21-1-2019 GAZZETTA UFFICIALE DELLA REPUBBLICA ITALIANA Art. 4. c) «sicurezza e integrità della rete»: condizioni che assicurano la disponibilità e continuità dei servizi di comunicazioni elettroniche forniti; d) «base di utenti nazionale»: il numero totale di utenti finali a livello nazionale per singolo servizio di comunicazioni elettroniche, da intendersi come: numero di accessi complessivi da rete fissa (sia voce che dati); numero complessivo delle SIM attive Human (per traffico voce e dati). 2. Per quanto non espressamente previsto dal comma 1, si applicano le definizioni del decreto legislativo 1° agosto 2003, n. 259, recante il «Codice delle comunicazioni elettroniche». Art. 2. Scopo del decreto 1. Il presente decreto attua le disposizioni degli articoli 16-bis e 16-ter del decreto legislativo 1° agosto 2003, n. 259, e, in particolare, persegue i seguenti obiettivi: a) individuare adeguate misure di natura tecnico organizzativa per la sicurezza e l’integrità delle reti e dei servizi di comunicazione elettronica, al fine di conseguire un livello di sicurezza delle reti adeguato al rischio esistente e di garantire la disponibilità e continuità dei servizi su tali reti, prevenendo e limitando gli impatti di incidenti che possono pregiudicare la sicurezza per gli utenti e per le reti interconnesse; b) definire i casi in cui le violazioni della rete o la perdita dell’integrità sono da considerarsi significative, ai fini della notifica da parte dei fornitori di reti e servizi di comunicazione alle competenti Autorità, nonché le relative modalità di tale notifica. Art. 3. Campo di applicazione 1. Il presente decreto si applica ai servizi di comunicazione elettronica di seguito riportati: a) accesso alla rete fissa o mobile da postazione fissa; b) accesso alla rete fissa o mobile da terminale mobile. 2. Il presente decreto si applica ai fornitori di reti e servizi di comunicazione elettronica che servono un numero di utenti effettivo pari o superiore all’1% della base di utenti nazionale per ciascun servizio di cui al comma 1, calcolato sulla base dei dati pubblicati dall’Osservatorio trimestrale delle comunicazioni a cura dell’Autorità per le garanzie nelle comunicazioni. Il presente decreto si applica altresì ai fornitori di reti e servizi di comunicazione elettronica che servono un numero di utenti effettivo pari o superiore ad un milione. Serie generale - n. 17 Misure di sicurezza e integrità delle reti 1. I fornitori di reti e servizi di comunicazione elettronica sono tenuti ad adottare le seguenti misure di sicurezza e integrità delle reti e dei servizi: a) politica di sicurezza approvata dalla Direzione aziendale: 1) predisporre una documentata politica relativamente alla sicurezza e alla integrità delle reti di comunicazione e dei servizi forniti; 2) definire una dettagliata politica di sicurezza per gli asset critici e i processi aziendali; 3) definire e mantenere aggiornata una politica di sicurezza per tutti gli aspetti elencati nelle successive lettere; b) gestione del rischio: 1) individuare i principali rischi per la sicurezza e l’integrità delle reti e dei servizi di comunicazione elettronica forniti, tenendo conto delle minacce che insistono sugli asset critici; 2) definire una metodologia di gestione dei rischi e utilizzare strumenti basati sugli standard di settore; 3) verificare l’effettivo utilizzo di tali metodologie e strumenti di gestione del rischio da parte del personale; 4) assicurarsi che i rischi residui, anche derivanti da vincoli realizzativi, siano minimizzati rispetto alla probabilità del verificarsi di incidenti significativi e che siano accettati dalla Direzione; c) struttura organizzativa: 1) identificare ruoli per il personale e le relative responsabilità in autonomia di esercizio; 2) conferire, con formale nomina, ruoli e responsabilità al personale; 3) assicurare la reperibilità, in caso di incidenti di sicurezza, del personale responsabile; d) servizi e prodotti forniti da terze parti: 1) definire i requisiti di sicurezza nei contratti con terze parti; 2) verificare il rispetto dei requisiti fissati nei contratti; 3) assicurare che i rischi residui che non sono gestiti dalla terza parte siano minimizzati rispetto alla probabilità del verificarsi di incidenti e che siano accettati dalla Direzione; 4) tenere traccia ed eventualmente gestire gli incidenti di sicurezza relativi a terze parti o da esse causati che si ripercuotono sulla rete o sul servizio erogato; e) formazione e gestione del personale: 1) definire un piano di formazione del personale; 2) prevedere un’adeguata ed aggiornata formazione del personale con ruoli di responsabilità; 3) organizzare corsi di formazione e sessioni di sensibilizzazione per tutto il personale; 4) verificare le conoscenze acquisite dal personale; 5) definire appropriate procedure per gestire le nuove assunzioni e la rotazione del personale che ricopre ruoli di responsabilità; — 6 —