Pubblicato in Gazzetta Ufficiale il decreto che stabilisce misure volte ad adeguare la normativa nazionale al nuovo quadro europeo di certificazione della cybersicurezza, introdotte dal regolamento (UE) 2019/881.
La nuova normativa prevede:
- l’individuazione dell’autorità di certificazione della cybersicurezza in Italia in base ai compiti ed ai poteri ad essa attribuiti in materia di vigilanza e di rilascio dei certificati in riferimento al quadro europeo di certificazione;
- le modalità di cooperazione dell’autorità con le altre autorità pubbliche nazionali ed europee e con l’Organismo di accreditamento;
- la definizione di un sistema sanzionatorio applicabile in caso di violazione delle norme del quadro europeo di certificazione.
L’Agenzia per la cybersicurezza nazionale è l’autorità nazionale di certificazione e vigilanza in ambito di sicurezza digitale. Questa opera anche in collaborazione con altre autorità di vigilanza del mercato competenti in Italia e con le autorità di vigilanza degli altri Stati membri nonché con le Forze dell’ordine.
L’Agenzia può effettuare indagini ed audit, revocare certificati, irrogare sanzioni pecuniarie ed accessorie e può prevedere prelievi di prodotti. Il rilascio dei certificati avviene tramite l’Organismo di Certificazione della Sicurezza Informatica (OCSI).
In un sistema di certificazione in cui è autorizzata l’autovalutazione di conformità i fornitori o fabbricanti di prodotti TIC, servizi TIC o processi TIC possono rilasciare sotto la propria responsabilità dichiarazioni UE di conformità di livello di base per dimostrare il rispetto di requisiti tecnici previsti nel sistema.
Ove l’Agenzia accerti la non conformità di una dichiarazione UE di conformità in esito alle attività di vigilanza è fatto obbligo al fabbricante o fornitore emittente di revisionare o revocare la dichiarazione UE di conformità entro trenta giorni dandone comunicazione all’Agenzia e all’ENISA, salvo diversa disposizione dello specifico sistema di certificazione.
In caso di violazione di tali obblighi, oltre al procedimento penale, il decreto prevede che:
- l’organismo di valutazione della conformità che emette un certificato di cybersicurezza non conforme è punito con la sanzione del pagamento di una somma da 15.000 euro a 75.000 euro. In caso di omessa revoca di un certificato da parte dell’organismo su richiesta dell’Agenzia, la sanzione diventa pari a una somma da 30.000 euro a 150.000 euro;
- il fabbricante o fornitore che emette una dichiarazione UE di conformità volontaria non conforme è punito con la sanzione del pagamento di una somma da 15.000 euro a 75.000 euro. In caso di omessa revisione o revoca di dichiarazione UE di conformità volontaria o obbligatoria si applica la sanzione del pagamento di una somma da 30.000 euro a 150.000 euro.
