se del caso, anche prescrizioni di utilizzo al committente; a tali
fini il CVCN si avvale anche di laboratori dallo stesso accreditati
secondo criteri stabiliti da un decreto del Presidente del Consiglio
dei ministri, adottato entro dieci mesi dalla data di entrata in
vigore della legge di conversione del presente decreto, su proposta
del CISR, impiegando, per le esigenze delle amministrazioni centrali
dello Stato, quelli eventualmente istituiti, senza nuovi o maggiori
oneri a carico della finanza
pubblica,
presso
le
medesime
amministrazioni;
c) elabora e adotta, previo conforme avviso dell'organismo
tecnico di supporto al CISR, schemi di certificazione cibernetica,
laddove, per ragioni di sicurezza nazionale,
gli
schemi
di
certificazione esistenti non siano ritenuti adeguati alle esigenze di
tutela del perimetro di sicurezza nazionale cibernetica.
8. I soggetti di cui agli articoli 12 e 14 del decreto legislativo
18 maggio 2018, n. 65, e quelli di cui all'articolo 16-ter, comma 2,
del codice delle comunicazioni elettroniche di cui al decreto
legislativo 1° agosto 2003, n. 259, inclusi nel perimetro di
sicurezza nazionale cibernetica:
a) osservano le misure di sicurezza previste, rispettivamente,
dai predetti decreti legislativi, ove di livello almeno equivalente a
quelle adottate ai sensi del comma 3, lettera b), del presente
articolo; le eventuali misure aggiuntive necessarie al fine di
assicurare i livelli di sicurezza previsti dal presente decreto sono
definite dalla Presidenza del Consiglio dei ministri, per i soggetti
pubblici e per quelli di cui all'articolo 29 del codice di cui al
decreto legislativo 7 marzo 2005, n. 82, individuati ai sensi del
comma 2, lettera a), del presente articolo, e dal Ministero dello
sviluppo economico per i soggetti privati di cui alla medesima
lettera, avvalendosi anche del CVCN; il Ministero dello sviluppo
economico e la Presidenza del Consiglio dei ministri si raccordano,
ove necessario, con le autorita' competenti di cui all'articolo 7 del
decreto legislativo 18 maggio 2018, n. 65;
b) assolvono l'obbligo di notifica di cui al comma 3, lettera a),
che costituisce anche adempimento, rispettivamente, dell'obbligo di
notifica di cui agli articoli 12 e 14 del decreto legislativo 18
maggio 2018, n. 65, e dell'analogo obbligo previsto ai sensi
dell'articolo 16-ter del codice di cui al decreto legislativo 1°
agosto 2003, n. 259, e delle correlate disposizioni attuative; a tal
fine, oltre a quanto previsto dal comma 3, lettera a), anche in
relazione alle disposizioni di cui all'articolo 16-ter del codice di
cui al decreto legislativo 1° agosto 2003, n. 259, il CSIRT italiano
inoltra le notifiche ricevute ai sensi del predetto comma 3, lettera
a), all'autorita' competente di cui all'articolo 7 del decreto
legislativo 18 maggio 2018, n. 65.
9. Salvo che il fatto costituisca reato:
a) il mancato adempimento degli obblighi di predisposizione e di
aggiornamento dell'elenco delle reti, dei sistemi informativi e dei