 sono trasmessialla Camera dei deputati e al Senato della Repubblica per l’espressionedel parere delle Commissioni parlamentari competenti per materia, chesi pronunciano nel termine di trenta giorni, decorso il quale il decretopuò essere comunque adottato »;

al comma 5, le parole: « commi 2, 3 e 4 » sono sostituite dalleseguenti: « commi 2, 3, 4 e 4-bis »;

al comma 6:

alla lettera a), le parole da: « fatti salvi i casi » fino a: « dispostidal CVCN » sono sostituite dalle seguenti: « i soggetti di cui al comma 2,lettera a), ovvero le centrali di committenza alle quali essi fanno ricorsoai sensi dell’articolo 1, comma 512, della legge 28 dicembre 2015,n. 208, che intendano procedere all’affidamento di forniture di beni,sistemi e servizi ICT destinati a essere impiegati sulle reti, sui sistemiinformativi e per l’espletamento dei servizi informatici di cui al comma2, lettera b), appartenenti a categorie individuate con decreto delPresidente del Consiglio dei ministri, da adottare entro dieci mesi dalladata di entrata in vigore della legge di conversione del presente decreto,sulla base di criteri di natura tecnica, ne danno comunicazione alCentro di valutazione e certificazione nazionale (CVCN), istituito pressoil Ministero dello sviluppo economico; la comunicazione comprendeanche la valutazione del rischio associato all’oggetto della fornitura,anche in relazione all’ambito di impiego. Entro quarantacinque giornidalla ricezione della comunicazione, prorogabili di quindici giorni, unasola volta, in caso di particolare complessità, il CVCN può effettuareverifiche preliminari ed eventualmente imporre condizioni e test dihardware e software secondo un approccio gradualmente crescentenelle verifiche di sicurezza. Decorso il termine di cui al precedente



(segue: testo approvato dalla Camera dei deputati)

identico;

identico;

identico:

la lettera a) è sostituita dalla seguente:

« a) i soggetti di cui al comma 2, lettera a), ovvero le centralidi committenza alle quali essi fanno ricorso ai sensi dell’articolo 1,comma 512, della legge 28 dicembre 2015, n. 208, che intendanoprocedere all’affidamento di forniture di beni, sistemi e servizi ICTdestinati a essere impiegati sulle reti, sui sistemi informativi e perl’espletamento dei servizi informatici di cui al comma 2, lettera b),appartenenti a categorie individuate, sulla base di criteri di naturatecnica, con decreto del Presidente del Consiglio dei ministri, daadottare entro dieci mesi dalla data di entrata in vigore della legge diconversione del presente decreto, ne danno comunicazione al Centro divalutazione e certificazione nazionale (CVCN), istituito presso il Mini-stero dello sviluppo economico; la comunicazione comprende anche lavalutazione del rischio associato all’oggetto della fornitura, anche inrelazione all’ambito di impiego. Entro quarantacinque giorni dallaricezione della comunicazione, prorogabili di quindici giorni, una solavolta, in caso di particolare complessità, il CVCN può effettuareverifiche preliminari ed imporre condizioni e test di hardware esoftware da compiere anche in collaborazione con i soggetti di cui alcomma 2, lettera a), secondo un approccio gradualmente crescente



(segue: testo modificato dal Senato della Repubblica)

periodo senza che il CVCN si sia pronunciato, i soggetti che hannoeffettuato la comunicazione possono proseguire nella procedura diaffidamento. In caso di imposizione di condizioni e test di hardware esoftware i relativi bandi di gara e contratti sono integrati con clausoleche condizionano, sospensivamente ovvero risolutivamente, il contrattoal rispetto delle condizioni e all’esito favorevole dei test disposti dalCVCN, anche in collaborazione con i predetti soggetti, di cui al comma2, lettera a). I test devono essere conclusi nel termine di sessanta giorni.Decorso il termine di cui al precedente periodo, i soggetti che hannoeffettuato la comunicazione possono proseguire nella procedura diaffidamento. Non sono oggetto di comunicazione gli affidamenti delleforniture di beni, sistemi e servizi ICT destinate alle reti, ai sistemiinformativi e ai servizi informatici per lo svolgimento delle attività diprevenzione, accertamento e repressione dei reati e i casi di derogastabiliti dal medesimo regolamento con riguardo alle forniture di beni,sistemi e servizi ICT per le quali sia indispensabile procedere in sedeestera » e le parole: « sono utilizzati reti, sistemi informativi e serviziinformatici » sono sostituite dalle seguenti: « sono utilizzati beni, sistemie servizi ICT »;

alla lettera c), dopo le parole: « sicurezza pubblica » sonoinserite le seguenti: « , alla difesa civile » e dopo le parole: « protezionedi reti e sistemi, nonché » sono inserite le seguenti: « , nei casi in cuisiano espressamente previste dalla legge, »;




nelle verifiche di sicurezza. Decorso il termine di cui al precedenteperiodo senza che il CVCN si sia pronunciato, i soggetti che hannoeffettuato la comunicazione possono proseguire nella procedura diaffidamento. In caso di imposizione di condizioni e test di hardware esoftware, i relativi bandi di gara e contratti sono integrati con clausoleche condizionano, sospensivamente ovvero risolutivamente, il contrattoal rispetto delle condizioni e all’esito favorevole dei test disposti dalCVCN. I test devono essere conclusi nel termine di sessanta giorni.Decorso il termine di cui al precedente periodo, i soggetti che hannoeffettuato la comunicazione possono proseguire nella procedura diaffidamento. In relazione alla specificità delle forniture di beni, sistemie servizi ICT da impiegare su reti, sistemi informativi e serviziinformatici del Ministero dell’interno e del Ministero della difesa,individuati ai sensi del comma 2, lettera b), i predetti Ministeri,nell’ambito delle risorse umane e finanziarie disponibili a legislazionevigente e senza nuovi o maggiori oneri a carico della finanza pubblica,in coerenza con quanto previsto dal presente decreto, possono pro-cedere, con le medesime modalità e i medesimi termini previsti daiperiodi precedenti, attraverso la comunicazione ai propri Centri divalutazione accreditati per le attività di cui al presente decreto, ai sensidel comma 7, lettera b), che impiegano le metodologie di verifica e ditest definite dal CVCN. Per tali casi i predetti Centri informano il CVCNcon le modalità stabilite con il decreto del Presidente del Consiglio deiministri, di cui al comma 7, lettera b). Non sono oggetto di comuni-cazione gli affidamenti delle forniture di beni, sistemi e servizi ICTdestinate alle reti, ai sistemi informativi e ai servizi informatici per losvolgimento delle attività di prevenzione, accertamento e repressionedei reati e i casi di deroga stabiliti dal medesimo regolamento conriguardo alle forniture di beni, sistemi e servizi ICT per le quali siaindispensabile procedere in sede estera, fermo restando, in entrambi icasi, l’utilizzo di beni, sistemi e servizi ICT conformi ai livelli disicurezza di cui al comma 3, lettera b), salvo motivate esigenzeconnesse agli specifici impieghi cui essi sono destinati »;

alla lettera b), le parole: « al Centro di valutazione operantepresso il Ministero della difesa » sono sostituite dalle seguenti: « aiCentri di valutazione operanti presso i Ministeri dell’interno e delladifesa, di cui alla lettera a) del presente comma » e le parole: « delCentro di valutazione del Ministero della difesa » sono sostituite dalleseguenti: « dei Centri di valutazione dei Ministeri dell’interno e delladifesa, di cui alla lettera a) »;

identico;




al comma 7, lettera c), dopo le parole: « schemi di certificazionecibernetica » sono inserite le seguenti: « , tenendo conto degli standarddefiniti a livello internazionale e dell’Unione europea »;

al comma 9, lettera e), le parole: « e l’espletamento » sono sosti-tuite dalle seguenti: « e per l’espletamento »;

al comma 10, le parole da: « In caso di inottemperanza » fino a:« di cui al comma 9, lettera e), la » sono sostituite dalle seguenti:« L’impiego di prodotti e di servizi sulle reti, sui sistemi informativi eper l’espletamento dei servizi informatici di cui al comma 2, lettera b),in assenza della comunicazione o del superamento dei test o inviolazione delle condizioni di cui al comma 6, lettera a), comporta, oltrealle sanzioni di cui al comma 9, lettere d) ed e), l’applicazione della »;

al comma 11, la parola: « cinque » è sostituita dalla seguente:« tre » e le parole: « e all’ente, responsabile ai sensi del decreto legisla-tivo 8 giugno 2001, n. 231, si applica la sanzione pecuniaria fino aquattrocento quote » sono soppresse;

dopo il comma 11 è inserito il seguente:

« 11-bis. All’articolo 24-bis, comma 3, del decreto legislativo 8giugno 2001, n. 231, dopo le parole: “di altro ente pubblico,” sonoinserite le seguenti: “e dei delitti di cui all’articolo 1, comma 11, deldecreto-legge 21 settembre 2019, n. 105,” »;

al comma 12, dopo le parole: « l’irrogazione delle sanzioni » èinserita la seguente: « amministrative »;




al comma 7:

alla lettera b), dopo le parole: « ambito di impiego, » sonoinserite le seguenti: « definisce le metodologie di verifica e di test e »e dopo le parole: « presso le medesime amministrazioni » sono aggiuntele seguenti: « . Con lo stesso decreto sono altresì stabiliti i raccordi, ivicompresi i contenuti, le modalità e i termini delle comunicazioni, trail CVCN e i predetti laboratori, nonché tra il medesimo CVCN e i Centridi valutazione del Ministero dell’interno e del Ministero della difesa, dicui al comma 6, lettera a), anche al fine di assicurare il coordinamentodelle rispettive attività e perseguire la convergenza e la non duplica-zione delle valutazioni in presenza di medesimi condizioni e livelli dirischio »;

alla lettera c), dopo le parole: « schemi di certificazione ciber-netica » sono inserite le seguenti: « , tenendo conto degli standard definitia livello internazionale e dell’Unione europea »;

al comma 9, lettera e), le parole: « e l’espletamento » sono sosti-tuite dalle seguenti: « e per l’espletamento », le parole: « imposte dalCVCN » sono soppresse e dopo le parole: « o in assenza del supera-mento dei test » sono inserite le seguenti: « imposti dal CVCN ovverodai Centri di valutazione »;

identico;

identico;

identico;

identico;

al comma 19 è aggiunto, in fine, il seguente periodo: « Per larealizzazione, l’allestimento e il funzionamento del Centro di valuta-zione del Ministero dell’interno, di cui ai commi 6 e 7, è autorizzatala spesa di euro 200.000 per l’anno 2019 e di euro 1.500.000 perciascuno degli anni 2020 e 2021 »;




dopo il comma 19 è aggiunto il seguente:

« 19-bis. Il Presidente del Consiglio dei ministri coordina la coe-rente attuazione delle disposizioni del presente decreto che discipli-nano il perimetro di sicurezza nazionale cibernetica, anche avvalendosidel Dipartimento delle informazioni per la sicurezza, che assicura gliopportuni raccordi con le autorità titolari delle attribuzioni di cui alpresente decreto e con i soggetti di cui al comma 1 del presente articolo.Entro sessanta giorni dalla data di entrata in vigore del regolamento dicui al comma 6, il Presidente del Consiglio dei ministri trasmette alleCamere una relazione sulle attività svolte ».

All’articolo 2:

al comma 2, primo periodo, le parole: « del personale docenteeducativo e amministrativo tecnico ausiliario delle istituzioni scolasti-che » sono sostituite dalle seguenti: « del personale docente, educativo,amministrativo, tecnico e ausiliario delle istituzioni scolastiche »;

al comma 4, le parole: « del personale docente educativo edamministrativo tecnico ausiliario delle istituzioni scolastiche » sonosostituite dalle seguenti: « del personale docente, educativo, ammini-strativo, tecnico e ausiliario delle istituzioni scolastiche ».

All’articolo 3:

al comma 3, dopo le parole: « di cui all’articolo 1, comma 2,lettera b), » sono inserite le seguenti: « del presente decreto, » e le paroleda: « , con misure aggiuntive » fino alla fine del comma sono sostituitedalle seguenti: « del presente articolo, se, a seguito della valutazionesvolta da parte dei centri di valutazione di cui all’articolo 1, comma 6,lettera a), emergono elementi indicanti la presenza di fattori di vul-nerabilità che potrebbero compromettere l’integrità e la sicurezza dellereti e dei dati che vi transitano, con misure aggiuntive necessarie al finedi assicurare livelli di sicurezza equivalenti a quelli previsti dal pre-sente decreto, anche prescrivendo la sostituzione di apparati o prodotti,ove indispensabile al fine di risolvere le vulnerabilità accertate ».

L’articolo 4 è soppresso.

Dopo l’articolo 4 è inserito il seguente:

« Art. 4-bis. – (Modifiche alla disciplina dei poteri speciali nei settoridi rilevanza strategica) – 1. Al fine di rafforzare la tutela della sicurezzanazionale in ambiti di rilevanza strategica, al decreto-legge 15 marzo




identico.

Identico.

Identico.

Identico.

Dopo l’articolo 4 è inserito il seguente:

« Art. 4-bis. – (Modifiche alla disciplina dei poteri speciali nei settoridi rilevanza strategica) – 1. Identico.




2012, n. 21, convertito, con modificazioni, dalla legge 11 maggio 2012,n. 56, sono apportate le seguenti modificazioni:

a) all’articolo 1:

1) al comma 1, alinea, la parola: “contestualmente” è sostituitadalle seguenti: “tempestivamente e per estratto”;

2) al comma 1, lettera b):

2.1) dopo le parole: “all’adozione di delibere” sono inserite leseguenti: “, atti od operazioni”;

2.2) le parole: “il mutamento” sono sostituite dalle seguenti:“la modifica”;

2.3) dopo le parole: “di vincoli che ne condizionino l’impiego”sono aggiunte le seguenti: “, anche in ragione della sottoposizionedell’impresa a procedure concorsuali”;

3) al comma 2:

3.1) dopo le parole: “derivante dalle delibere” sono inseritele seguenti: “, dagli atti o dalle operazioni”;

3.2) dopo le parole: “oggetto della delibera,” sono inserite leseguenti: “dell’atto o dell’operazione,”;

3.3) dopo le parole: “risultante dalla delibera” sono inseritele seguenti: “, dall’atto”;

4) dopo il comma 3 è inserito il seguente:

“3-bis. Qualora l’acquisto delle partecipazioni di cui al comma 1,lettere a) e c), sia effettuato da un soggetto esterno all’Unione europea,di cui all’articolo 2, comma 5-bis, il Governo può considerare altresì leseguenti circostanze:

a) che l’acquirente sia direttamente o indirettamente controllatodall’amministrazione pubblica, compresi organismi statali o forze ar-mate, di un Paese non appartenente all’Unione europea, anche attra-verso l’assetto proprietario o finanziamenti consistenti;

b) che l’acquirente sia già stato coinvolto in attività che incidonosulla sicurezza o sull’ordine pubblico in uno Stato membro dell’Unioneeuropea;

c) che vi sia un grave rischio che l’acquirente intraprenda attivitàillegali o criminali”;

5) al comma 4:

5.1) al primo periodo, le parole: “o sull’atto” sono sostituitedalle seguenti: “, sull’atto o sull’operazione”;

5.2) al terzo periodo, la parola: “quindici” è sostituita dallaseguente: “quarantacinque”;




5.3) dopo il quarto periodo è inserito il seguente: “Qualora sirenda necessario formulare richieste istruttorie a soggetti terzi, ilpredetto termine di quarantacinque giorni è sospeso, per una sola volta,fino al ricevimento delle informazioni richieste, che sono rese entro iltermine di venti giorni”;

5.4) al quinto periodo, dopo le parole: “Le richieste diinformazioni” sono inserite le seguenti: “e le richieste istruttorie asoggetti terzi”;

5.5) dopo il quinto periodo è inserito il seguente: “In caso diincompletezza della notifica, il termine di quarantacinque giorni pre-visto dal presente comma decorre dal ricevimento delle informazioni odegli elementi che la integrano”;

