Decreto legge 21.03.2022, n. 21

1. L'articolo 1-bis del decreto-legge 15 marzo 2012, n. 21, convertito, con modificazioni, dalla legge 11 maggio 2012, n. 56, è sostituito dal seguente:

«Art. 1-bis (Poteri speciali inerenti ai servizi di comunicazione elettronica a banda larga con tecnologia 5G, basati sulla tecnologia cloud e altri attivi). - 1. Ai fini dell'esercizio dei poteri speciali di cui al presente articolo, costituiscono attività di rilevanza strategica per il sistema di difesa e sicurezza nazionale i servizi di comunicazione elettronica a banda larga basati sulla tecnologia 5G. Ai medesimi fini di cui al presente articolo, ulteriori servizi, beni, rapporti, attività e tecnologie rilevanti ai fini della sicurezza cibernetica, ivi inclusi quelli relativi alla tecnologia cloud, possono essere individuati con uno o più decreti del Presidente del Consiglio dei ministri, di concerto con il Ministro dello sviluppo economico, il Ministro dell'interno, il Ministro della difesa, il Ministro degli affari esteri e della cooperazione internazionale, il Ministro per l'innovazione tecnologica e la transizione digitale, e con gli altri Ministri competenti per settore, e sentita l'Agenzia per la cybersicurezza nazionale, anche in deroga all'articolo 17 della legge 23 agosto 1988, n. 400, previo parere delle Commissioni parlamentari competenti, che è reso entro trenta giorni dalla data di trasmissione degli schemi di decreto, decorsi i quali i decreti sono adottati anche in mancanza di parere.

2. Fermi gli obblighi previsti ai sensi del decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133, le imprese che, anche attraverso contratti o accordi, intendano acquisire, a qualsiasi titolo, beni o servizi relativi alla progettazione, alla realizzazione, alla manutenzione e alla gestione delle attività di cui al comma 1, ovvero componenti ad alta intensità tecnologica funzionali alla predetta realizzazione o gestione, notificano, prima di procedere alla predetta acquisizione, alla Presidenza del Consiglio dei ministri un piano annuale nel quale sono contenuti: il settore interessato dalla notifica; dettagliati dati identificativi del soggetto notificante; il programma di acquisti; dettagliati dati identificativi dei relativi, anche potenziali, fornitori; descrizione dei beni, dei servizi e delle componenti ad alta intensità tecnologica funzionali alla progettazione, alla realizzazione, alla manutenzione e alla gestione delle attività di cui al comma 1; un'informativa completa sui contratti in corso e sulle prospettive di sviluppo della rete 5G, ovvero degli ulteriori sistemi e attivi di cui al comma 1; ogni ulteriore informazione funzionale a fornire un dettagliato quadro delle modalità di sviluppo dei sistemi di digitalizzazione del notificante, nonché dell'esatto adempimento alle condizioni e alle prescrizioni imposte a seguito di precedenti notifiche; un'informativa completa relativa alle eventuali comunicazioni effettuate ai sensi dell'articolo 1, comma 6, lettera a), del decreto-legge n. 105 del 2019, convertito, con modificazioni, dalla legge n. 133 del 2019, ai fini dello svolgimento delle verifiche di sicurezza da parte del Centro di valutazione e certificazione nazionale (CVCN), inclusiva dell'esito della valutazione, ove disponibile, e delle relative prescrizioni, qualora imposte. Con uno dei decreti di cui al comma 1, possono altresì essere individuati ulteriori contenuti del piano annuale, eventuali ulteriori criteri e modalità con cui procedere alla notifica del medesimo piano, oltre ad eventuali tipologie di attività escluse dall'obbligo di notifica, anche in considerazione delle ridotte dimensioni dell'operazione. Il piano di cui al presente comma include altresì l'informativa completa sui contratti o sugli accordi relativi ai servizi di comunicazione elettronica a banda larga basati sulla tecnologia 5G già autorizzati, in relazione ai quali resta ferma l'efficacia dei provvedimenti autorizzativi già adottati.

