21-1-2019 GAZZETTA UFFICIALE DELLA REPUBBLICA ITALIANA Serie generale - n. 17 5. L’ISCTI inoltra tempestivamente le comunicazioni di cui ai commi 3 e 4 all’organo di cui all’art. 12, comma 6, del decreto legislativo 18 maggio 2018, n. 65. Art. 5. Incidenti significativi 1. I parametri che definiscono la significatività di un incidente di sicurezza sono la durata del disservizio e la percentuale degli utenti colpiti rispetto al totale degli utenti nazionali del servizio interessato. 2. In attuazione dei parametri di cui all’art. 3, comma 2, gli incidenti sono da considerarsi significativi, nei seguenti casi: a) durata superiore ad un’ora e percentuale degli utenti colpiti superiore al quindici per cento del totale degli utenti nazionali del servizio interessato; b) durata superiore a due ore e percentuale degli utenti colpiti superiore al dieci per cento del totale degli utenti nazionali del servizio interessato; c) durata superiore a quattro ore e percentuale degli utenti colpiti superiore al cinque per cento del totale degli utenti nazionali del servizio interessato; d) durata superiore a sei ore e percentuale degli utenti colpiti superiore al due per cento del totale degli utenti nazionali del servizio interessato; e) durata superiore ad otto ore e percentuale degli utenti colpiti superiore all’uno per cento del totale degli utenti nazionali del servizio interessato. 3. Nei casi di cui al comma 2, i fornitori di servizi di comunicazione elettronica segnalano tempestivamente l’incidente al CSIRT di cui all’art. 8 del decreto legislativo 18 maggio 2018, n. 65 e all’ISCTI. La comunicazione è effettuata entro ventiquattro ore dall’avvenuta rilevazione dell’incidente, con l’indicazione almeno delle seguenti informazioni, qualora disponibili: a) servizio interessato; b) durata dell’incidente qualora concluso, ovvero la stima della conclusione se ancora in corso; c) impatto stimato sull’utenza del servizio interessato in termini percentuali rispetto alla base di utenti nazionale per il medesimo servizio. 4. Entro cinque giorni dalla segnalazione di cui al comma 3, i fornitori di servizi di comunicazione elettronica trasmettono al CSIRT e all’ISCTI un rapporto in cui sono riportati: a) descrizione dell’incidente; b) causa dell’incidente quale, a titolo meramente esemplificativo ma non esaustivo, errore umano, guasto, fenomeno naturale, azioni malevoli, guasti causati da terze parti; c) conseguenze sul servizio fornito; d) infrastrutture e sistemi colpiti; e) impatto sulle interconnessioni a livello nazionale; f) azioni di risposta per mitigare l’impatto dell’incidente; g) azioni per ridurre la probabilità del ripetersi dell’incidente o di incidenti simili. Eventuali informazioni rilevanti emerse successivamente all’invio del suddetto rapporto saranno oggetto di un rapporto integrativo trasmesso con la massima sollecitudine al CSIRT e all’ISCTI. 6. L’ISCTI invia all’Agenzia ENISA e alla Commissione europea con periodicità annuale un report sugli incidenti segnalati, contenente le informazioni di cui ai commi 3 e 4, senza l’indicazione dei fornitori di reti e servizi di comunicazione elettronica interessati. 7. Nei casi in cui gli incidenti di cui al comma 3 possono avere un impatto su reti e servizi di un altro Stato membro, i fornitori di reti e servizi di comunicazione elettronica informano tempestivamente il CSIRT e l’ISCTI per la successiva notifica all’Agenzia ENISA e all’Autorità dello Stato membro interessato. Art. 6. Rispetto degli obblighi 1. Entro novanta giorni dall’entrata in vigore del presente decreto, i fornitori di reti e servizi di comunicazione elettronica trasmettono all’ISCTI l’elenco degli asset critici oggetto delle misure di cui all’art. 4, individuati secondo i criteri stabiliti nell’Allegato 1, e implementano tali misure nei successivi centoventi giorni. 2. Ai fini della valutazione del soddisfacimento delle misure definite nell’art. 4, comma 1 del presente decreto, l’ISCTI tiene conto anche dell’eventuale possesso di certificazioni di conformità a standard riconosciuti a livello internazionale che attestano l’applicazione di tali misure. 3. Al fine di verificare la corretta applicazione delle disposizioni contenute nel presente decreto, l’ISCTI può, autonomamente o su impulso dell’Autorità per le garanzie nelle comunicazioni, effettuare verifiche e controlli presso le sedi dei fornitori di reti e servizi di comunicazione elettronica, anche avvalendosi degli Ispettorati territoriali o di un organismo qualificato indipendente. Ai sensi dell’art. 16-ter, comma 2, lettera b), del decreto legislativo 1° agosto 2003, n. 259, i relativi oneri finanziari sono sostenuti dai fornitori di reti e servizi di comunicazione elettronica. Qualora dette attività ispettive siano eseguite da personale del Ministero dello sviluppo economico si applica un rimborso delle spese sostenute calcolato sulla base delle disposizioni contenute nel decreto 15 febbraio 2006 del Ministro delle comunicazioni di concerto con il Ministro dell’economia e delle finanze. 4. Qualora a seguito delle verifiche e dei controlli di cui al comma 3 venga riscontrata la mancata applicazione delle disposizioni del presente decreto, l’ISCTI diffida i fornitori di reti e servizi di comunicazione elettronica a regolarizzare la propria posizione entro un termine congruo decorso il quale, in caso di inottemperanza, trovano applicazione le sanzioni di cui all’art. 98, commi da 4 a 12, del decreto legislativo 1° agosto 2003, n. 259. — 8 —