5.6) al decimo periodo, le parole: “le disposizioni di cui alpresente comma” sono sostituite dalle seguenti: “gli obblighi di cui alpresente comma, ivi compresi quelli derivanti dal provvedimento diesercizio del potere di cui al comma 1, lettera b), eventualmenteesercitato nella forma dell’imposizione di specifiche prescrizioni ocondizioni,”;

6) al comma 5:

6.1) al secondo periodo, le parole: “prevista dall’articolo 120,comma 2, del testo unico di cui al decreto legislativo 24 febbraio 1998,n. 58, e successive modificazioni” sono sostituite dalle seguenti: “del 3per cento”;

6.2) al secondo periodo, le parole: “3 per cento,” sonosoppresse;

6.3) al secondo periodo, le parole: “20 per cento e 25 percento” sono sostituite dalle seguenti: “20 per cento, 25 per cento e 50per cento”;

6.4) dopo il secondo periodo è inserito il seguente: “Nel casoin cui l’acquisizione abbia ad oggetto azioni o quote di una società nonammessa alla negoziazione nei mercati regolamentati, la notifica deveessere effettuata qualora l’acquirente venga a detenere, a seguitodell’acquisizione, una partecipazione superiore alle soglie indicate nelsecondo periodo”;






6.7) al quinto periodo, dopo le parole: “Eventuali richieste diinformazioni” sono inserite le seguenti: “e richieste istruttorie a soggettiterzi”;


6.9) al sesto periodo, dopo le parole: “connessi alle azioni”sono inserite le seguenti: “o quote”;

6.10) al decimo periodo, dopo le parole: “connessi alleazioni” sono inserite le seguenti: “o quote” e dopo le parole: “dovràcedere le stesse azioni” sono inserite le seguenti: “o quote”;

6.11) all’undicesimo periodo, dopo le parole: “la vendita dellesuddette azioni” sono inserite le seguenti: “o quote”;

6.12) al dodicesimo periodo, dopo le parole: “adottate con ilvoto determinante di tali azioni” sono inserite le seguenti: “o quote”;

b) all’articolo 1-bis:

1) al comma 2, primo periodo:

1.1) le parole: “l’acquisto” sono sostituite dalle seguenti:“l’acquisizione, a qualsiasi titolo,”;

1.2) dopo le parole: “ovvero l’acquisizione” sono inserite leseguenti: “, a qualsiasi titolo,”;

1.3) le parole: “sono soggetti alla notifica di cui all’articolo 1,comma 4” sono sostituite dalle seguenti: “è soggetta alla notifica di cuial comma 3-bis”;


“2-bis. In sede di prima applicazione delle disposizioni di cui alcomma 2, l’impresa notificante fornisce un’informativa completa suicontratti o accordi di cui al primo periodo del medesimo comma 2,conclusi prima del 26 marzo 2019 e che non sono in corso diesecuzione”;

3) il comma 3 è sostituito dal seguente:

“3. Per le finalità di cui ai commi 2 e 2-bis, per soggetto esternoall’Unione europea si intende il soggetto di cui all’articolo 2, comma5-bis”;


“3-bis. Entro dieci giorni dalla conclusione di un contratto oaccordo di cui al comma 2, l’impresa che ha acquisito, a qualsiasi titolo,i beni o i servizi di cui allo stesso comma notifica alla Presidenza delConsiglio dei ministri un’informativa completa, in modo da consentirel’eventuale esercizio del potere di veto o l’imposizione di specifiche




prescrizioni o condizioni. Entro trenta giorni dalla notifica, il Presi-dente del Consiglio dei ministri comunica l’eventuale veto ovverol’imposizione di specifiche prescrizioni o condizioni. Qualora sia ne-cessario svolgere approfondimenti riguardanti aspetti tecnici relativialla valutazione di possibili fattori di vulnerabilità che potrebberocompromettere l’integrità e la sicurezza delle reti e dei dati che vitransitano, il termine di trenta giorni previsto dal presente comma puòessere prorogato fino a venti giorni, prorogabili ulteriormente di ventigiorni, per una sola volta, in casi di particolare complessità. I poterispeciali sono esercitati nella forma dell’imposizione di specifiche pre-scrizioni o condizioni ogniqualvolta ciò sia sufficiente ad assicurare latutela degli interessi essenziali della difesa e della sicurezza nazionale.Decorsi i predetti termini, i poteri speciali si intendono non esercitati.Qualora si renda necessario richiedere informazioni all’acquirente, taletermine è sospeso, per una sola volta, fino al ricevimento delleinformazioni richieste, che sono rese entro il termine di dieci giorni.Qualora si renda necessario formulare richieste istruttorie a soggettiterzi, il predetto termine di trenta giorni è sospeso, per una sola volta,fino al ricevimento delle informazioni richieste, che sono rese entro iltermine di venti giorni. Le richieste di informazioni e le richiesteistruttorie a soggetti terzi successive alla prima non sospendono itermini. In caso di incompletezza della notifica, il termine di trentagiorni previsto dal presente comma decorre dal ricevimento delleinformazioni o degli elementi che la integrano. Fermo restando quantoprevisto dall’ultimo periodo del presente comma, nel caso in cuil’impresa notificante abbia iniziato l’esecuzione del contratto o dell’ac-cordo oggetto della notifica prima che sia decorso il termine perl’esercizio dei poteri speciali, il Governo, nel provvedimento di eserciziodei predetti poteri, può ingiungere all’impresa di ripristinare a propriespese la situazione anteriore all’esecuzione del predetto contratto oaccordo. Salvo che il fatto costituisca reato, chiunque non osservi gliobblighi di notifica di cui al presente articolo ovvero le disposizionicontenute nel provvedimento di esercizio dei poteri speciali è soggettoalla sanzione amministrativa pecuniaria fino al 150 per cento del valoredell’operazione e comunque non inferiore al 25 per cento del medesimovalore”;

c) all’articolo 2:

1) il comma 1 è sostituito dal seguente:

“1. Con uno o più decreti del Presidente del Consiglio dei ministri,su proposta del Ministro dell’economia e delle finanze, del Ministrodello sviluppo economico e del Ministro delle infrastrutture e deitrasporti, di concerto con il Ministro dell’interno, con il Ministro degliaffari esteri e della cooperazione internazionale e con i Ministricompetenti per settore, adottati, anche in deroga all’articolo 17 dellalegge 23 agosto 1988, n. 400, previo parere delle Commissioni parla-mentari competenti, che è reso entro trenta giorni, decorsi i quali i




decreti possono comunque essere adottati, sono individuati le reti e gliimpianti, ivi compresi quelli necessari ad assicurare l’approvvigiona-mento minimo e l’operatività dei servizi pubblici essenziali, i beni e irapporti di rilevanza strategica per l’interesse nazionale nei settoridell’energia, dei trasporti e delle comunicazioni, nonché la tipologia diatti od operazioni all’interno di un medesimo gruppo ai quali non siapplica la disciplina di cui al presente articolo. I decreti di cui al primoperiodo sono adottati entro centoventi giorni dalla data di entrata invigore della presente disposizione e sono aggiornati almeno ogni treanni”;

2) il comma 1-bis è abrogato;

3) il comma 1-ter è sostituito dal seguente:

“1-ter. Con uno o più decreti del Presidente del Consiglio deiministri, su proposta del Ministro dell’economia e delle finanze, delMinistro dello sviluppo economico e del Ministro delle infrastrutture edei trasporti, di concerto con il Ministro dell’interno, con il Ministrodella difesa, con il Ministro degli affari esteri e della cooperazioneinternazionale e con i Ministri competenti per settore, adottati anchein deroga all’articolo 17 della legge 23 agosto 1988, n. 400, previoparere delle Commissioni parlamentari competenti, che è reso entrotrenta giorni, decorsi i quali i decreti possono comunque essereadottati, sono individuati, ai fini della verifica in ordine alla sussistenzadi un pericolo per la sicurezza e l’ordine pubblico, compreso il possibilepregiudizio alla sicurezza e al funzionamento delle reti e degli impiantie alla continuità degli approvvigionamenti, i beni e i rapporti dirilevanza strategica per l’interesse nazionale, ulteriori rispetto a quelliindividuati nei decreti di cui all’articolo 1, comma 1, e al comma 1 delpresente articolo, nei settori di cui all’articolo 4, paragrafo 1, delregolamento (UE) 2019/452 del Parlamento europeo e del Consiglio, del19 marzo 2019, nonché la tipologia di atti od operazioni all’interno diun medesimo gruppo ai quali non si applica la disciplina di cui alpresente articolo. I decreti di cui al primo periodo sono adottati entrocentoventi giorni dalla data di entrata in vigore della presente dispo-sizione e sono aggiornati almeno ogni tre anni”;


4.1) le parole: “adottato da una società” sono sostituite dalleseguenti: “adottato da un’impresa”;

4.2) le parole: “o 1-ter” sono soppresse;

4.3) le parole: “il mutamento dell’oggetto sociale” sono so-stituite dalle seguenti: “la modifica dell’oggetto sociale”;

4.4) le parole: “dalla società stessa” sono sostituite dalleseguenti: “dalla stessa impresa”;





“2-bis. Qualsiasi delibera, atto od operazione, adottato da un’im-presa che detiene uno o più degli attivi individuati ai sensi del comma1-ter, che abbia per effetto modifiche della titolarità, del controllo odella disponibilità degli attivi medesimi a favore di un soggetto esternoall’Unione europea, di cui al comma 5-bis, comprese le deliberedell’assemblea o degli organi di amministrazione aventi ad oggetto lafusione o la scissione della società, il trasferimento dell’azienda o dirami di essa in cui siano compresi detti attivi o l’assegnazione deglistessi a titolo di garanzia, il trasferimento di società controllate chedetengono i predetti attivi, ovvero che abbia per effetto il trasferimentodella sede sociale in un Paese non appartenente all’Unione europea, ènotificato, entro dieci giorni e comunque prima che vi sia dataattuazione, alla Presidenza del Consiglio dei ministri dalla stessaimpresa. Sono notificati altresì nei medesimi termini qualsiasi delibera,atto od operazione, adottato da un’impresa che detiene uno o più degliattivi individuati ai sensi del comma 1-ter, che abbia per effetto ilcambiamento della loro destinazione, nonché qualsiasi delibera cheabbia ad oggetto la modifica dell’oggetto sociale, lo scioglimento dellasocietà o la modifica di clausole statutarie eventualmente adottate aisensi dell’articolo 2351, terzo comma, del codice civile ovvero introdotteai sensi dell’articolo 3, comma 1, del decreto-legge 31 maggio 1994,n. 332, convertito, con modificazioni, dalla legge 30 luglio 1994, n. 474,come da ultimo modificato dall’articolo 3 del presente decreto”;

6) al comma 3:

6.1) la parola: “contestualmente” è sostituita dalle seguenti:“tempestivamente e per estratto”;

6.2) le parole: “di cui al comma 2” sono sostituite dalleseguenti: “di cui ai commi 2 e 2-bis”;

7) al comma 4:

7.1) al primo periodo, le parole: “la notifica di cui al comma2” sono sostituite dalle seguenti: “le notifiche di cui ai commi 2 e 2-bis”;



7.4) al quinto periodo, dopo le parole: “Le richieste diinformazioni” sono inserite le seguenti: “e le richieste istruttorie asoggetti terzi”;





7.6) all’ultimo periodo, le parole: “di cui al comma 2 e alpresente comma” sono sostituite dalle seguenti: “di cui ai commi 2 e2-bis e al presente comma”;

8) al comma 5:

8.1) il terzo periodo è soppresso;

8.2) è aggiunto, in fine, il seguente periodo: “Salvo che il fattocostituisca reato e ferme restando le invalidità previste dalla legge,chiunque non osservi gli obblighi di notifica di cui al presente commaè soggetto a una sanzione amministrativa pecuniaria fino al doppio delvalore dell’operazione e comunque non inferiore all’1 per cento delfatturato cumulato realizzato dalle imprese coinvolte nell’ultimo eser-cizio per il quale sia stato approvato il bilancio”;


“5-bis. Per le finalità di cui agli articoli 1, comma 3-bis, e 1-bis,commi 2 e 2-bis, nonché di cui ai commi 2-bis, 5 e 6 del presentearticolo, per ‘soggetto esterno all’Unione europea’ si intende:

a) qualsiasi persona fisica o persona giuridica che non abbia laresidenza, la dimora abituale, la sede legale o dell’amministrazioneovvero il centro di attività principale in uno Stato membro dell’Unioneeuropea o dello Spazio economico europeo o che non sia comunque ivistabilita;

b) qualsiasi persona giuridica che abbia stabilito la sede legale odell’amministrazione o il centro di attività principale in uno Statomembro dell’Unione europea o dello Spazio economico europeo, o chesia comunque ivi stabilita, e che risulti controllata, direttamente oindirettamente, da una persona fisica o da una persona giuridica di cuialla lettera a);

c) qualsiasi persona fisica o persona giuridica che abbia stabilitola residenza, la dimora abituale, la sede legale o dell’amministrazioneovvero il centro di attività principale in uno Stato membro dell’Unioneeuropea o dello Spazio economico europeo, o che sia comunque ivistabilita, qualora sussistano elementi che indichino un comportamentoelusivo rispetto all’applicazione della disciplina di cui al presentedecreto”;

10) al comma 6:

10.1) al primo periodo, la parola: “quindici” è sostituita dallaseguente: “quarantacinque” e la parola: “contestualmente” è sostituitadalle seguenti: “tempestivamente e per estratto”;




10.2) dopo il primo periodo sono inseriti i seguenti: “Qualorasi renda necessario richiedere informazioni all’acquirente, il termine dicui al primo periodo è sospeso, per una sola volta, fino al ricevimentodelle informazioni richieste, che sono rese entro il termine di diecigiorni. Qualora si renda necessario formulare richieste istruttorie asoggetti terzi, il predetto termine di quarantacinque giorni è sospeso,per una sola volta, fino al ricevimento delle informazioni richieste, chesono rese entro il termine di venti giorni. Le richieste di informazionie le richieste istruttorie a soggetti terzi successive alla prima nonsospendono i termini, decorsi i quali i poteri speciali si intendono nonesercitati. In caso di incompletezza della notifica, il termine di qua-rantacinque giorni previsto dal presente comma decorre dal ricevi-mento delle informazioni o degli elementi che la integrano”;

10.3) all’ottavo periodo, dopo le parole: “connessi alle azioni”sono inserite le seguenti: “o quote” e dopo le parole: “dovrà cedere lestesse azioni” sono inserite le seguenti: “o quote”;

10.4) al nono periodo, dopo le parole: “ordina la vendita dellesuddette azioni” sono inserite le seguenti: “o quote”;

10.5) al decimo periodo, dopo le parole: “con il voto deter-minante di tali azioni” sono inserite le seguenti: “o quote”;

10.6) all’ultimo periodo, le parole: “la circostanza che l’in-vestitore straniero è controllato dal governo di un paese terzo, nonappartenente all’Unione europea, anche attraverso finanziamenti si-gnificativi” sono sostituite dalle seguenti: “le seguenti circostanze:

a) che l’acquirente sia direttamente o indirettamente con-trollato dall’amministrazione pubblica, compresi organismi statali oforze armate, di un Paese non appartenente all’Unione europea, ancheattraverso l’assetto proprietario o finanziamenti consistenti;

b) che l’acquirente sia già stato coinvolto in attività cheincidono sulla sicurezza o sull’ordine pubblico in uno Stato membrodell’Unione europea;

c) che vi sia un grave rischio che l’acquirente intraprendaattività illegali o criminali”;

11) al comma 8, le parole: “individuate con i regolamenti” sonosostituite dalle seguenti: “individuate con i decreti”;

d) dopo l’articolo 2 sono inseriti i seguenti:

“Art. 2-bis. – (Collaborazione con autorità amministrative di settore)– 1. La Banca d’Italia, la Commissione nazionale per le società e laborsa, la Commissione di vigilanza sui fondi pensione, l’Istituto per lavigilanza sulle assicurazioni, l’Autorità di regolazione dei trasporti,l’Autorità garante della concorrenza e del mercato, l’Autorità per legaranzie nelle comunicazioni, l’Autorità di regolazione per energia, retie ambiente e il gruppo di coordinamento istituito ai sensi dell’articolo




3 del decreto del Presidente del Consiglio dei ministri 6 agosto 2014collaborano tra loro, anche mediante scambio di informazioni, al finedi agevolare l’esercizio delle funzioni di cui al presente decreto. Leautorità indicate al primo periodo, esclusivamente per le finalità di cuial medesimo periodo, non possono opporre al gruppo di coordinamentoil segreto d’ufficio.