3. La notifica di cui di cui al comma 2 è trasmessa annualmente, prima di procedere all'attuazione del piano, salva la possibilità di aggiornare, previa notifica ai sensi del medesimo comma 2 alla Presidenza del Consiglio dei ministri, il piano medesimo in corso di anno, con cadenza quadrimestrale. Entro trenta giorni dalla notifica, con decreto del Presidente del Consiglio dei ministri, adottato su conforme delibera del Consiglio dei ministri, è approvato il piano annuale di cui al comma 2, previa eventuale imposizione di prescrizioni o condizioni, ovvero ne è negata l'approvazione con l'esercizio del potere di veto. Salvo diversa previsione nel decreto di approvazione del piano, rimane ferma l'efficacia dei decreti del Presidente del Consiglio dei ministri già adottati alla data di entrata in vigore del presente articolo. Se è necessario svolgere approfondimenti riguardanti aspetti tecnici anche relativi alla valutazione di possibili fattori di vulnerabilità, che potrebbero compromettere l'integrità e la sicurezza delle reti, dei dati che vi transitano o dei sistemi, il termine di trenta giorni di cui al secondo periodo può essere prorogato fino a venti giorni, prorogabili per una sola volta, di ulteriori venti giorni, in casi di particolare complessità. Se nel corso dell'istruttoria si rende necessario richiedere informazioni al notificante, tale termine è sospeso, per una sola volta, fino al ricevimento delle informazioni richieste, che sono rese entro il termine di dieci giorni. Se si rende necessario formulare richieste istruttorie a soggetti terzi, il predetto termine di trenta giorni è sospeso, per una sola volta, fino al ricevimento delle informazioni richieste, che sono rese entro il termine di venti giorni. Le richieste di informazioni al notificante e le richieste istruttorie a soggetti terzi successive alla prima non sospendono i termini. In caso di incompletezza della notifica, il termine di trenta giorni di cui al secondo periodo decorre dal ricevimento delle informazioni o degli elementi che la integrano. Decorsi i predetti termini, il piano si intende approvato.

4. I poteri speciali sono esercitati nella forma dell'imposizione di specifiche prescrizioni o condizioni ogniqualvolta ciò sia sufficiente ad assicurare la tutela degli interessi essenziali della difesa e della sicurezza nazionale. A tal fine, sono oggetto di valutazione anche gli elementi indicanti la presenza di fattori di vulnerabilità che potrebbero compromettere l'integrità e la sicurezza delle reti e dei dati che vi transitano, compresi quelli individuati sulla base dei principi e delle linee guida elaborati a livello internazionale e dall'Unione europea. Se le prescrizioni o condizioni non risultano sufficienti ad assicurare la tutela dei citati interessi, il Governo, tenendo conto dei contenuti del piano notificato, dell'obsolescenza, del costo e dei tempi di sostituzione degli apparati e dell'esigenza di non rallentare lo sviluppo della tecnologia 5G o di altre tecnologie nel Paese, nel rispetto dei principi di proporzionalità e adeguatezza, approva, in tutto o in parte, il piano per un periodo temporale, anche limitato, indicando un termine per l'eventuale sostituzione di determinati beni o servizi ovvero non approva il piano esercitando il potere di veto.

5. Salvo quanto previsto dal presente comma, se il soggetto notificante inizia l'esecuzione di contratti o accordi, successivamente alla data di entrata in vigore della presente disposizione, compresi nella notifica, prima che sia decorso il termine per l'approvazione del piano, il Governo può ingiungere all'impresa, stabilendo il relativo termine, di ripristinare a proprie spese la situazione anteriore all'esecuzione del predetto contratto o accordo. Salvo che il fatto costituisca reato, chiunque non osserva gli obblighi di notifica di cui al presente articolo ovvero le disposizioni contenute nel provvedimento di esercizio dei poteri speciali è soggetto alla sanzione amministrativa pecuniaria fino al tre per cento del fatturato del soggetto tenuto alla notifica. I contratti eventualmente stipulati in violazione delle prescrizioni o delle condizioni contenute nel provvedimento di esercizio dei poteri speciali sono nulli. Il Governo può altresì ingiungere all'impresa, stabilendo il relativo termine, di ripristinare a proprie spese la situazione anteriore alla violazione, applicando una sanzione amministrativa pecuniaria sino a un dodicesimo di quella prevista al secondo periodo per ogni mese di ritardo nell'adempimento, commisurata al ritardo. Analoga sanzione può essere applicata per il ritardo nell'adempimento dell'ingiunzione di cui al primo periodo. Nei casi di violazione degli obblighi di notifica di cui al presente articolo, anche in assenza della notifica, la Presidenza del Consiglio dei ministri può avviare d'ufficio il procedimento ai fini dell'eventuale esercizio dei poteri speciali. A tale scopo, trovano applicazione i termini e le norme procedurali previsti dal presente articolo. Il termine di trenta giorni di cui al comma 3 decorre dalla conclusione del procedimento di accertamento della violazione dell'obbligo di notifica.

6. Per l'esercizio dei poteri speciali di cui al presente articolo il gruppo di coordinamento per l'esercizio dei poteri speciali è composto dai rappresentanti della Presidenza del Consiglio dei ministri, del Ministero dello sviluppo economico, del Ministero dell'economia e delle finanze, del Ministero dell'interno, del Ministero della difesa, del Ministero degli affari esteri e della cooperazione internazionale, dal Ministro per l'innovazione tecnologica e la transizione digitale, ove previsto, nonché dai rappresentanti dell'Agenzia per la cybersicurezza nazionale. Il gruppo di coordinamento si avvale anche del Centro di valutazione e certificazione nazionale (CVCN) e delle articolazioni tecniche dei Ministeri dell'interno e della difesa, per le valutazioni tecniche della documentazione relativa al piano annuale di cui al comma 2, e ai suoi eventuali aggiornamenti, propedeutiche all'esercizio dei poteri speciali e relative ai beni e alle componenti ad alta intensità tecnologica funzionali alla progettazione, alla realizzazione, alla manutenzione e alla gestione delle attività di cui al comma 1 nonché ad altri possibili fattori di vulnerabilità che potrebbero compromettere l'integrità e la sicurezza delle reti, dei dati che vi transitano o dei sistemi.

