9-6-2018 GAZZETTA UFFICIALE DELLA REPUBBLICA ITALIANA EMANA il seguente decreto legislativo: Capo I DISPOSIZIONI GENERALI Art. 1. Oggetto e ambito di applicazione 1. Il presente decreto stabilisce misure volte a conseguire un livello elevato di sicurezza della rete e dei sistemi informativi in ambito nazionale, contribuendo ad incrementare il livello comune di sicurezza nell’Unione europea. 2. Ai fini del comma 1, il presente decreto prevede: a) l’inclusione nella strategia nazionale di sicurezza cibernetica di previsioni in materia di sicurezza delle reti e dei sistemi informativi rientranti nell’ambito di applicazione del presente decreto; b) la designazione delle autorità nazionali competenti e del punto di contatto unico, nonché del Gruppo di intervento per la sicurezza informatica in caso di incidente (CSIRT) in ambito nazionale per lo svolgimento dei compiti di cui all’allegato I; c) il rispetto di obblighi da parte degli operatori di servizi essenziali e dei fornitori di servizi digitali relativamente all’adozione di misure di sicurezza e di notifica degli incidenti con impatto rilevante; d) la partecipazione nazionale al gruppo di cooperazione europeo, nell’ottica della collaborazione e dello scambio di informazioni tra Stati membri dell’Unione europea, nonché dell’incremento della fiducia tra di essi; e) la partecipazione nazionale alla rete CSIRT nell’ottica di assicurare una cooperazione tecnico-operativa rapida ed efficace. 3. Le disposizioni in materia di misure di sicurezza e di notifica degli incidenti di cui al presente decreto non si applicano alle imprese soggette agli obblighi di cui agli articoli 16-bis e 16-ter del decreto legislativo 1° agosto 2003, n. 259, né ai prestatori di servizi fiduciari soggetti agli obblighi di cui all’articolo 19 del regolamento (UE) n. 910/2014. 4. Il presente decreto si applica fatto salvo quanto previsto dal decreto legislativo 11 aprile 2011, n. 61, e dalla direttiva 2013/40/UE relativa agli attacchi contro i sistemi di informazione e che sostituisce la decisione quadro 2005/222/GAI, del Consiglio. 5. Fatto salvo quanto previsto dall’articolo 346 del trattato sul funzionamento dell’Unione europea, le informazioni riservate secondo quanto disposto dalla normativa dell’Unione europea e nazionale, in particolare per quanto concerne la riservatezza degli affari, sono scambiate con la Commissione europea e con altre autorità competenti NIS solo nella misura in cui tale scambio sia necessario ai fini dell’applicazione del presente decreto. Le informazioni scambiate sono pertinenti e commisurate Serie generale - n. 132 allo scopo. Lo scambio di informazioni ne tutela la riservatezza e protegge la sicurezza e gli interessi commerciali degli operatori di servizi essenziali e dei fornitori di servizi digitali. 6. Il presente decreto lascia impregiudicate le misure adottate per salvaguardare le funzioni essenziali dello Stato, in particolare di tutela della sicurezza nazionale, comprese le misure volte a tutelare le informazioni, nei casi in cui la divulgazione sia ritenuta contraria agli interessi essenziali di sicurezza e di mantenimento dell’ordine pubblico, in particolare a fini di indagine, accertamento e perseguimento di reati. 7. Qualora gli obblighi previsti per gli operatori di servizi essenziali o i fornitori di servizi digitali di assicurare la sicurezza delle loro reti e dei loro sistemi informativi o di notificare gli incidenti siano oggetto di uno specifico atto giuridico dell’Unione europea, si applicano le disposizioni di detto atto giuridico nella misura in cui gli effetti di tali obblighi siano almeno equivalenti a quelli degli obblighi di cui al presente decreto. Art. 2. Trattamento dei dati personali 1. Il trattamento dei dati personali in applicazione del presente decreto è effettuato ai sensi del decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni. Art. 3. Definizioni 1. Ai fini del presente decreto si intende per: a) autorità competente NIS, l’autorità competente per settore, in materia di sicurezza delle reti e dei sistemi informativi, di cui all’articolo 7, comma 1; b) CSIRT, gruppo di intervento per la sicurezza informatica in caso di incidente, di cui all’articolo 8; c) punto di contatto unico, l’organo incaricato a livello nazionale di coordinare le questioni relative alla sicurezza delle reti e dei sistemi informativi e la cooperazione transfrontaliera a livello di Unione europea; d) autorità di contrasto, l’organo centrale del Ministero dell’interno per la sicurezza e per la regolarità dei servizi di telecomunicazione, di cui all’articolo 7-bis del decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n.155; e) rete e sistema informativo: 1) una rete di comunicazione elettronica ai sensi dell’articolo 1, comma 1, lettera dd), del decreto legislativo 1° agosto 2003, n. 259; 2) qualsiasi dispositivo o gruppo di dispositivi interconnessi o collegati, uno o più dei quali eseguono, in base ad un programma, un trattamento automatico di dati digitali; 3) i dati digitali conservati, trattati, estratti o trasmessi per mezzo di reti o dispositivi di cui ai numeri 1) e 2), per il loro funzionamento, uso, protezione e manutenzione; — 2 —