Art. 2-ter. – (Adeguamento della normativa nazionale alle disposi-zioni del regolamento (UE) 2019/452 e termini per l’esercizio dei poterispeciali) – 1. Qualora uno Stato membro o la Commissione notifichi,ai sensi dell’articolo 6, paragrafo 6, del regolamento (UE) 2019/452 delParlamento europeo e del Consiglio, del 19 marzo 2019, l’intenzione diformulare osservazioni o di emettere un parere in relazione ad uninvestimento estero diretto oggetto di un procedimento in corso, itermini per l’esercizio dei poteri speciali indicati agli articoli 1 e 2 sonosospesi fino al ricevimento delle osservazioni dello Stato membro o delparere della Commissione europea. Se il parere della Commissioneeuropea è successivo alle osservazioni dello Stato membro, i terminiper l’esercizio dei poteri speciali riprendono a decorrere dalla data diricevimento del parere della Commissione. I termini per l’esercizio deipoteri speciali sono altresì sospesi nel caso in cui il Governo, ai sensidell’articolo 6, paragrafo 4, del citato regolamento (UE) 2019/452,richieda alla Commissione di emettere un parere o agli altri Statimembri di formulare osservazioni in relazione a un procedimento incorso ai sensi del presente articolo. È fatta salva la possibilità diesercitare i poteri speciali anche prima del ricevimento del parere dellaCommissione o delle osservazioni degli Stati membri, nei casi in cui latutela della sicurezza nazionale o dell’ordine pubblico richiedanol’adozione di una decisione immediata ai sensi dell’articolo 6, paragrafo8, del medesimo regolamento (UE) 2019/452.

2. Con regolamento emanato ai sensi dell’articolo 17, comma 2,della legge 23 agosto 1988, n. 400, su proposta del Presidente delConsiglio dei ministri, di concerto con il Ministro dell’economia e dellefinanze e, per i rispettivi ambiti di competenza, con i Ministri degliaffari esteri e della cooperazione internazionale, dell’interno, delladifesa, dello sviluppo economico e delle infrastrutture e dei trasporti,nonché con i Ministri competenti per settore, possono essere ridisci-plinati i termini di cui agli articoli 1 e 2 del presente decreto, al finedi individuare procedure semplificate, tenuto conto del grado di po-tenziale pregiudizio per gli interessi essenziali della difesa, della sicu-rezza nazionale e dell’ordine pubblico, compresi quelli relativi allasicurezza e al funzionamento delle reti e degli impianti e alla continuitàdegli approvvigionamenti, nonché dell’esigenza di assicurare l’armo-nizzazione delle procedure nazionali con quelle relative ai meccanismidi controllo, scambio di informazione e cooperazione definiti ai sensidel regolamento (UE) 2019/452.




3. Il punto di contatto di cui all’articolo 11 del regolamento (UE)2019/452 è istituito presso la Presidenza del Consiglio dei ministri.L’organizzazione e il funzionamento del punto di contatto sono disci-plinati con decreto del Presidente del Consiglio dei ministri, adottato aisensi dell’articolo 7 del decreto legislativo 30 luglio 1999, n. 303,nell’ambito delle risorse umane, strumentali e finanziarie disponibili alegislazione vigente e senza nuovi o maggiori oneri a carico dellafinanza pubblica”;

e) all’articolo 3:

1) al comma 1, le parole: “comma 5, ultimo periodo” sonosostituite dalle seguenti: “comma 5-bis” e le parole: “e dell’articolo 2,comma 1” sono sostituite dalle seguenti: “e dell’articolo 2, commi 1 e1-ter”;

2) al comma 2:

2.1) al primo periodo, le parole: “e dei regolamenti, relativia ciascun settore, di cui all’articolo 2, comma 1, del presente decreto”sono sostituite dalle seguenti: “e dei decreti, relativi a ciascun settore,di cui all’articolo 2, commi 1 e 1-ter, del presente decreto”;

2.2) al secondo periodo, le parole: “ovvero dei regolamenti”sono soppresse.

2. Le disposizioni introdotte dal comma 1 del presente articolo, adesclusione di quelle di cui al medesimo comma 1, lettera d), capoversoArt. 2-ter, si applicano anche ai procedimenti in corso alla data dientrata in vigore della legge di conversione del presente decreto; itermini non ancora trascorsi alla medesima data, ferma restando ladata di inizio del loro decorso, sono prorogati fino al raggiungimentodella durata stabilita dal presente articolo, se maggiore di quellaanteriormente prevista.

3. Fino alla data di entrata in vigore del primo decreto delPresidente del Consiglio dei ministri di cui all’articolo 2, comma 1-ter,del decreto-legge 15 marzo 2012, n. 21, convertito, con modificazioni,dalla legge 11 maggio 2012, n. 56, come sostituito dal comma 1, letterac), numero 3), del presente articolo, fatta salva l’applicazione degliarticoli 1 e 2 del citato decreto-legge, come modificati dal presentearticolo, è soggetto alla notifica di cui al comma 5 dell’articolo 2 delmedesimo decreto-legge n. 21 del 2012 l’acquisto a qualsiasi titolo, daparte di un soggetto esterno all’Unione europea, di partecipazioni insocietà che detengono beni e rapporti nei settori di cui all’articolo 4,paragrafo 1, lettere a) e b), del regolamento (UE) 2019/452 del Parla-mento europeo e del Consiglio, del 19 marzo 2019, di rilevanza tale dadeterminare l’insediamento stabile dell’acquirente in ragione dell’as-sunzione del controllo della società la cui partecipazione è oggettodell’acquisto, ai sensi dell’articolo 2359 del codice civile e del testounico di cui al decreto legislativo 24 febbraio 1998, n. 58. Si applicano




2. Identico.

3. Identico.




le disposizioni dell’articolo 2, commi 5-bis, 6 e 7, del citato decreto-legge n. 21 del 2012, come modificato dal presente articolo.

4. Fino alla data di entrata in vigore dei decreti di cui ai commi 1e 1-ter dell’articolo 2 del decreto-legge 15 marzo 2012, n. 21, conver-tito, con modificazioni, dalla legge 11 maggio 2012, n. 56, comesostituiti dal presente articolo, continuano ad avere efficacia i decretiadottati in attuazione delle norme previgenti modificate dal presentearticolo ».

All’articolo 5:

al comma 1, le parole da: « sistemi e servizi » fino a: « 11 dicembre2015, n. 198 » sono sostituite dalle seguenti: « sistemi informativi eservizi informatici, su deliberazione del Comitato interministeriale perla sicurezza della Repubblica »;

dopo il comma 1 è aggiunto il seguente:

« 1-bis. Il Presidente del Consiglio dei ministri informa entro trentagiorni il Comitato parlamentare per la sicurezza della Repubblica dellemisure disposte ai sensi del comma 1 ».

Al titolo del decreto-legge sono aggiunte, in fine, le seguenti parole:« e di disciplina dei poteri speciali nei settori di rilevanza strategica ».




4. Fino alla data di entrata in vigore dei decreti di cui ai commi 1e 1-ter dell’articolo 2 del decreto-legge 15 marzo 2012, n. 21, conver-tito, con modificazioni, dalla legge 11 maggio 2012, n. 56, comesostituiti dal presente articolo, continuano ad avere efficacia i regola-menti adottati in attuazione delle norme previgenti modificate dalpresente articolo ».

Identico.

All’articolo 6, comma 1:

all’alinea, le parole: « euro 3.200.000 per l’anno 2019, euro6.495.000 per ciascuno degli anni dal 2020 al 2023, » sono sostituitedalle seguenti: « euro 3.400.000 per l’anno 2019, euro 7.995.000 perciascuno degli anni 2020 e 2021, euro 6.495.000 per ciascuno degli anni2022 e 2023 »;

dopo la lettera b) è aggiunta la seguente:

« b-bis) quanto a euro 200.000 per l’anno 2019 e a euro1.500.000 per ciascuno degli anni 2020 e 2021, mediante corrispon-dente riduzione dell’autorizzazione di spesa di cui all’articolo 1,comma 623, della legge 11 dicembre 2016, n. 232 ».

Identico.




Decreto-legge 21 settembre 2019, n. 105, pub-blicato nella Gazzetta Ufficiale n. 222del 21 settembre 2019.

TESTO DEL DECRETO-LEGGE TESTO DEL DECRETO-LEGGE COMPRENDENTE LE

MODIFICAZIONI APPORTATE DALLA CAMERA DEI DE-PUTATI E DAL SENATO DELLA REPUBBLICA

Disposizioni urgenti in materia di peri-metro di sicurezza nazionale cibernetica.

Disposizioni urgenti in materia di perime-tro di sicurezza nazionale cibernetica edi disciplina dei poteri speciali nei set-tori di rilevanza strategica.

IL PRESIDENTE DELLA REPUBBLICA

Visti gli articoli 77 e 87, quinto comma,della Costituzione;

Considerata la straordinaria necessitàed urgenza, nell’attuale quadro normativoed a fronte della realizzazione in corso diimportanti e strategiche infrastrutture tec-nologiche, anche in relazione a recenti at-tacchi alle reti di Paesi europei, di disporre,per le finalità di sicurezza nazionale, di unsistema di organi, procedure e misure, checonsenta una efficace valutazione sotto ilprofilo tecnico della sicurezza degli appa-rati e dei prodotti, in linea con le piùelevate ed aggiornate misure di sicurezzaadottate a livello internazionale;

Ritenuta, altresì, la necessità di preve-dere, in coerenza con il predetto sistema, ilraccordo con le disposizioni in materia divalutazione della presenza di fattori di vul-nerabilità che potrebbero comprometterel’integrità e la sicurezza delle reti inerentiai servizi di comunicazione elettronica abanda larga basati sulla tecnologia 5G e deidati che vi transitano, ai sensi dell’articolo1-bis del decreto-legge 15 marzo 2012, n. 21,convertito, con modificazioni, dalla legge11 maggio 2012, n. 56;

Considerata altresì la straordinaria ne-cessità ed urgenza di disporre anche dei



più idonei strumenti d’immediato inter-vento che consentano di affrontare con lamassima efficacia e tempestività eventualisituazioni di emergenza in ambito ciberne-tico;

Vista la deliberazione del Consiglio deiministri, adottata nella riunione del 19 set-tembre 2019;

Sulla proposta del Presidente del Con-siglio dei ministri, di concerto con i Mini-stri dell’economia e delle finanze, dellosviluppo economico, della difesa, dell’in-terno, degli affari esteri e della coopera-zione internazionale, della giustizia, per lapubblica amministrazione e per l’innova-zione tecnologica e la digitalizzazione;

EMANA

il seguente decreto-legge:

Articolo 1.

(Perimetro di sicurezza nazionalecibernetica)

Articolo 1.

(Perimetro di sicurezza nazionalecibernetica)

1. Al fine di assicurare un livello elevatodi sicurezza delle reti, dei sistemi informa-tivi e dei servizi informatici delle ammini-strazioni pubbliche, degli enti e degli ope-ratori nazionali, pubblici e privati, da cuidipende l’esercizio di una funzione essen-ziale dello Stato, ovvero la prestazione diun servizio essenziale per il mantenimentodi attività civili, sociali o economiche fon-damentali per gli interessi dello Stato e dalcui malfunzionamento, interruzione, ancheparziali, ovvero utilizzo improprio, possaderivare un pregiudizio per la sicurezzanazionale, è istituito il perimetro di sicu-rezza nazionale cibernetica.

1. Al fine di assicurare un livello elevatodi sicurezza delle reti, dei sistemi informa-tivi e dei servizi informatici delle ammini-strazioni pubbliche, degli enti e degli ope-ratori pubblici e privati aventi una sede nelterritorio nazionale, da cui dipende l’eser-cizio di una funzione essenziale dello Stato,ovvero la prestazione di un servizio essen-ziale per il mantenimento di attività civili,sociali o economiche fondamentali per gliinteressi dello Stato e dal cui malfunzio-namento, interruzione, anche parziali, ov-vero utilizzo improprio, possa derivare unpregiudizio per la sicurezza nazionale, èistituito il perimetro di sicurezza nazionalecibernetica.

2. Entro quattro mesi dalla data dientrata in vigore della legge di conversionedel presente decreto, con decreto del Pre-sidente del Consiglio dei ministri, adottatosu proposta del Comitato interministerialeper la sicurezza della Repubblica (CISR):

2. Identico:

a) sono individuati le amministrazionipubbliche, gli enti e gli operatori nazionali,

a) sono individuati le amministrazionipubbliche, gli enti e gli operatori pubblici e



pubblici e privati di cui al comma 1, inclusinel perimetro di sicurezza nazionale ciber-netica e tenuti al rispetto delle misure edegli obblighi previsti dal presente articolo;alla predetta individuazione, fermo re-stando che per gli Organismi di informa-zione per la sicurezza si applicano le normepreviste dalla legge 3 agosto 2007, n. 124, siprocede sulla base dei seguenti criteri:

privati di cui al comma 1 aventi una sedenel territorio nazionale inclusi nel perime-tro di sicurezza nazionale cibernetica etenuti al rispetto delle misure e degli ob-blighi previsti dal presente articolo; allapredetta individuazione, fermo restando cheper gli Organismi di informazione per lasicurezza si applicano le norme previstedalla legge 3 agosto 2007, n. 124, si procedesulla base dei seguenti criteri:

1) il soggetto esercita una funzioneessenziale dello Stato, ovvero assicura unservizio essenziale per il mantenimento diattività civili, sociali o economiche fonda-mentali per gli interessi dello Stato;

1) identico;

2) l’esercizio di tale funzione o laprestazione di tale servizio dipende da reti,sistemi informativi e servizi informatici dalcui malfunzionamento, interruzione, ancheparziali, ovvero utilizzo improprio possaderivare un pregiudizio per la sicurezzanazionale;

2) l’esercizio di tale funzione o laprestazione di tale servizio dipende da reti,sistemi informativi e servizi informatici;

2-bis) l’individuazione avviene sullabase di un criterio di gradualità, tenendoconto dell’entità del pregiudizio per la si-curezza nazionale che, in relazione allespecificità dei diversi settori di attività, puòderivare dal malfunzionamento, dall’inter-ruzione, anche parziali, ovvero dall’utilizzoimproprio delle reti, dei sistemi informativie dei servizi informatici predetti;

b) sono definiti i criteri in base aiquali i soggetti di cui alla precedente letteraa) predispongono e aggiornano con ca-denza almeno annuale un elenco delle reti,dei sistemi informativi e dei servizi infor-matici di cui al comma 1, di rispettivapertinenza, comprensivo della relativa ar-chitettura e componentistica; all’elabora-zione di tali criteri provvede, adottandoopportuni moduli organizzativi, l’organi-smo tecnico di supporto al CISR, integratocon un rappresentante della Presidenza delConsiglio dei ministri; entro sei mesi dalladata di entrata in vigore del decreto delPresidente del Consiglio dei ministri di cuial presente comma, i soggetti pubblici equelli di cui all’articolo 29 del codice del-l’amministrazione digitale, di cui al decretolegislativo 7 marzo 2005, n. 82, nonché

b) sono definiti, sulla base di un’ana-lisi del rischio e di un criterio di gradualitàche tenga conto delle specificità dei diversisettori di attività, i criteri con i quali isoggetti di cui alla precedente lettera a)predispongono e aggiornano con cadenzaalmeno annuale un elenco delle reti, deisistemi informativi e dei servizi informaticidi cui al comma 1, di rispettiva pertinenza,comprensivo della relativa architettura ecomponentistica, fermo restando che, perle reti, i sistemi informativi e i serviziinformatici attinenti alla gestione delle in-formazioni classificate, si applica quantoprevisto dal regolamento adottato ai sensidell’articolo 4, comma 3, lettera l), dellalegge 3 agosto 2007, n. 124; all’elabora-zione di tali criteri provvede, adottandoopportuni moduli organizzativi, l’organi-



quelli privati, individuati ai sensi della let-tera a) trasmettono tali elenchi, rispettiva-mente, alla Presidenza del Consiglio deiministri e al Ministero dello sviluppo eco-nomico; la Presidenza del Consiglio deiministri e il Ministero dello sviluppo eco-nomico inoltrano gli elenchi di rispettivapertinenza al Dipartimento delle informa-zioni per la sicurezza, anche per le attivitàdi prevenzione, preparazione e gestione dicrisi cibernetiche affidate al Nucleo per lasicurezza cibernetica, nonché all’organo delMinistero dell’interno per la sicurezza e laregolarità dei servizi di telecomunicazionedi cui all’articolo 7-bis del decreto-legge 27luglio 2005, n. 144, convertito, con modi-ficazioni, dalla legge 31 luglio 2005, n. 155.

smo tecnico di supporto al CISR, integratocon un rappresentante della Presidenza delConsiglio dei ministri; entro sei mesi dalladata di entrata in vigore del decreto delPresidente del Consiglio dei ministri di cuial presente comma, i soggetti pubblici equelli di cui all’articolo 29 del codice del-l’amministrazione digitale, di cui al decretolegislativo 7 marzo 2005, n. 82, nonchéquelli privati, individuati ai sensi della let-tera a) trasmettono tali elenchi, rispettiva-mente, alla Presidenza del Consiglio deiministri e al Ministero dello sviluppo eco-nomico; la Presidenza del Consiglio deiministri e il Ministero dello sviluppo eco-nomico inoltrano gli elenchi di rispettivapertinenza al Dipartimento delle informa-zioni per la sicurezza, anche per le attivitàdi prevenzione, preparazione e gestione dicrisi cibernetiche affidate al Nucleo per lasicurezza cibernetica, nonché all’organo delMinistero dell’interno per la sicurezza e laregolarità dei servizi di telecomunicazionedi cui all’articolo 7-bis del decreto-legge 27luglio 2005, n. 144, convertito, con modi-ficazioni, dalla legge 31 luglio 2005, n. 155.