7. Le attività di monitoraggio, tese alla verifica dell'osservanza delle prescrizioni e delle condizioni impartite con il provvedimento di esercizio dei poteri speciali, alla analisi della relativa adeguatezza e alla verifica dell'adozione di adeguate misure, anche tecnologiche, attuative delle medesime prescrizioni o condizioni sono svolte da un comitato composto da uno o più rappresentanti della Presidenza del Consiglio dei ministri, del Ministero dello sviluppo economico, del Ministero della difesa, del Ministro per l'innovazione tecnologica e la transizione digitale, o, se non nominato, della struttura della Presidenza del Consiglio dei ministri competente per l'innovazione tecnologica e la digitalizzazione, nonché dell'Agenzia per la cybersicurezza nazionale. Per le attività di monitoraggio, il comitato si avvale anche del Centro di valutazione e certificazione nazionale (CVCN), e delle articolazioni tecniche dei Ministeri dell'interno e della difesa. Ai lavori del comitato di monitoraggio possono essere chiamati a partecipare altri rappresentanti dei Ministeri di cui al comma 6. Al fine del concreto esercizio delle attività di monitoraggio il soggetto interessato comunica, con la periodicità indicata con il provvedimento di esercizio dei poteri speciali, ogni attività esecutiva posta in essere, ivi inclusa la stipulazione dei contratti ad essa riferiti, fornendo ogni opportuno dettaglio tecnico ed evidenziando le ragioni idonee ad assicurare la conformità della medesima al piano approvato ai sensi del comma 3. Il soggetto interessato trasmette altresì una relazione periodica semestrale sulle attività in corso. E' fatta salva la possibilità per il comitato di monitoraggio di disporre ispezioni e verifiche tecniche, anche con le modalità di cui all'articolo 2-bis, relativamente ai beni e alle componenti ad alta intensità tecnologica funzionali alla progettazione, alla realizzazione, alla manutenzione e alla gestione delle attività di cui al comma 1 nonché ad altri possibili fattori di vulnerabilità che potrebbero compromettere l'integrità e la sicurezza delle reti, dei dati che vi transitano o dei sistemi, oggetto del provvedimento di esercizio dei poteri speciali. L'inosservanza delle prescrizioni o delle condizioni contenute nel provvedimento di approvazione ovvero qualsiasi altra circostanza idonea a incidere sul provvedimento approvativo è segnalata al gruppo di coordinamento per l'esercizio dei poteri speciali di cui al comma 6, il quale può proporre al Consiglio dei ministri l'applicazione delle sanzioni previste dal comma 5, la revoca o la modifica del provvedimento autorizzativo e il divieto di esercizio delle attività funzionali alla progettazione, alla realizzazione, alla manutenzione e alla gestione delle attività di cui al comma 1.

8. Per le attività previste dal presente articolo ai componenti del gruppo di coordinamento di cui al comma 6 e a quelli del Comitato di monitoraggio di cui al comma 7 non spettano compensi, gettoni di presenza, rimborsi spese o altri emolumenti comunque denominati.

9. Con decreto del Presidente del Consiglio dei ministri, sentito il Gruppo di coordinamento costituito ai sensi del comma 6, anche in deroga all'articolo 17 della legge 23 agosto 1988, n. 400, possono essere individuate misure di semplificazione delle modalità di notifica, dei termini e delle procedure relativi all'istruttoria ai fini dell'eventuale esercizio dei poteri di cui al presente articolo.».

2. In sede di prima applicazione, il piano di cui al comma 2 dell'articolo 1-bis del citato decreto-legge n. 21 del 2012, convertito, con modificazioni, dalla legge n. 56 del 2012, modificato dal comma 1 del presente articolo, include altresì l'informativa completa sui contratti o sugli accordi relativi ai servizi di comunicazione elettronica a banda larga basati sulla tecnologia 5G già autorizzati. Ferma l'efficacia dei decreti del Presidente del Consiglio dei ministri già adottati ai sensi dell'articolo 1-bis del decreto-legge n. 21 del 2012, convertito, con modificazioni, dalla legge n. 56 del 2012, i procedimenti in corso alla data di entrata in vigore del presente decreto sono dichiarati estinti dal gruppo di coordinamento di cui al predetto articolo 1-bis e il relativo esame è effettuato in sede di valutazione del piano annuale, fermo restando quanto previsto dall'articolo 1-bis, commi 3 e 5, del decreto-legge n. 21 del 2012, convertito, con modificazioni, dalla legge n. 56 del 2012.

3. Il comma 10 dell'articolo 16 del decreto-legge 14 giugno 2021, n. 82, convertito, con modificazioni, dalla legge 4 agosto 2021, n. 109, è abrogato.