19-3-2013 GAZZETTA UFFICIALE DELLA REPUBBLICA ITALIANA e procedure di azione secondo un approccio interdisciplinare e coordinato, su più livelli, che coinvolga tutti gli attori pubblici, ferme restando le attribuzioni previste dalla normativa vigente per ciascuno di essi, nonché gli operatori privati interessati; Ritenuto altresì necessario creare le condizioni, attraverso la definizione e precisazione di compiti ed attività delle diverse componenti istituzionali ed anche con l’individuazione di organi nazionali di riferimento per la sicurezza cibernetica in grado di interagire con le corrispondenti autorità estere, affinché l’Italia possa partecipare pienamente ai diversi consessi di cooperazione internazionale, sia in ambito bilaterale e multilaterale, sia dell’UE e della NATO; Considerato l’attuale quadro legislativo, improntato alla distribuzione di funzioni e compiti aventi rilievo per la sicurezza cibernetica tra molteplici soggetti istituzionali competenti nelle diverse fasi della prevenzione degli eventi dannosi nello spazio cibernetico; dell’elaborazione di linee guida e standard tecnici di sicurezza; della difesa dello Stato da attacchi nello spazio cibernetico; della prevenzione e repressione dei crimini informatici; della preparazione e della risposta nei confronti di eventi cibernetici; Ritenuto che, sulla base del citato dato normativo, la definizione di un quadro strategico nazionale in materia di sicurezza cibernetica debba procedere secondo un percorso di graduale e progressiva razionalizzazione di ruoli, strumenti e procedure con l’obiettivo di accrescere la capacità del Paese di assicurare la sicurezza dello spazio cibernetico, ove necessario anche con interventi di carattere normativo; Ritenuto che, nell’immediato, debbano essere create le condizioni perché, a legislazione vigente, possa essere sviluppata un’azione integrata che metta a fattor comune le diverse attribuzioni istituzionali delineate dal quadro normativo, ed inoltre assicuri, in una logica di partenariato, il pieno apporto, nel rispetto di quanto previsto dalla normativa vigente, anche delle competenze proprie degli operatori privati, interessati alla gestione di sistemi e reti di interesse strategico; Ravvisata a tali fini la necessità di impartire indirizzi affinché venga a delinearsi un’architettura istituzionale basata sulla chiara individuazione dei soggetti chiamati ad intervenire e dei compiti ad essi affidati, nel rispetto delle competenze già attribuite dalla legge alle diverse componenti e dei meccanismi di interazione tra di esse; Ritenuto che tale architettura debba svilupparsi su tre distinti livelli d’intervento, di cui il primo di indirizzo politico e coordinamento strategico, cui affidare l’individuazione degli obiettivi funzionali a garantire la protezione cibernetica e la sicurezza informatica nazionali, anche attraverso l’elaborazione di un Piano nazionale per la sicurezza dello spazio cibernetico, e che tale livello debba anche sovraintendere allo studio e alla predisposizione di proposte di intervento normativo che agevolino il raggiungimento dei citati obiettivi; il secondo di supporto, a carattere permanente, con funzioni di raccordo nei confronti di tutte le Amministrazioni ed enti competenti, ai fini dell’attuazione degli obiettivi e delle linee di azione indicate dalla pianificazione nazionale e che provveda, al Serie generale - n. 66 contempo, a programmare l’attività operativa a livello interministeriale e ad attivare le procedure di allertamento in caso di crisi; il terzo livello, di gestione delle crisi, con il compito di curare e coordinare le attività di risposta e di ripristino della funzionalità dei sistemi, avvalendosi di tutte le componenti interessate; Ritenuto che, nel quadro del livello di supporto all’attuazione della pianificazione nazionale, debbano essere disciplinate in maniera peculiare, tenuto conto della loro specificità, le attività di informazione per la sicurezza con l’obiettivo di potenziare le attività di ricerca informativa e di analisi finalizzate a rafforzare la protezione cibernetica e la sicurezza informatica, facendo ricorso agli strumenti ed alle procedure di cui alla legge n. 124/2007 e, in particolare, alle direttive del Presidente del Consiglio ai sensi dell’art. 1, comma 3-bis; Ritenuto che il modello organizzativo-funzionale così delineato debba assicurare il pieno raccordo, in particolare, con le funzioni del Ministero dello sviluppo economico e dell’Agenzia per l’Italia digitale, nonché con l’attività e le strutture di difesa dello spazio cibernetico del Ministero della difesa, con quelle del Ministero dell’interno, dedicate alla prevenzione e al contrasto del crimine informatico e alla difesa civile, e con quelle della protezione civile; Considerato che la legge attribuisce al Comitato interministeriale per la sicurezza della Repubblica (CISR) di cui all’articolo 5 della legge n. 124/2007 compiti di consulenza, proposta e deliberazione sugli indirizzi e sulle finalità generali della politica dell’informazione per la sicurezza, nonché di elaborazione degli indirizzi generali e degli obiettivi fondamentali da perseguire nel quadro della politica dell’informazione per la sicurezza e che, in particolare, ai sensi dell’art. 1, comma 3-bis, della predetta legge, introdotto dalla legge n. 133/2012, il CISR è sentito ai fini dell’adozione da parte del Presidente del Consiglio dei ministri delle direttive in materia di sicurezza cibernetica; Ravvisata l’esigenza di dover assicurare, nella materia della sicurezza cibernetica, un solido e affidabile meccanismo di raccordo tra la politica dell’informazione per la sicurezza e gli altri ambiti di azione che vengono in rilievo nella specifica materia, e di dovere per questo concentrare in un unico organismo interministeriale l’organo di indirizzo politico e di coordinamento strategico nel campo della sicurezza cibernetica; Ritenuto in considerazione dei compiti attribuiti dalla legge al CISR e della composizione del Comitato, di individuare tale organismo interministeriale nello stesso CISR, attribuendogli, ai sensi dell’art. 5, comma 2, lett. h) della legge 23 agosto 1988, n. 400, i compiti suindicati; Ritenuto che il CISR, nell’esercizio delle citate funzioni, debba essere adeguatamente e costantemente supportato da una attività istruttoria, di approfondimento e di valutazione e che a tali fini il Comitato interministeriale possa avvalersi dell’organismo collegiale di coordinamento istituito presso il DIS, ai sensi dell’art. 4, comma 5, del DPCM 26 ottobre 2012, n. 2, recante l’organizzazione ed il funzionamento del Dipartimento delle informazione per la sicurezza; — 2 —