3. Entro dieci mesi dalla data di entratain vigore della legge di conversione delpresente decreto, con decreto del Presi-dente del Consiglio dei ministri, che nedisciplina altresì i relativi termini e moda-lità attuative, adottato su proposta del CISR:

3. Entro dieci mesi dalla data di entratain vigore della legge di conversione delpresente decreto, con decreto del Presi-dente del Consiglio dei ministri, che disci-plina altresì i relativi termini e modalitàattuative, adottato su proposta del CISR:

a) sono definite le procedure secondocui i soggetti individuati ai sensi del comma2, lettera a), notificano gli incidenti aventiimpatto su reti, sistemi informativi e serviziinformatici di cui al comma 2, lettera b), alGruppo di intervento per la sicurezza in-formatica in caso di incidente (CSIRT) ita-liano, che inoltra tali notifiche, tempesti-vamente, al Dipartimento delle informa-zioni per la sicurezza anche per le attivitàdemandate al Nucleo per la sicurezza ci-bernetica; il Dipartimento delle informa-zioni per la sicurezza assicura la trasmis-sione delle notifiche così ricevute all’organodel Ministero dell’interno per la sicurezza ela regolarità dei servizi di telecomunica-zione di cui all’articolo 7-bis del decreto-legge 27 luglio 2005, n. 144, convertito, conmodificazioni, dalla legge 31 luglio 2005,

a) identica;



n. 155, nonché alla Presidenza del Consi-glio dei ministri, se provenienti da un sog-getto pubblico o da un soggetto di cuiall’articolo 29 del decreto legislativo 7 marzo2005, n. 82, ovvero al Ministero dello svi-luppo economico, se effettuate da un sog-getto privato;

b) sono stabilite misure volte a garan-tire elevati livelli di sicurezza delle reti, deisistemi informativi e dei servizi informaticidi cui al comma 2, lettera b), relative:

b) sono stabilite misure volte a garan-tire elevati livelli di sicurezza delle reti, deisistemi informativi e dei servizi informaticidi cui al comma 2, lettera b), tenendo contodegli standard definiti a livello internazio-nale e dell’Unione europea, relative:

1) alle politiche di sicurezza, allastruttura organizzativa e alla gestione delrischio;

1) alla struttura organizzativa pre-posta alla gestione della sicurezza;

Vedi numero 1) 1-bis) alle politiche di sicurezza ealla gestione del rischio;

2) alla mitigazione e gestione degliincidenti e alla loro prevenzione, ancheattraverso la sostituzione di apparati o pro-dotti che risultino gravemente inadeguatisul piano della sicurezza;

2) alla mitigazione e gestione degliincidenti e alla loro prevenzione, ancheattraverso interventi su apparati o prodottiche risultino gravemente inadeguati sulpiano della sicurezza;

3) alla protezione fisica e logica edei dati;

3) identico;

4) all’integrità delle reti e dei si-stemi informativi;

4) identico;

5) alla gestione operativa, ivi com-presa la continuità del servizio;

5) identico;

6) al monitoraggio, test e controllo; 6) identico;

7) alla formazione e consapevo-lezza;

7) identico;

8) all’affidamento di forniture dibeni, sistemi e servizi di information andcommunication technology (ICT), anche me-diante definizione di caratteristiche e re-quisiti di carattere generale.

8) all’affidamento di forniture dibeni, sistemi e servizi di information andcommunication technology (ICT), anche me-diante definizione di caratteristiche e re-quisiti di carattere generale, di standard edi eventuali limiti.

4. All’elaborazione delle misure di cui alcomma 3, lettera b), provvedono, secondogli ambiti di competenza delineati dal pre-sente decreto, il Ministero dello sviluppoeconomico e la Presidenza del Consiglio deiministri, d’intesa con il Ministero della di-fesa, il Ministero dell’interno, il Ministerodell’economia e delle finanze e il Diparti-mento delle informazioni per la sicurezza.

4. Identico.



4-bis. Gli schemi dei decreti di cui aicommi 2 e 3 sono trasmessi alla Cameradei deputati e al Senato della Repubblicaper l’espressione del parere delle Commis-sioni parlamentari competenti per materia,che si pronunciano nel termine di trentagiorni, decorso il quale il decreto puòessere comunque adottato.

5. Per l’aggiornamento di quanto previ-sto dai decreti di cui ai commi 2 e 3 siprocede secondo le medesime modalità dicui ai commi 2, 3 e 4 con cadenza almenobiennale.

5. Per l’aggiornamento di quanto previ-sto dai decreti di cui ai commi 2 e 3 siprocede secondo le medesime modalità dicui ai commi 2, 3, 4 e 4-bis con cadenzaalmeno biennale.

6. Con regolamento, adottato ai sensidell’articolo 17, comma 1, della legge 23agosto 1988, n. 400, entro dieci mesi dalladata di entrata in vigore della legge diconversione del presente decreto, sono di-sciplinati le procedure, le modalità e i ter-mini con cui:

6. Identico:

a) fatti salvi i casi di deroga stabilitidal medesimo regolamento con riguardoalle forniture di beni e di servizi ICT cui siaindispensabile procedere in sede estera, isoggetti di cui al comma 2, lettera a), cheintendano procedere all’affidamento di for-niture di beni, sistemi e servizi ICT desti-nati a essere impiegati sulle reti, sui sistemiinformativi e per l’espletamento dei serviziinformatici di cui al comma 2, lettera b),diversi da quelli necessari per lo svolgi-mento delle attività di prevenzione, accer-tamento e repressione dei reati, ne dannocomunicazione al Centro di valutazione ecertificazione nazionale (CVCN), istituitopresso il Ministero dello sviluppo econo-mico, che, sulla base di una valutazione delrischio, anche in relazione all’ambito diimpiego e in un’ottica di gradualità, può,entro trenta giorni, imporre condizioni etest di hardware e software; in tale ipotesi,i relativi bandi di gara e contratti sonointegrati con clausole che condizionano,sospensivamente ovvero risolutivamente, l’af-fidamento ovvero il contratto al rispettodelle condizioni e all’esito favorevole deitest disposti dal CVCN; per le forniture dibeni, sistemi e servizi ICT da impiegare sureti, sistemi informativi e servizi informa-tici del Ministero della difesa, individuati aisensi del comma 2, lettera b), il predetto

a) i soggetti di cui al comma 2, letteraa), ovvero le centrali di committenza allequali essi fanno ricorso ai sensi dell’arti-colo 1, comma 512, della legge 28 dicembre2015, n. 208, che intendano procedere al-l’affidamento di forniture di beni, sistemi eservizi ICT destinati a essere impiegati sullereti, sui sistemi informativi e per l’espleta-mento dei servizi informatici di cui alcomma 2, lettera b), appartenenti a cate-gorie individuate, sulla base di criteri dinatura tecnica, con decreto del Presidentedel Consiglio dei ministri, da adottare en-tro dieci mesi dalla data di entrata invigore della legge di conversione del pre-sente decreto, ne danno comunicazione alCentro di valutazione e certificazione na-zionale (CVCN), istituito presso il Ministerodello sviluppo economico; la comunica-zione comprende anche la valutazione delrischio associato all’oggetto della fornitura,anche in relazione all’ambito di impiego.Entro quarantacinque giorni dalla rice-zione della comunicazione, prorogabili diquindici giorni, una sola volta, in caso diparticolare complessità, il CVCN può effet-tuare verifiche preliminari ed imporre con-dizioni e test di hardware e software dacompiere anche in collaborazione con isoggetti di cui al comma 2, lettera a),secondo un approccio gradualmente cre-



Ministero procede, nell’ambito delle risorseumane e finanziarie disponibili a legisla-zione vigente e senza nuovi o maggiorioneri a carico della finanza pubblica, incoerenza con quanto previsto dal presentedecreto, attraverso un proprio Centro divalutazione in raccordo con la Presidenzadel Consiglio dei ministri e il Ministerodello sviluppo economico per i profili dirispettiva competenza; resta fermo che perlo svolgimento delle attività di prevenzione,accertamento e di repressione dei reati enei casi in cui si deroga all’obbligo di cuialla presente lettera, sono utilizzati reti,sistemi informativi e servizi informatici con-formi ai livelli di sicurezza di cui al comma3, lettera b), qualora non incompatibili congli specifici impieghi cui essi sono destinati;

scente nelle verifiche di sicurezza. Decorsoil termine di cui al precedente periodosenza che il CVCN si sia pronunciato, isoggetti che hanno effettuato la comunica-zione possono proseguire nella proceduradi affidamento. In caso di imposizione dicondizioni e test di hardware e software, irelativi bandi di gara e contratti sono in-tegrati con clausole che condizionano, so-spensivamente ovvero risolutivamente, ilcontratto al rispetto delle condizioni e al-l’esito favorevole dei test disposti dal CVCN.I test devono essere conclusi nel termine disessanta giorni. Decorso il termine di cui alprecedente periodo, i soggetti che hannoeffettuato la comunicazione possono pro-seguire nella procedura di affidamento. Inrelazione alla specificità delle forniture dibeni, sistemi e servizi ICT da impiegare sureti, sistemi informativi e servizi informa-tici del Ministero dell’interno e del Mini-stero della difesa, individuati ai sensi delcomma 2, lettera b), i predetti Ministeri,nell’ambito delle risorse umane e finanzia-rie disponibili a legislazione vigente e senzanuovi o maggiori oneri a carico della fi-nanza pubblica, in coerenza con quantoprevisto dal presente decreto, possono pro-cedere, con le medesime modalità e i me-desimi termini previsti dai periodi prece-denti, attraverso la comunicazione ai pro-pri Centri di valutazione accreditati per leattività di cui al presente decreto, ai sensidel comma 7, lettera b), che impiegano lemetodologie di verifica e di test definite dalCVCN. Per tali casi i predetti Centri infor-mano il CVCN con le modalità stabilite conil decreto del Presidente del Consiglio deiministri, di cui al comma 7, lettera b). Nonsono oggetto di comunicazione gli affida-menti delle forniture di beni, sistemi eservizi ICT destinate alle reti, ai sistemiinformativi e ai servizi informatici per losvolgimento delle attività di prevenzione,accertamento e repressione dei reati e icasi di deroga stabiliti dal medesimo rego-lamento con riguardo alle forniture di beni,sistemi e servizi ICT per le quali sia indi-spensabile procedere in sede estera, fermorestando, in entrambi i casi, l’utilizzo dibeni, sistemi e servizi ICT conformi ailivelli di sicurezza di cui al comma 3,



lettera b), salvo motivate esigenze connesseagli specifici impieghi cui essi sono desti-nati;

b) i soggetti individuati quali fornitoridi beni, sistemi e servizi destinati alle reti,ai sistemi informativi e ai servizi informa-tici di cui al comma 2, lettera b), assicuranoal CVCN e, limitatamente agli ambiti dispecifica competenza, al Centro di valuta-zione operante presso il Ministero delladifesa, la propria collaborazione per l’ef-fettuazione delle attività di test di cui allalettera a) del presente comma, sostenen-done gli oneri; il CVCN segnala la mancatacollaborazione al Ministero dello sviluppoeconomico, in caso di fornitura destinata asoggetti privati, o alla Presidenza del Con-siglio dei ministri, in caso di fornituradestinata a soggetti pubblici ovvero a quellidi cui all’articolo 29 del codice di cui aldecreto legislativo 7 marzo 2005, n. 82;sono inoltrate altresì alla Presidenza delConsiglio dei ministri le analoghe segnala-zioni del Centro di valutazione del Mini-stero della difesa;

b) i soggetti individuati quali fornitoridi beni, sistemi e servizi destinati alle reti,ai sistemi informativi e ai servizi informa-tici di cui al comma 2, lettera b), assicuranoal CVCN e, limitatamente agli ambiti dispecifica competenza, ai Centri di valuta-zione operanti presso i Ministeri dell’in-terno e della difesa, di cui alla lettera a) delpresente comma, la propria collaborazioneper l’effettuazione delle attività di test dicui alla lettera a) del presente comma,sostenendone gli oneri; il CVCN segnala lamancata collaborazione al Ministero dellosviluppo economico, in caso di fornituradestinata a soggetti privati, o alla Presi-denza del Consiglio dei ministri, in caso difornitura destinata a soggetti pubblici ov-vero a quelli di cui all’articolo 29 del codicedi cui al decreto legislativo 7 marzo 2005,n. 82; sono inoltrate altresì alla Presidenzadel Consiglio dei ministri le analoghe se-gnalazioni dei Centri di valutazione deiMinisteri dell’interno e della difesa, di cuialla lettera a);

c) la Presidenza del Consiglio dei mi-nistri, per i profili di pertinenza dei soggettipubblici e di quelli di cui all’articolo 29 delcodice dell’Amministrazione digitale di cuial decreto legislativo 7 marzo 2005, n. 82,individuati ai sensi del comma 2, lettera a),e il Ministero dello sviluppo economico, peri soggetti privati di cui alla medesima let-tera, svolgono attività di ispezione e verificain relazione a quanto previsto dal comma2, lettera b), dal comma 3 e dalla lettera a)del presente comma e senza che ciò com-porti accesso a dati o metadati personali eamministrativi, impartendo, se necessario,specifiche prescrizioni; per le reti, i sistemiinformativi e i servizi informatici di cui alcomma 2, lettera b), connessi alla funzionedi prevenzione e repressione dei reati, allatutela dell’ordine e della sicurezza pubblicae alla difesa e sicurezza militare dello Stato,le attività di ispezione e verifica sono svolte,nell’ambito delle risorse umane e finanzia-rie disponibili a legislazione vigente e senzanuovi o maggiori oneri a carico della fi-

c) la Presidenza del Consiglio dei mi-nistri, per i profili di pertinenza dei soggettipubblici e di quelli di cui all’articolo 29 delcodice dell’Amministrazione digitale di cuial decreto legislativo 7 marzo 2005, n. 82,individuati ai sensi del comma 2, lettera a),e il Ministero dello sviluppo economico, peri soggetti privati di cui alla medesima let-tera, svolgono attività di ispezione e verificain relazione a quanto previsto dal comma2, lettera b), dal comma 3 e dalla lettera a)del presente comma e senza che ciò com-porti accesso a dati o metadati personali eamministrativi, impartendo, se necessario,specifiche prescrizioni; per le reti, i sistemiinformativi e i servizi informatici di cui alcomma 2, lettera b), connessi alla funzionedi prevenzione e repressione dei reati, allatutela dell’ordine e della sicurezza pub-blica, alla difesa civile e alla difesa e sicu-rezza militare dello Stato, le attività diispezione e verifica sono svolte, nell’ambitodelle risorse umane e finanziarie disponi-bili a legislazione vigente e senza nuovi o



nanza pubblica, dalle strutture specializ-zate in tema di protezione di reti e sistemi,nonché in tema di prevenzione e di con-trasto del crimine informatico, delle am-ministrazioni da cui dipendono le Forze dipolizia e le Forze armate, che ne comuni-cano gli esiti alla Presidenza del Consigliodei ministri per i profili di competenza.

maggiori oneri a carico della finanza pub-blica, dalle strutture specializzate in temadi protezione di reti e sistemi, nonché, neicasi in cui siano espressamente previstedalla legge, in tema di prevenzione e dicontrasto del crimine informatico, delleamministrazioni da cui dipendono le Forzedi polizia e le Forze armate, che ne comu-nicano gli esiti alla Presidenza del Consigliodei ministri per i profili di competenza.

7. Nell’ambito dell’approvvigionamentodi prodotti, processi, servizi ICT e associateinfrastrutture destinati alle reti, ai sistemiinformativi e per l’espletamento dei serviziinformatici di cui al comma 2, lettera b), ilCVCN assume i seguenti compiti:

7. Identico:

a) contribuisce all’elaborazione dellemisure di sicurezza di cui al comma 3,lettera b), per ciò che concerne l’affida-mento di forniture di beni, sistemi e serviziICT;

a) identica;

b) ai fini della verifica delle condizionidi sicurezza e dell’assenza di vulnerabilitànote, anche in relazione all’ambito di im-piego, svolge le attività di cui al comma 6,lettera a), dettando, se del caso, ancheprescrizioni di utilizzo al committente; atali fini il CVCN si avvale anche di labora-tori dallo stesso accreditati secondo criteristabiliti da un decreto del Presidente delConsiglio dei ministri, adottato entro diecimesi dalla data di entrata in vigore dellalegge di conversione del presente decreto,su proposta del CISR, impiegando, per leesigenze delle amministrazioni centrali delloStato, quelli eventualmente istituiti, senzanuovi o maggiori oneri a carico della fi-nanza pubblica, presso le medesime ammi-nistrazioni;

b) ai fini della verifica delle condizionidi sicurezza e dell’assenza di vulnerabilitànote, anche in relazione all’ambito di im-piego, definisce le metodologie di verifica edi test e svolge le attività di cui al comma6, lettera a), dettando, se del caso, ancheprescrizioni di utilizzo al committente; atali fini il CVCN si avvale anche di labora-tori dallo stesso accreditati secondo criteristabiliti da un decreto del Presidente delConsiglio dei ministri, adottato entro diecimesi dalla data di entrata in vigore dellalegge di conversione del presente decreto,su proposta del CISR, impiegando, per leesigenze delle amministrazioni centrali delloStato, quelli eventualmente istituiti, senzanuovi o maggiori oneri a carico della fi-nanza pubblica, presso le medesime ammi-nistrazioni. Con lo stesso decreto sonoaltresì stabiliti i raccordi, ivi compresi icontenuti, le modalità e i termini dellecomunicazioni, tra il CVCN e i predettilaboratori, nonché tra il medesimo CVCN ei Centri di valutazione del Ministero del-l’interno e del Ministero della difesa, di cuial comma 6, lettera a), anche al fine diassicurare il coordinamento delle rispettiveattività e perseguire la convergenza e lanon duplicazione delle valutazioni in pre-



senza di medesimi condizioni e livelli dirischio;

c) elabora e adotta, previo conformeavviso dell’organismo tecnico di supportoal CISR, schemi di certificazione ciberne-tica, laddove, per ragioni di sicurezza na-zionale, gli schemi di certificazione esi-stenti non siano ritenuti adeguati alle esi-genze di tutela del perimetro di sicurezzanazionale cibernetica.

c) elabora e adotta, previo conformeavviso dell’organismo tecnico di supportoal CISR, schemi di certificazione ciberne-tica, tenendo conto degli standard definitia livello internazionale e dell’Unione euro-pea, laddove, per ragioni di sicurezza na-zionale, gli schemi di certificazione esi-stenti non siano ritenuti adeguati alle esi-genze di tutela del perimetro di sicurezzanazionale cibernetica.

8. I soggetti di cui agli articoli 12 e 14del decreto legislativo 18 maggio 2018, n. 65,e quelli di cui all’articolo 16-ter, comma 2,del codice delle comunicazioni elettronichedi cui al decreto legislativo 1° agosto 2003,n. 259, inclusi nel perimetro di sicurezzanazionale cibernetica:

8. Identico.

a) osservano le misure di sicurezzapreviste, rispettivamente, dai predetti de-creti legislativi, ove di livello almeno equi-valente a quelle adottate ai sensi del comma3, lettera b), del presente articolo; le even-tuali misure aggiuntive necessarie al fine diassicurare i livelli di sicurezza previsti dalpresente decreto sono definite dalla Presi-denza del Consiglio dei ministri, per i sog-getti pubblici e per quelli di cui all’articolo29 del codice di cui al decreto legislativo 7marzo 2005, n. 82, individuati ai sensi delcomma 2, lettera a), del presente articolo, edal Ministero dello sviluppo economico peri soggetti privati di cui alla medesima let-tera, avvalendosi anche del CVCN; il Mini-stero dello sviluppo economico e la Presi-denza del Consiglio dei ministri si raccor-dano, ove necessario, con le autorità com-petenti di cui all’articolo 7 del decretolegislativo 18 maggio 2018, n. 65;

b) assolvono l’obbligo di notifica di cuial comma 3, lettera a), che costituisce an-che adempimento, rispettivamente, dell’ob-bligo di notifica di cui agli articoli 12 e 14del decreto legislativo 18 maggio 2018, n. 65,e dell’analogo obbligo previsto ai sensi del-l’articolo 16-ter del codice di cui al decretolegislativo 1° agosto 2003, n. 259, e dellecorrelate disposizioni attuative; a tal fine,oltre a quanto previsto dal comma 3, let-



tera a), anche in relazione alle disposizionidi cui all’articolo 16-ter del codice di cui aldecreto legislativo 1° agosto 2003, n. 259, ilCSIRT italiano inoltra le notifiche ricevuteai sensi del predetto comma 3, lettera a),all’autorità competente di cui all’articolo 7del decreto legislativo 18 maggio 2018, n. 65.

9. Salvo che il fatto costituisca reato: 9. Identico:

a) il mancato adempimento degli ob-blighi di predisposizione e di aggiorna-mento dell’elenco delle reti, dei sistemiinformativi e dei servizi informatici di cuial comma 2, lettera b), è punito con lasanzione amministrativa pecuniaria da euro200.000 a euro 1.200.000;

a) identica;

b) il mancato adempimento dell’ob-bligo di notifica di cui al comma 3, letteraa), nei termini prescritti, è punito con lasanzione amministrativa pecuniaria da euro250.000 a euro 1.500.000;

b) identica;

c) l’inosservanza delle misure di sicu-rezza di cui al comma 3, lettera b), è punitacon la sanzione amministrativa pecuniariada euro 250.000 a euro 1.500.000;

c) identica;

d) la mancata comunicazione di cui alcomma 6, lettera a), nei termini prescritti,è punita con la sanzione amministrativapecuniaria da euro 300.000 a euro 1.800.000;

d) identica;

e) l’impiego di prodotti e servizi sullereti, sui sistemi informativi e l’espleta-mento dei servizi informatici di cui alcomma 2, lettera b), in violazione dellecondizioni imposte dal CVCN o in assenzadel superamento dei test di cui al comma 6,lettera a), è punito con la sanzione ammi-nistrativa pecuniaria da euro 300.000 aeuro 1.800.000;

e) l’impiego di prodotti e servizi sullereti, sui sistemi informativi e per l’espleta-mento dei servizi informatici di cui alcomma 2, lettera b), in violazione dellecondizioni o in assenza del superamentodei test imposti dal CVCN ovvero dai Centridi valutazione di cui al comma 6, lettera a),è punito con la sanzione amministrativapecuniaria da euro 300.000 a euro 1.800.000;

f) la mancata collaborazione per l’ef-fettuazione delle attività di test di cui alcomma 6, lettera a), da parte dei soggetti dicui al medesimo comma 6, lettera b), èpunita con la sanzione amministrativa pe-cuniaria da euro 250.000 a euro 1.500.000;

f) identica;

g) il mancato adempimento delle pre-scrizioni indicate dal Ministero dello svi-luppo economico o dalla Presidenza delConsiglio dei ministri in esito alle attività diispezione e verifica svolte ai sensi del comma

g) identica;



6, lettera c), è punito con la sanzione am-ministrativa pecuniaria da euro 250.000 aeuro 1.500.000;

h) il mancato rispetto delle prescri-zioni di cui al comma 7, lettera b), è punitocon la sanzione amministrativa pecuniariada euro 250.000 a euro 1.500.000.

h) identica.

10. In caso di inottemperanza alle con-dizioni o in assenza dell’esito favorevole deitest di cui al comma 6, lettera a), il con-tratto non produce ovvero cessa di pro-durre effetti, secondo quanto previsto dallecondizioni ad esso apposte. L’esecuzionecomunque effettuata in violazione di quantoprevisto al primo periodo comporta, oltrealla sanzione di cui al comma 9, lettera e),la sanzione amministrativa accessoria dellaincapacità ad assumere incarichi di dire-zione, amministrazione e controllo nellepersone giuridiche e nelle imprese, per unperiodo di tre anni a decorrere dalla datadi accertamento della violazione.

10. L’impiego di prodotti e di servizisulle reti, sui sistemi informativi e perl’espletamento dei servizi informatici di cuial comma 2, lettera b), in assenza dellacomunicazione o del superamento dei testo in violazione delle condizioni di cui alcomma 6, lettera a), comporta, oltre allesanzioni di cui al comma 9, lettere d) ed e),l’applicazione della sanzione amministra-tiva accessoria della incapacità ad assu-mere incarichi di direzione, amministra-zione e controllo nelle persone giuridiche enelle imprese, per un periodo di tre anni adecorrere dalla data di accertamento dellaviolazione.

11. Chiunque, allo scopo di ostacolare ocondizionare l’espletamento dei procedi-menti di cui al comma 2, lettera b), o alcomma 6, lettera a), o delle attività ispettivee di vigilanza previste dal comma 6, letterac), fornisce informazioni, dati o elementi difatto non rispondenti al vero, rilevanti perla predisposizione o l’aggiornamento deglielenchi di cui al comma 2, lettera b), o aifini delle comunicazioni di cui al comma 6,lettera a), o per lo svolgimento delle attivitàispettive e di vigilanza di cui al comma 6),lettera c) od omette di comunicare entro itermini prescritti i predetti dati, informa-zioni o elementi di fatto, è punito con lareclusione da uno a cinque anni e all’ente,responsabile ai sensi del decreto legislativo8 giugno 2001, n. 231, si applica la san-zione pecuniaria fino a quattrocento quote.

11. Chiunque, allo scopo di ostacolare ocondizionare l’espletamento dei procedi-menti di cui al comma 2, lettera b), o alcomma 6, lettera a), o delle attività ispettivee di vigilanza previste dal comma 6, letterac), fornisce informazioni, dati o elementi difatto non rispondenti al vero, rilevanti perla predisposizione o l’aggiornamento deglielenchi di cui al comma 2, lettera b), o aifini delle comunicazioni di cui al comma 6,lettera a), o per lo svolgimento delle attivitàispettive e di vigilanza di cui al comma 6),lettera c) od omette di comunicare entro itermini prescritti i predetti dati, informa-zioni o elementi di fatto, è punito con lareclusione da uno a tre anni.

11-bis. All’articolo 24-bis, comma 3, deldecreto legislativo 8 giugno 2001, n. 231,dopo le parole: « di altro ente pubblico, »sono inserite le seguenti: « e dei delitti dicui all’articolo 1, comma 11, del decreto-legge 21 settembre 2019, n. 105, ».

12. Le autorità competenti per l’accer-tamento delle violazioni e per l’irrogazionedelle sanzioni sono la Presidenza del Con-siglio dei ministri, per i soggetti pubblici e

12. Le autorità competenti per l’accer-tamento delle violazioni e per l’irrogazionedelle sanzioni amministrative sono la Pre-sidenza del Consiglio dei ministri, per i



per i soggetti di cui all’articolo 29 delcodice di cui al decreto legislativo 7 marzo2005, n. 82, individuati ai sensi del comma2, lettera a), del presente articolo, e ilMinistero dello sviluppo economico, per isoggetti privati di cui alla medesima lettera.

soggetti pubblici e per i soggetti di cuiall’articolo 29 del codice di cui al decretolegislativo 7 marzo 2005, n. 82, individuatiai sensi del comma 2, lettera a), del pre-sente articolo, e il Ministero dello sviluppoeconomico, per i soggetti privati di cui allamedesima lettera.

13. Ai fini dell’accertamento e dell’irro-gazione delle sanzioni amministrative dicui al comma 9, si osservano le disposizionicontenute nel capo I, sezioni I e II, dellalegge 24 novembre 1981, n. 689.

13. Identico.

14. Per i dipendenti dei soggetti pubbliciindividuati ai sensi del comma 2, lettera a),la violazione delle disposizioni di cui alpresente articolo può costituire causa diresponsabilità disciplinare e amministrativo-contabile.

14. Identico.

15. Le autorità titolari delle attribuzionidi cui al presente decreto assicurano gliopportuni raccordi con il Dipartimento delleinformazioni per la sicurezza e con l’or-gano del Ministero dell’interno per la sicu-rezza e la regolarità dei servizi di teleco-municazione, quale autorità di contrastonell’esercizio delle attività di cui all’articolo7-bis del decreto-legge 27 luglio 2005, n. 144,convertito, con modificazioni, dalla legge31 luglio 2005, n. 155.

15. Identico.

16. La Presidenza del Consiglio dei mi-nistri, per lo svolgimento delle funzioni dicui al presente decreto può avvalersi del-l’Agenzia per l’Italia Digitale (AgID) sullabase di apposite convenzioni, nell’ambitodelle risorse finanziarie e umane disponi-bili a legislazione vigente, senza nuovi omaggiori oneri per la finanza pubblica.

16. Identico.

17. Al decreto legislativo 18 maggio 2018,n. 65, sono apportate le seguenti modifica-zioni:

17. Identico.

a) all’articolo 4, comma 5, dopo ilprimo periodo è aggiunto il seguente: « IlMinistero dello sviluppo economico inoltratale elenco al punto di contatto unico eall’organo del Ministero dell’interno per lasicurezza e la regolarità dei servizi di te-lecomunicazione, di cui all’articolo 7-bisdel decreto-legge 27 luglio 2005, n. 144,convertito, con modificazioni, dalla legge31 luglio 2005, n. 155. »;



b) all’articolo 9, comma 3, le parole « eil punto di contatto unico » sono sostituitedalle seguenti: « , il punto di contatto unicoe l’organo del Ministero dell’interno per lasicurezza e la regolarità dei servizi di te-lecomunicazione, di cui all’articolo 7-bisdel decreto-legge 27 luglio 2005, n. 144,convertito, con modificazioni, dalla legge31 luglio 2005, n. 155, ».

18. Gli eventuali adeguamenti alle pre-scrizioni di sicurezza definite ai sensi delpresente articolo, delle reti, dei sistemi in-formativi e dei servizi informatici delleamministrazioni pubbliche, degli enti e de-gli operatori pubblici di cui al comma 2,lettera a), sono effettuati con le risorsefinanziarie disponibili a legislazione vi-gente.

18. Identico.

19. Per la realizzazione, l’allestimento eil funzionamento del CVCN di cui ai commi6 e 7 è autorizzata la spesa di euro 3.200.000per l’anno 2019 e di euro 2.850.000 perciascuno degli anni dal 2020 al 2023 e dieuro 750.000 annui a decorrere dall’anno2024.

19. Per la realizzazione, l’allestimento eil funzionamento del CVCN di cui ai commi6 e 7 è autorizzata la spesa di euro 3.200.000per l’anno 2019 e di euro 2.850.000 perciascuno degli anni dal 2020 al 2023 e dieuro 750.000 annui a decorrere dall’anno2024. Per la realizzazione, l’allestimento eil funzionamento del Centro di valutazionedel Ministero dell’interno, di cui ai commi6 e 7, è autorizzata la spesa di euro200.000 per l’anno 2019 e di euro 1.500.000per ciascuno degli anni 2020 e 2021.

19-bis. Il Presidente del Consiglio deiministri coordina la coerente attuazionedelle disposizioni del presente decreto chedisciplinano il perimetro di sicurezza na-zionale cibernetica, anche avvalendosi delDipartimento delle informazioni per la si-curezza, che assicura gli opportuni rac-cordi con le autorità titolari delle attribu-zioni di cui al presente decreto e con isoggetti di cui al comma 1 del presentearticolo. Entro sessanta giorni dalla data dientrata in vigore del regolamento di cui alcomma 6, il Presidente del Consiglio deiministri trasmette alle Camere una rela-zione sulle attività svolte.



Articolo 2.

(Personale per esigenze di funzionamento delCVCN e della Presidenza del Consiglio dei

ministri)

Articolo 2.

(Personale per esigenze di funzionamento delCVCN e della Presidenza del Consiglio dei

ministri)

1. Tenuto conto dell’esigenza di disporredi personale in possesso della professiona-lità necessaria per lo svolgimento delle fun-zioni del CVCN, di cui all’articolo 1, commi6 e 7, il Ministero dello sviluppo economicoè autorizzato ad assumere a tempo inde-terminato, con incremento della vigentedotazione organica nel limite delle unitàeccedenti, in aggiunta alle ordinarie facoltàassunzionali, un contingente massimo disettantasette unità di personale, di cui ses-santasette di area terza e dieci di areaseconda, nel limite di spesa di euro 3.005.000annui a decorrere dall’anno 2020.

1. Identico.

2. Fino al completamento delle proce-dure di cui al comma 1, il Ministero dellosviluppo economico, fatte salve le unitàdedicate all’assolvimento delle esigenze con-nesse alle operazioni condotte dalle Forzearmate per la difesa nazionale anche nel-l’ambito del Trattato dell’Atlantico del Nord,può avvalersi, per le esigenze del CVCN diun contingente di personale non dirigen-ziale appartenente alle pubbliche ammini-strazioni di cui all’articolo 1, comma 2, deldecreto legislativo 30 marzo 2001, n. 165,con esclusione del personale docente edu-cativo e amministrativo tecnico ausiliariodelle istituzioni scolastiche, in posizione difuori ruolo o di comando o altro analogoistituto previsto dai rispettivi ordinamentiai sensi dell’articolo 17, comma 14, dellalegge 15 maggio 1997, n. 127, e dell’articolo70, comma 12, del decreto legislativo 30marzo 2001, n. 165, per un massimo del 40per cento delle unità di personale di cui alcomma 1. Nei limiti complessivi della stessaquota il Ministero dello sviluppo econo-mico può avvalersi, in posizione di co-mando, di personale che non risulti impie-gato in compiti operativi o specialistici conqualifiche o gradi non dirigenziali del com-parto sicurezza-difesa fino a un massimodi venti unità, conservando lo stato giuri-dico e il trattamento economico fisso, con-tinuativo ed accessorio, secondo quanto

2. Fino al completamento delle proce-dure di cui al comma 1, il Ministero dellosviluppo economico, fatte salve le unitàdedicate all’assolvimento delle esigenze con-nesse alle operazioni condotte dalle Forzearmate per la difesa nazionale anche nel-l’ambito del Trattato dell’Atlantico del Nord,può avvalersi, per le esigenze del CVCN diun contingente di personale non dirigen-ziale appartenente alle pubbliche ammini-strazioni di cui all’articolo 1, comma 2, deldecreto legislativo 30 marzo 2001, n. 165,con esclusione del personale docente, edu-cativo, amministrativo, tecnico e ausiliariodelle istituzioni scolastiche, in posizione difuori ruolo o di comando o altro analogoistituto previsto dai rispettivi ordinamentiai sensi dell’articolo 17, comma 14, dellalegge 15 maggio 1997, n. 127, e dell’articolo70, comma 12, del decreto legislativo 30marzo 2001, n. 165, per un massimo del 40per cento delle unità di personale di cui alcomma 1. Nei limiti complessivi della stessaquota il Ministero dello sviluppo econo-mico può avvalersi, in posizione di co-mando, di personale che non risulti impie-gato in compiti operativi o specialistici conqualifiche o gradi non dirigenziali del com-parto sicurezza-difesa fino a un massimodi venti unità, conservando lo stato giuri-dico e il trattamento economico fisso, con-tinuativo ed accessorio, secondo quanto



previsto dai rispettivi ordinamenti, con oneria carico del Ministero dello sviluppo eco-nomico, ai sensi dell’articolo 1777, del co-dice dell’ordinamento militare di cui aldecreto legislativo 15 marzo 2010, n. 66, edell’articolo 2, comma 91, della legge 24dicembre 2007, n. 244.

previsto dai rispettivi ordinamenti, con oneria carico del Ministero dello sviluppo eco-nomico, ai sensi dell’articolo 1777, del co-dice dell’ordinamento militare di cui aldecreto legislativo 15 marzo 2010, n. 66, edell’articolo 2, comma 91, della legge 24dicembre 2007, n. 244.

3. Per lo svolgimento delle funzioni inmateria di digitalizzazione, la Presidenzadel Consiglio dei ministri è autorizzata adassumere con contratti di lavoro a tempoindeterminato, in aggiunta alle ordinariefacoltà assunzionali e con corrispondenteincremento della dotazione organica, uncontingente massimo di dieci unità di per-sonale non dirigenziale, da inquadrare nellaCategoria funzionale A, parametro retribu-tivo F1, nel limite di spesa di euro 640.000annui a decorrere dall’anno 2020.

3. Identico.

4. Fino al completamento delle proce-dure di cui al comma 3, la Presidenza delConsiglio dei ministri, fatte salve le unitàdedicate all’assolvimento delle esigenze con-nesse alle operazioni condotte dalle Forzearmate per la difesa nazionale anche nelquadro del Trattato dell’Atlantico del Nord,può avvalersi, entro il limite del 40 percento delle unità previste dal medesimocomma, di personale non dirigenziale ap-partenente alle pubbliche amministrazionidi cui all’articolo 1, comma 2, del decretolegislativo 30 marzo 2001, n. 165, con esclu-sione del personale docente educativo edamministrativo tecnico ausiliario delle isti-tuzioni scolastiche, in posizione di fuoriruolo, di comando o altro analogo istitutoprevisto dai rispettivi ordinamenti ai sensidell’articolo 17, comma 14, della legge 15maggio 1997, n. 127, e dell’articolo 9, comma5-ter, del decreto legislativo 30 luglio 1999,n. 303, nonché di esperti o consulenti, no-minati ai sensi dell’articolo 7, comma 6, deldecreto legislativo 30 marzo 2001, n. 165,in possesso di particolare e comprovataspecializzazione in materia informatica.

4. Fino al completamento delle proce-dure di cui al comma 3, la Presidenza delConsiglio dei ministri, fatte salve le unitàdedicate all’assolvimento delle esigenze con-nesse alle operazioni condotte dalle Forzearmate per la difesa nazionale anche nelquadro del Trattato dell’Atlantico del Nord,può avvalersi, entro il limite del 40 percento delle unità previste dal medesimocomma, di personale non dirigenziale ap-partenente alle pubbliche amministrazionidi cui all’articolo 1, comma 2, del decretolegislativo 30 marzo 2001, n. 165, con esclu-sione del personale docente, educativo, am-ministrativo, tecnico e ausiliario delle isti-tuzioni scolastiche, in posizione di fuoriruolo, di comando o altro analogo istitutoprevisto dai rispettivi ordinamenti ai sensidell’articolo 17, comma 14, della legge 15maggio 1997, n. 127, e dell’articolo 9, comma5-ter, del decreto legislativo 30 luglio 1999,n. 303, nonché di esperti o consulenti, no-minati ai sensi dell’articolo 7, comma 6, deldecreto legislativo 30 marzo 2001, n. 165,in possesso di particolare e comprovataspecializzazione in materia informatica.

5. Il reclutamento del personale di cui aicommi 1 e 3 avviene mediante uno o piùconcorsi pubblici da espletare anche inderoga all’articolo 4, commi 3-quinquies e3-sexies, del decreto-legge 31 agosto 2013,n. 101, convertito, con modificazioni, dallalegge 30 ottobre 2013, n. 125, e all’articolo

5. Identico.



35, comma 5, del decreto legislativo 30marzo 2001, n. 165. Resta in ogni casoferma la possibilità da parte delle ammi-nistrazioni di avvalersi delle modalità sem-plificate e delle misure di riduzione deitempi di reclutamento previste dall’articolo3 della legge 19 giugno 2019, n. 56.

Articolo 3.

(Disposizioni in materia di reti di telecomu-nicazione elettronica a banda larga con tec-

nologia 5G)

Articolo 3.

(Disposizioni in materia di reti di telecomu-nicazione elettronica a banda larga con tec-

nologia 5G)

1. Le disposizioni di cui al presentedecreto, fatta eccezione per quanto previ-sto dall’articolo 1, comma 6, lettera a), siapplicano ai soggetti di cui all’articolo 1,comma 2, lettera a), anche nei casi in cuisono tenuti alla notifica di cui all’articolo1-bis del decreto-legge 15 marzo 2012, n. 21,convertito, con modificazioni, dalla legge11 maggio 2012, n. 56.

1. Identico.

2. Dalla data di entrata in vigore delregolamento previsto dall’articolo 1, comma6, i poteri speciali di cui all’articolo 1-bisdel decreto-legge 15 marzo 2012, n. 21,convertito, con modificazioni, dalla legge11 maggio 2012, n. 56, sono esercitati pre-via valutazione degli elementi indicanti lapresenza di fattori di vulnerabilità che po-trebbero compromettere l’integrità e la si-curezza delle reti e dei dati che vi transi-tano, da parte dei centri di valutazione dicui all’articolo 1, comma 6, lettera a), sullabase della disciplina prevista in attuazionedel predetto regolamento.

2. Identico.

3. Entro sessanta giorni dalla data dientrata in vigore del regolamento di cuiall’articolo 1, comma 6, le condizioni e leprescrizioni relative ai beni e servizi acqui-stati con contratti già autorizzati con de-creti del Presidente del Consiglio dei mini-stri, adottati ai sensi dell’articolo 1-bis deldecreto-legge 15 marzo 2012, n. 21, con-vertito, con modificazioni, dalla legge 11maggio 2012, n. 56, in data anteriore alladata di entrata in vigore del medesimoregolamento, qualora attinenti alle reti, aisistemi informativi e ai servizi informaticiinseriti negli elenchi di cui all’articolo 1,comma 2, lettera b), possono essere modi-

3. Entro sessanta giorni dalla data dientrata in vigore del regolamento di cuiall’articolo 1, comma 6, le condizioni e leprescrizioni relative ai beni e servizi acqui-stati con contratti già autorizzati con de-creti del Presidente del Consiglio dei mini-stri, adottati ai sensi dell’articolo 1-bis deldecreto-legge 15 marzo 2012, n. 21, con-vertito, con modificazioni, dalla legge 11maggio 2012, n. 56, in data anteriore alladata di entrata in vigore del medesimoregolamento, qualora attinenti alle reti, aisistemi informativi e ai servizi informaticiinseriti negli elenchi di cui all’articolo 1,comma 2, lettera b), del presente decreto,



ficate o integrate, con la procedura di cui alcomma 2, con misure aggiuntive necessarieal fine di assicurare livelli di sicurezzaequivalenti a quelli previsti dal presentedecreto, anche prescrivendo, ove necessa-rio, la sostituzione di apparati o prodottiche risultino gravemente inadeguati sulpiano della sicurezza.

possono essere modificate o integrate, conla procedura di cui al comma 2 del pre-sente articolo, se, a seguito della valuta-zione svolta da parte dei centri di valuta-zione di cui all’articolo 1, comma 6, letteraa), emergono elementi indicanti la pre-senza di fattori di vulnerabilità che potreb-bero compromettere l’integrità e la sicu-rezza delle reti e dei dati che vi transitano,con misure aggiuntive necessarie al fine diassicurare livelli di sicurezza equivalenti aquelli previsti dal presente decreto, ancheprescrivendo la sostituzione di apparati oprodotti, ove indispensabile al fine di ri-solvere le vulnerabilità accertate.

Articolo 4.

(Disposizioni in materia di infrastrutturee tecnologie critiche)

Soppresso

1. All’articolo 2, comma 1-ter, del de-creto-legge 15 marzo 2012, n. 21, conver-tito, con modificazioni, dalla legge 11 mag-gio 2012, n. 56, dopo le parole « per lasicurezza e l’ordine pubblico, » sono inse-rite le seguenti: « compreso il possibilepregiudizio alla sicurezza e al funziona-mento delle reti e degli impianti e allacontinuità degli approvvigionamenti, i benie i rapporti di rilevanza strategica perl’interesse nazionale, ulteriori rispetto aquelli individuati nei regolamenti di cuiall’articolo 1, comma 1, e al comma 1 delpresente articolo, nei settori di cui all’ar-ticolo 4, paragrafo 1, del regolamento (UE)n. 2019/452 del Parlamento europeo e delConsiglio, del 19 marzo 2019, inclusi ».

2. Sino alla data di entrata in vigore delprimo regolamento di cui all’articolo 2,comma 1-ter, del decreto-legge 15 marzo2012, n. 21, convertito, con modificazioni,dalla legge 11 maggio 2012, n. 56, fattasalva l’applicazione degli articoli 1 e 2 delcitato decreto-legge, è soggetto alla notificadi cui al comma 5 dell’articolo 2 del me-desimo decreto-legge n. 21 del 2012 l’ac-quisto a qualsiasi titolo, da parte di unsoggetto esterno all’Unione europea, di par-tecipazioni in società che detengono beni erapporti nei settori di cui all’articolo 4,paragrafo 1, lettere a) e b), del regola-



mento (UE) n. 2019/452 del Parlamentoeuropeo e del Consiglio, del 19 marzo 2019,di rilevanza tale da determinare l’insedia-mento stabile dell’acquirente in ragionedell’assunzione del controllo della societàla cui partecipazione è oggetto dell’acqui-sto, ai sensi dell’articolo 2359 del codicecivile e del testo unico di cui al decretolegislativo 24 febbraio 1998, n. 58. Si ap-plicano le disposizioni di cui all’articolo 2,commi 6 e 7, del decreto-legge n. 21 del2012.

Articolo 4-bis.

(Modifiche alla disciplina dei poteri spe-ciali nei settori di rilevanza strategica)

1. Al fine di rafforzare la tutela dellasicurezza nazionale in ambiti di rilevanzastrategica, al decreto-legge 15 marzo 2012,n. 21, convertito, con modificazioni, dallalegge 11 maggio 2012, n. 56, sono appor-tate le seguenti modificazioni:

a) all’articolo 1:

1) al comma 1, alinea, la parola:« contestualmente » è sostituita dalle se-guenti: « tempestivamente e per estratto »;

2) al comma 1, lettera b):

2.1) dopo le parole: « all’adozionedi delibere » sono inserite le seguenti: « ,atti od operazioni »;

2.2) le parole: « il mutamento »sono sostituite dalle seguenti: « la modi-fica »;

2.3) dopo le parole: « di vincoliche ne condizionino l’impiego » sono ag-giunte le seguenti: « , anche in ragione dellasottoposizione dell’impresa a procedure con-corsuali »;

3) al comma 2:

3.1) dopo le parole: « derivantedalle delibere » sono inserite le seguenti: « ,dagli atti o dalle operazioni »;

3.2) dopo le parole: « oggetto delladelibera, » sono inserite le seguenti: « del-l’atto o dell’operazione, »;



3.3) dopo le parole: « risultantedalla delibera » sono inserite le seguenti: « ,dall’atto »;

4) dopo il comma 3 è inserito ilseguente:

« 3-bis. Qualora l’acquisto delle parte-cipazioni di cui al comma 1, lettere a) e c),sia effettuato da un soggetto esterno all’U-nione europea, di cui all’articolo 2, comma5-bis, il Governo può considerare altresì leseguenti circostanze:

a) che l’acquirente sia direttamente oindirettamente controllato dall’amministra-zione pubblica, compresi organismi statalio forze armate, di un Paese non apparte-nente all’Unione europea, anche attraversol’assetto proprietario o finanziamenti con-sistenti;

b) che l’acquirente sia già stato coin-volto in attività che incidono sulla sicu-rezza o sull’ordine pubblico in uno Statomembro dell’Unione europea;

c) che vi sia un grave rischio chel’acquirente intraprenda attività illegali ocriminali »;

5) al comma 4:

5.1) al primo periodo, le parole:« o sull’atto » sono sostituite dalle seguenti:« , sull’atto o sull’operazione »;

5.2) al terzo periodo, la parola:« quindici » è sostituita dalla seguente: « qua-rantacinque »;

5.3) dopo il quarto periodo è in-serito il seguente: « Qualora si renda ne-cessario formulare richieste istruttorie asoggetti terzi, il predetto termine di qua-rantacinque giorni è sospeso, per una solavolta, fino al ricevimento delle informa-zioni richieste, che sono rese entro il ter-mine di venti giorni »;

5.4) al quinto periodo, dopo leparole: « Le richieste di informazioni » sonoinserite le seguenti: « e le richieste istrut-torie a soggetti terzi »;

5.5) dopo il quinto periodo è in-serito il seguente: « In caso di incomple-tezza della notifica, il termine di quaran-tacinque giorni previsto dal presente comma



decorre dal ricevimento delle informazionio degli elementi che la integrano »;

5.6) al decimo periodo, le parole:« le disposizioni di cui al presente comma »sono sostituite dalle seguenti: « gli obblighidi cui al presente comma, ivi compresiquelli derivanti dal provvedimento di eser-cizio del potere di cui al comma 1, letterab), eventualmente esercitato nella formadell’imposizione di specifiche prescrizionio condizioni, »;

6) al comma 5:

6.1) al secondo periodo, le parole:« prevista dall’articolo 120, comma 2, deltesto unico di cui al decreto legislativo 24febbraio 1998, n. 58, e successive modifi-cazioni » sono sostituite dalle seguenti: « del3 per cento »;

6.2) al secondo periodo, le parole:« 3 per cento, » sono soppresse;

6.3) al secondo periodo, le parole:« 20 per cento e 25 per cento » sono sosti-tuite dalle seguenti: « 20 per cento, 25 percento e 50 per cento »;

6.4) dopo il secondo periodo èinserito il seguente: « Nel caso in cui l’ac-quisizione abbia ad oggetto azioni o quotedi una società non ammessa alla negozia-zione nei mercati regolamentati, la notificadeve essere effettuata qualora l’acquirentevenga a detenere, a seguito dell’acquisi-zione, una partecipazione superiore allesoglie indicate nel secondo periodo »;



6.7) al quinto periodo, dopo leparole: « Eventuali richieste di informa-zioni » sono inserite le seguenti: « e richie-ste istruttorie a soggetti terzi »;



6.8) dopo il quinto periodo è in-serito il seguente: « In caso di incomple-tezza della notifica, il termine di quaran-tacinque giorni previsto dal presente commadecorre dal ricevimento delle informazionio degli elementi che la integrano »;

6.9) al sesto periodo, dopo le pa-role: « connessi alle azioni » sono inserite leseguenti: « o quote »;

6.10) al decimo periodo, dopo leparole: « connessi alle azioni » sono inseritele seguenti: « o quote » e dopo le parole:« dovrà cedere le stesse azioni » sono inse-rite le seguenti: « o quote »;

6.11) all’undicesimo periodo, dopole parole: « la vendita delle suddette azioni »sono inserite le seguenti: « o quote »;

6.12) al dodicesimo periodo, dopole parole: « adottate con il voto determi-nante di tali azioni » sono inserite le se-guenti: « o quote »;

b) all’articolo 1-bis:


1.1) le parole: « l’acquisto » sonosostituite dalle seguenti: « l’acquisizione, aqualsiasi titolo, »;

1.2) dopo le parole: « ovvero l’ac-quisizione » sono inserite le seguenti: « , aqualsiasi titolo, »;

1.3) le parole: « sono soggetti allanotifica di cui all’articolo 1, comma 4 »sono sostituite dalle seguenti: « è soggettaalla notifica di cui al comma 3-bis »;


« 2-bis. In sede di prima applicazionedelle disposizioni di cui al comma 2, l’im-presa notificante fornisce un’informativacompleta sui contratti o accordi di cui alprimo periodo del medesimo comma 2,conclusi prima del 26 marzo 2019 e chenon sono in corso di esecuzione »;

3) il comma 3 è sostituito dal se-guente:

« 3. Per le finalità di cui ai commi 2 e2-bis, per soggetto esterno all’Unione eu-



ropea si intende il soggetto di cui all’arti-colo 2, comma 5-bis »;


« 3-bis. Entro dieci giorni dalla conclu-sione di un contratto o accordo di cui alcomma 2, l’impresa che ha acquisito, aqualsiasi titolo, i beni o i servizi di cui allostesso comma notifica alla Presidenza delConsiglio dei ministri un’informativa com-pleta, in modo da consentire l’eventualeesercizio del potere di veto o l’imposizionedi specifiche prescrizioni o condizioni. En-tro trenta giorni dalla notifica, il Presi-dente del Consiglio dei ministri comunical’eventuale veto ovvero l’imposizione di spe-cifiche prescrizioni o condizioni. Qualorasia necessario svolgere approfondimenti ri-guardanti aspetti tecnici relativi alla valu-tazione di possibili fattori di vulnerabilitàche potrebbero compromettere l’integrità ela sicurezza delle reti e dei dati che vitransitano, il termine di trenta giorni pre-visto dal presente comma può essere pro-rogato fino a venti giorni, prorogabili ul-teriormente di venti giorni, per una solavolta, in casi di particolare complessità. Ipoteri speciali sono esercitati nella formadell’imposizione di specifiche prescrizionio condizioni ogniqualvolta ciò sia suffi-ciente ad assicurare la tutela degli interessiessenziali della difesa e della sicurezzanazionale. Decorsi i predetti termini, i po-teri speciali si intendono non esercitati.Qualora si renda necessario richiedere in-formazioni all’acquirente, tale termine èsospeso, per una sola volta, fino al ricevi-mento delle informazioni richieste, che sonorese entro il termine di dieci giorni. Qua-lora si renda necessario formulare richie-ste istruttorie a soggetti terzi, il predettotermine di trenta giorni è sospeso, per unasola volta, fino al ricevimento delle infor-mazioni richieste, che sono rese entro iltermine di venti giorni. Le richieste diinformazioni e le richieste istruttorie asoggetti terzi successive alla prima nonsospendono i termini. In caso di incomple-tezza della notifica, il termine di trentagiorni previsto dal presente comma de-corre dal ricevimento delle informazioni o



degli elementi che la integrano. Fermorestando quanto previsto dall’ultimo pe-riodo del presente comma, nel caso in cuil’impresa notificante abbia iniziato l’esecu-zione del contratto o dell’accordo oggettodella notifica prima che sia decorso iltermine per l’esercizio dei poteri speciali, ilGoverno, nel provvedimento di eserciziodei predetti poteri, può ingiungere all’im-presa di ripristinare a proprie spese lasituazione anteriore all’esecuzione del pre-detto contratto o accordo. Salvo che il fattocostituisca reato, chiunque non osservi gliobblighi di notifica di cui al presente ar-ticolo ovvero le disposizioni contenute nelprovvedimento di esercizio dei poteri spe-ciali è soggetto alla sanzione amministra-tiva pecuniaria fino al 150 per cento delvalore dell’operazione e comunque noninferiore al 25 per cento del medesimovalore »;

c) all’articolo 2:

1) il comma 1 è sostituito dal se-guente:

« 1. Con uno o più decreti del Presi-dente del Consiglio dei ministri, su propo-sta del Ministro dell’economia e delle fi-nanze, del Ministro dello sviluppo econo-mico e del Ministro delle infrastrutture edei trasporti, di concerto con il Ministrodell’interno, con il Ministro degli affariesteri e della cooperazione internazionale econ i Ministri competenti per settore, adot-tati, anche in deroga all’articolo 17 dellalegge 23 agosto 1988, n. 400, previo pareredelle Commissioni parlamentari compe-tenti, che è reso entro trenta giorni, decorsii quali i decreti possono comunque essereadottati, sono individuati le reti e gli im-pianti, ivi compresi quelli necessari adassicurare l’approvvigionamento minimo el’operatività dei servizi pubblici essenziali,i beni e i rapporti di rilevanza strategicaper l’interesse nazionale nei settori dell’e-nergia, dei trasporti e delle comunicazioni,nonché la tipologia di atti od operazioniall’interno di un medesimo gruppo ai qualinon si applica la disciplina di cui al pre-sente articolo. I decreti di cui al primoperiodo sono adottati entro centoventi giornidalla data di entrata in vigore della pre-



sente disposizione e sono aggiornati al-meno ogni tre anni »;

2) il comma 1-bis è abrogato;

3) il comma 1-ter è sostituito dalseguente:

« 1-ter. Con uno o più decreti del Pre-sidente del Consiglio dei ministri, su pro-posta del Ministro dell’economia e dellefinanze, del Ministro dello sviluppo econo-mico e del Ministro delle infrastrutture edei trasporti, di concerto con il Ministrodell’interno, con il Ministro della difesa,con il Ministro degli affari esteri e dellacooperazione internazionale e con i Mini-stri competenti per settore, adottati anchein deroga all’articolo 17 della legge 23agosto 1988, n. 400, previo parere delleCommissioni parlamentari competenti, cheè reso entro trenta giorni, decorsi i quali idecreti possono comunque essere adottati,sono individuati, ai fini della verifica inordine alla sussistenza di un pericolo perla sicurezza e l’ordine pubblico, compresoil possibile pregiudizio alla sicurezza e alfunzionamento delle reti e degli impianti ealla continuità degli approvvigionamenti, ibeni e i rapporti di rilevanza strategica perl’interesse nazionale, ulteriori rispetto aquelli individuati nei decreti di cui all’ar-ticolo 1, comma 1, e al comma 1 delpresente articolo, nei settori di cui all’ar-ticolo 4, paragrafo 1, del regolamento (UE)2019/452 del Parlamento europeo e delConsiglio, del 19 marzo 2019, nonché latipologia di atti od operazioni all’interno diun medesimo gruppo ai quali non si ap-plica la disciplina di cui al presente arti-colo. I decreti di cui al primo periodo sonoadottati entro centoventi giorni dalla datadi entrata in vigore della presente dispo-sizione e sono aggiornati almeno ogni treanni »;


4.1) le parole: « adottato da unasocietà » sono sostituite dalle seguenti:« adottato da un’impresa »;

4.2) le parole: « o 1-ter » sonosoppresse;



4.3) le parole: « il mutamento del-l’oggetto sociale » sono sostituite dalle se-guenti: « la modifica dell’oggetto sociale »;

4.4) le parole: « dalla societàstessa » sono sostituite dalle seguenti: « dallastessa impresa »;


« 2-bis. Qualsiasi delibera, atto od ope-razione, adottato da un’impresa che de-tiene uno o più degli attivi individuati aisensi del comma 1-ter, che abbia per ef-fetto modifiche della titolarità, del con-trollo o della disponibilità degli attivi me-desimi a favore di un soggetto esternoall’Unione europea, di cui al comma 5-bis,comprese le delibere dell’assemblea o degliorgani di amministrazione aventi ad og-getto la fusione o la scissione della società,il trasferimento dell’azienda o di rami diessa in cui siano compresi detti attivi ol’assegnazione degli stessi a titolo di garan-zia, il trasferimento di società controllateche detengono i predetti attivi, ovvero cheabbia per effetto il trasferimento della sedesociale in un Paese non appartenente al-l’Unione europea, è notificato, entro diecigiorni e comunque prima che vi sia dataattuazione, alla Presidenza del Consigliodei ministri dalla stessa impresa. Sononotificati altresì nei medesimi termini qual-siasi delibera, atto od operazione, adottatoda un’impresa che detiene uno o più degliattivi individuati ai sensi del comma 1-ter,che abbia per effetto il cambiamento dellaloro destinazione, nonché qualsiasi deli-bera che abbia ad oggetto la modificadell’oggetto sociale, lo scioglimento dellasocietà o la modifica di clausole statutarieeventualmente adottate ai sensi dell’arti-colo 2351, terzo comma, del codice civileovvero introdotte ai sensi dell’articolo 3,comma 1, del decreto-legge 31 maggio 1994,n. 332, convertito, con modificazioni, dallalegge 30 luglio 1994, n. 474, come da ul-



timo modificato dall’articolo 3 del presentedecreto »;

6) al comma 3:

6.1) la parola: « contestualmente »è sostituita dalle seguenti: « tempestiva-mente e per estratto »;

6.2) le parole: « di cui al comma2 » sono sostituite dalle seguenti: « di cui aicommi 2 e 2-bis »;

7) al comma 4:

7.1) al primo periodo, le parole:« la notifica di cui al comma 2 » sonosostituite dalle seguenti: « le notifiche di cuiai commi 2 e 2-bis »;



7.4) al quinto periodo, dopo leparole: « Le richieste di informazioni » sonoinserite le seguenti: « e le richieste istrut-torie a soggetti terzi »;

7.5) dopo il quinto periodo è in-serito il seguente: « In caso di incomple-tezza della notifica, il termine di quaran-tacinque giorni previsto dal presente commadecorre dal ricevimento delle informazionio degli elementi che la integrano »;

7.6) all’ultimo periodo, le parole:« di cui al comma 2 e al presente comma »sono sostituite dalle seguenti: « di cui aicommi 2 e 2-bis e al presente comma »;

8) al comma 5:

8.1) il terzo periodo è soppresso;

8.2) è aggiunto, in fine, il seguenteperiodo: « Salvo che il fatto costituiscareato e ferme restando le invalidità previ-ste dalla legge, chiunque non osservi gliobblighi di notifica di cui al presente commaè soggetto a una sanzione amministrativa



pecuniaria fino al doppio del valore del-l’operazione e comunque non inferiore all’1per cento del fatturato cumulato realizzatodalle imprese coinvolte nell’ultimo eserci-zio per il quale sia stato approvato ilbilancio »;


« 5-bis. Per le finalità di cui agli articoli1, comma 3-bis, e 1-bis, commi 2 e 2-bis,nonché di cui ai commi 2-bis, 5 e 6 delpresente articolo, per “soggetto esterno al-l’Unione europea” si intende:

a) qualsiasi persona fisica o personagiuridica che non abbia la residenza, ladimora abituale, la sede legale o dell’am-ministrazione ovvero il centro di attivitàprincipale in uno Stato membro dell’U-nione europea o dello Spazio economicoeuropeo o che non sia comunque ivi sta-bilita;

b) qualsiasi persona giuridica che ab-bia stabilito la sede legale o dell’ammini-strazione o il centro di attività principalein uno Stato membro dell’Unione europeao dello Spazio economico europeo, o chesia comunque ivi stabilita, e che risulticontrollata, direttamente o indirettamente,da una persona fisica o da una personagiuridica di cui alla lettera a);

c) qualsiasi persona fisica o personagiuridica che abbia stabilito la residenza, ladimora abituale, la sede legale o dell’am-ministrazione ovvero il centro di attivitàprincipale in uno Stato membro dell’U-nione europea o dello Spazio economicoeuropeo, o che sia comunque ivi stabilita,qualora sussistano elementi che indichinoun comportamento elusivo rispetto all’ap-plicazione della disciplina di cui al pre-sente decreto »;

10) al comma 6:

10.1) al primo periodo, la parola:« quindici » è sostituita dalla seguente: « qua-rantacinque » e la parola: « contestual-mente » è sostituita dalle seguenti: « tem-pestivamente e per estratto »;

10.2) dopo il primo periodo sonoinseriti i seguenti: « Qualora si renda ne-



cessario richiedere informazioni all’acqui-rente, il termine di cui al primo periodo èsospeso, per una sola volta, fino al ricevi-mento delle informazioni richieste, che sonorese entro il termine di dieci giorni. Qua-lora si renda necessario formulare richie-ste istruttorie a soggetti terzi, il predettotermine di quarantacinque giorni è so-speso, per una sola volta, fino al ricevi-mento delle informazioni richieste, che sonorese entro il termine di venti giorni. Lerichieste di informazioni e le richieste istrut-torie a soggetti terzi successive alla primanon sospendono i termini, decorsi i quali ipoteri speciali si intendono non esercitati.In caso di incompletezza della notifica, iltermine di quarantacinque giorni previstodal presente comma decorre dal ricevi-mento delle informazioni o degli elementiche la integrano »;

10.3) all’ottavo periodo, dopo leparole: « connessi alle azioni » sono inseritele seguenti: « o quote » e dopo le parole:« dovrà cedere le stesse azioni » sono inse-rite le seguenti: « o quote »;

10.4) al nono periodo, dopo leparole: « ordina la vendita delle suddetteazioni » sono inserite le seguenti: « o quote »;

10.5) al decimo periodo, dopo leparole: « con il voto determinante di taliazioni » sono inserite le seguenti: « o quote »;

10.6) all’ultimo periodo, le parole:« la circostanza che l’investitore straniero ècontrollato dal governo di un paese terzo,non appartenente all’Unione europea, an-che attraverso finanziamenti significativi »sono sostituite dalle seguenti: « le seguenticircostanze:

a) che l’acquirente sia direttamente oindirettamente controllato dall’amministra-zione pubblica, compresi organismi statalio forze armate, di un Paese non apparte-nente all’Unione europea, anche attraversol’assetto proprietario o finanziamenti con-sistenti;

b) che l’acquirente sia già stato coin-volto in attività che incidono sulla sicu-rezza o sull’ordine pubblico in uno Statomembro dell’Unione europea;



c) che vi sia un grave rischio chel’acquirente intraprenda attività illegali ocriminali »;

11) al comma 8, le parole: « indivi-duate con i regolamenti » sono sostituitedalle seguenti: « individuate con i decreti »;

d) dopo l’articolo 2 sono inseriti iseguenti:

« Art. 2-bis. – (Collaborazione con au-torità amministrative di settore) – 1. LaBanca d’Italia, la Commissione nazionaleper le società e la borsa, la Commissione divigilanza sui fondi pensione, l’Istituto perla vigilanza sulle assicurazioni, l’Autoritàdi regolazione dei trasporti, l’Autorità ga-rante della concorrenza e del mercato,l’Autorità per le garanzie nelle comunica-zioni, l’Autorità di regolazione per energia,reti e ambiente e il gruppo di coordina-mento istituito ai sensi dell’articolo 3 deldecreto del Presidente del Consiglio deiministri 6 agosto 2014 collaborano tra loro,anche mediante scambio di informazioni,al fine di agevolare l’esercizio delle fun-zioni di cui al presente decreto. Le autoritàindicate al primo periodo, esclusivamenteper le finalità di cui al medesimo periodo,non possono opporre al gruppo di coordi-namento il segreto d’ufficio.

Art. 2-ter. – (Adeguamento della nor-mativa nazionale alle disposizioni del re-golamento (UE) 2019/452 e termini perl’esercizio dei poteri speciali) – 1. Qualorauno Stato membro o la Commissione no-tifichi, ai sensi dell’articolo 6, paragrafo 6,del regolamento (UE) 2019/452 del Parla-mento europeo e del Consiglio, del 19marzo 2019, l’intenzione di formulare os-servazioni o di emettere un parere in re-lazione ad un investimento estero direttooggetto di un procedimento in corso, itermini per l’esercizio dei poteri specialiindicati agli articoli 1 e 2 sono sospesi finoal ricevimento delle osservazioni dello Statomembro o del parere della Commissioneeuropea. Se il parere della Commissioneeuropea è successivo alle osservazioni delloStato membro, i termini per l’esercizio deipoteri speciali riprendono a decorrere dalladata di ricevimento del parere della Com-



missione. I termini per l’esercizio dei po-teri speciali sono altresì sospesi nel caso incui il Governo, ai sensi dell’articolo 6,paragrafo 4, del citato regolamento (UE)2019/452, richieda alla Commissione diemettere un parere o agli altri Stati mem-bri di formulare osservazioni in relazionea un procedimento in corso ai sensi delpresente articolo. È fatta salva la possibi-lità di esercitare i poteri speciali ancheprima del ricevimento del parere dellaCommissione o delle osservazioni degli Statimembri, nei casi in cui la tutela dellasicurezza nazionale o dell’ordine pubblicorichiedano l’adozione di una decisione im-mediata ai sensi dell’articolo 6, paragrafo8, del medesimo regolamento (UE) 2019/452.

2. Con regolamento emanato ai sensidell’articolo 17, comma 2, della legge 23agosto 1988, n. 400, su proposta del Pre-sidente del Consiglio dei ministri, di con-certo con il Ministro dell’economia e dellefinanze e, per i rispettivi ambiti di com-petenza, con i Ministri degli affari esteri edella cooperazione internazionale, dell’in-terno, della difesa, dello sviluppo econo-mico e delle infrastrutture e dei trasporti,nonché con i Ministri competenti per set-tore, possono essere ridisciplinati i terminidi cui agli articoli 1 e 2 del presentedecreto, al fine di individuare proceduresemplificate, tenuto conto del grado dipotenziale pregiudizio per gli interessi es-senziali della difesa, della sicurezza nazio-nale e dell’ordine pubblico, compresi quellirelativi alla sicurezza e al funzionamentodelle reti e degli impianti e alla continuitàdegli approvvigionamenti, nonché dell’esi-genza di assicurare l’armonizzazione delleprocedure nazionali con quelle relative aimeccanismi di controllo, scambio di infor-mazione e cooperazione definiti ai sensidel regolamento (UE) 2019/452.

3. Il punto di contatto di cui all’articolo11 del regolamento (UE) 2019/452 è isti-tuito presso la Presidenza del Consiglio deiministri. L’organizzazione e il funziona-mento del punto di contatto sono discipli-nati con decreto del Presidente del Consi-glio dei ministri, adottato ai sensi dell’ar-ticolo 7 del decreto legislativo 30 luglio



1999, n. 303, nell’ambito delle risorseumane, strumentali e finanziarie disponi-bili a legislazione vigente e senza nuovi omaggiori oneri a carico della finanza pub-blica »;

e) all’articolo 3:

1) al comma 1, le parole: « comma5, ultimo periodo » sono sostituite dalleseguenti: « comma 5-bis » e le parole: « edell’articolo 2, comma 1 » sono sostituitedalle seguenti: « e dell’articolo 2, commi 1e 1-ter »;

2) al comma 2:

2.1) al primo periodo, le parole:« e dei regolamenti, relativi a ciascun set-tore, di cui all’articolo 2, comma 1, delpresente decreto » sono sostituite dalle se-guenti: « e dei decreti, relativi a ciascunsettore, di cui all’articolo 2, commi 1 e1-ter, del presente decreto »;

2.2) al secondo periodo, le parole:« ovvero dei regolamenti » sono soppresse.

2. Le disposizioni introdotte dal comma1 del presente articolo, ad esclusione diquelle di cui al medesimo comma 1, letterad), capoverso Art. 2-ter, si applicano ancheai procedimenti in corso alla data di en-trata in vigore della legge di conversionedel presente decreto; i termini non ancoratrascorsi alla medesima data, ferma re-stando la data di inizio del loro decorso,sono prorogati fino al raggiungimento delladurata stabilita dal presente articolo, semaggiore di quella anteriormente prevista.

3. Fino alla data di entrata in vigore delprimo decreto del Presidente del Consigliodei ministri di cui all’articolo 2, comma1-ter, del decreto-legge 15 marzo 2012,n. 21, convertito, con modificazioni, dallalegge 11 maggio 2012, n. 56, come sosti-tuito dal comma 1, lettera c), numero 3),del presente articolo, fatta salva l’applica-zione degli articoli 1 e 2 del citato decreto-legge, come modificati dal presente arti-colo, è soggetto alla notifica di cui alcomma 5 dell’articolo 2 del medesimo de-creto-legge n. 21 del 2012 l’acquisto a qual-siasi titolo, da parte di un soggetto esternoall’Unione europea, di partecipazioni in



società che detengono beni e rapporti neisettori di cui all’articolo 4, paragrafo 1,lettere a) e b), del regolamento (UE) n. 2019/452 del Parlamento europeo e del Consi-glio, del 19 marzo 2019, di rilevanza tale dadeterminare l’insediamento stabile dell’ac-quirente in ragione dell’assunzione del con-trollo della società la cui partecipazione èoggetto dell’acquisto, ai sensi dell’articolo2359 del codice civile e del testo unico dicui al decreto legislativo 24 febbraio 1998,n. 58. Si applicano le disposizioni di cuiall’articolo 2, commi 5-bis, 6 e 7, del citatodecreto-legge n. 21 del 2012, come modi-ficato dal presente articolo.

4. Fino alla data di entrata in vigore deidecreti di cui ai commi 1 e 1-ter dell’arti-colo 2 del decreto-legge 15 marzo 2012,n. 21, convertito, con modificazioni, dallalegge 11 maggio 2012, n. 56, come sostituitidal presente articolo, continuano ad avereefficacia i regolamenti adottati in attua-zione delle norme previgenti modificate dalpresente articolo.

Articolo 5.

(Determinazioni del Presidente del Consigliodei ministri in caso di crisi di natura ciber-

netica)

Articolo 5.

(Determinazioni del Presidente del Consigliodei ministri in caso di crisi di natura ciber-

netica)

1. Il Presidente del Consiglio dei mini-stri, in presenza di un rischio grave eimminente per la sicurezza nazionale con-nesso alla vulnerabilità di reti, sistemi eservizi di cui all’articolo 1, comma 2, let-tera b), e comunque nei casi di crisi ciber-netica di cui al decreto del Presidente delConsiglio dei ministri del 17 febbraio 2017pubblicato nella Gazzetta Ufficiale n. 87del 13 aprile 2017, su deliberazione delComitato interministeriale per la sicurezzadella Repubblica, ai sensi dell’articolo 7-bisdel decreto-legge 30 ottobre 2015, n. 174,convertito, con modificazioni, dalla legge11 dicembre 2015, n. 198, può comunquedisporre, ove indispensabile e per il tempostrettamente necessario alla eliminazionedello specifico fattore di rischio o alla suamitigazione, secondo un criterio di propor-zionalità, la disattivazione, totale o par-ziale, di uno o più apparati o prodotti

1. Il Presidente del Consiglio dei mini-stri, in presenza di un rischio grave eimminente per la sicurezza nazionale con-nesso alla vulnerabilità di reti, sistemi in-formativi e servizi informatici, su delibera-zione del Comitato interministeriale per lasicurezza della Repubblica, può comunquedisporre, ove indispensabile e per il tempostrettamente necessario alla eliminazionedello specifico fattore di rischio o alla suamitigazione, secondo un criterio di propor-zionalità, la disattivazione, totale o par-ziale, di uno o più apparati o prodottiimpiegati nelle reti, nei sistemi o per l’e-spletamento dei servizi interessati.



impiegati nelle reti, nei sistemi o per l’e-spletamento dei servizi interessati.

1-bis. Il Presidente del Consiglio deiministri informa entro trenta giorni il Co-mitato parlamentare per la sicurezza dellaRepubblica delle misure disposte ai sensidel comma 1.

Articolo 6.

(Copertura finanziaria)

Articolo 6.

(Copertura finanziaria)

1. Agli oneri di cui agli articoli 1, comma19, e 2, commi 1 e 3, per complessivi euro3.200.000 per l’anno 2019, euro 6.495.000per ciascuno degli anni dal 2020 al 2023, edeuro 4.395.000 annui a decorrere dall’anno2024, si provvede:

1. Agli oneri di cui agli articoli 1, comma19, e 2, commi 1 e 3, per complessivi euro3.400.000 per l’anno 2019, euro 7.995.000per ciascuno degli anni 2020 e 2021, euro6.495.000 per ciascuno degli anni 2022 e2023 ed euro 4.395.000 annui a decorreredall’anno 2024, si provvede:

a) quanto a euro 4.395.000 annui adecorrere dal 2020, mediante corrispon-dente riduzione delle proiezioni dello stan-ziamento del fondo speciale di parte cor-rente iscritto, ai fini del bilancio triennale2019-2021, nell’ambito del programma« Fondi di riserva e speciali » della missione« Fondi da ripartire » dello stato di previ-sione del Ministero dell’economia e dellefinanze per l’anno 2019, allo scopo parzial-mente utilizzando l’accantonamento rela-tivo al Ministero dello sviluppo economicoper euro 350.000 annui a decorrere dal-l’anno 2020 e l’accantonamento relativo alMinistero dell’economia e delle finanze,per euro 4.045.000 annui a decorrere dal-l’anno 2020;

a) identica;

b) quanto a euro 3.200.000 per l’anno2019 e a euro 2.100.000 per ciascuno deglianni dal 2020 al 2023, mediante corrispon-dente utilizzo dell’autorizzazione di spesarecata dall’articolo 1, comma 95, della legge30 dicembre 2018, n. 145, da imputaresulla quota parte del fondo attribuita alMinistero dello sviluppo economico.

b) identica;

b-bis) quanto a euro 200.000 per l’anno2019 e a euro 1.500.000 per ciascuno deglianni 2020 e 2021, mediante corrispondenteriduzione dell’autorizzazione di spesa dicui all’articolo 1, comma 623, della legge 11dicembre 2016, n. 232.



2. Il Ministro dell’economia e delle fi-nanze è autorizzato ad apportare, con pro-pri decreti, le occorrenti variazioni di bi-lancio.

2. Identico.

Articolo 7.

(Entrata in vigore)

1. Il presente decreto entra in vigore ilgiorno successivo a quello della sua pub-blicazione nella Gazzetta Ufficiale della Re-pubblica italiana e sarà presentato alleCamere per la conversione in legge.

Il presente decreto, munito del sigillodello Stato, sarà inserito nella Raccoltaufficiale degli atti normativi della Repub-blica italiana. È fatto obbligo a chiunquespetti di osservarlo e di farlo osservare.

Dato a Napoli, addì 21 settembre 2019.

MATTARELLA

CONTE, Presidente del Consiglio deiministri.

GUALTIERI, Ministro dell’economia edelle finanze.

PATUANELLI, Ministro dello sviluppoeconomico.

GUERINI, Ministro della difesa.LAMORGESE, Ministro dell’interno.DI MAIO, Ministro degli affari esteri

e della cooperazione internazio-nale.

BONAFEDE, Ministro della giustizia.DADONE, Ministro per la pubblica

amministrazione.PISANO, Ministro per l’innovazione

tecnologica e la digitalizzazione.

Visto, il Guardasigilli: BONAFEDE



PAGINA BIANCA

*18PDL0081550**18PDL0081550*

BONAFEDE DADONE...comma 512, della legge 28 dicembre 2015, n. 208, che intendano procedere all’af...

Documents

Transcript of BONAFEDE DADONE...comma 512, della legge 28 dicembre 2015, n. 208, che intendano procedere all’af...