Art. 21
Raccordi
1. Il CVCN assicura i raccordi con:
a) i CV, per verificare se l'oggetto di fornitura e' stato gia'
sottoposto a precedenti valutazioni o se sono in corso valutazioni
con l'obiettivo di assicurare il coordinamento delle attivita' e
garantire la massima convergenza e non duplicazione delle valutazioni
in presenza di medesime condizioni e livelli di rischio. I CV e il
CVCN alimentano e consultano la piattaforma informatica di cui
all'articolo 4, comma 1, lettera h), conformemente alle modalita'
indicate dall'articolo 6 del DPR;
b) i LAP, per affidare l'esecuzione dei test di cui all'articolo
5, comma 3, del DPR al LAP o ai LAP, nei casi in cui il CVCN intenda
avvalersene ai sensi dell'articolo 4, comma 7, del medesimo DPR. Il
CVCN e i LAP si raccordano secondo le modalita' di cui all'articolo 7
del DPR;
c) i CV e i LAP, per affidare l'esecuzione dei test al LAP o ai
LAP nei casi in cui i CV ritengano di non poter svolgere
autonomamente i test di cui all'articolo 5, comma 3, del DPR. In tal
caso, i CV comunicano l'esigenza al CVCN, fornendo le necessarie
informazioni, tra cui quelle relative ai LAP di cui intendono
avvalersi. Il CVCN affida, ai sensi dell'articolo 6, comma 4, lettera
a), del DPR, l'esecuzione dei test al LAP o ai LAP indicati dai CV e
comunica l'avvio dei test al soggetto incluso nel perimetro e al
fornitore. L'esecuzione dei test avviene conformemente all'articolo 7
del DPR. Al termine dei test il LAP o i LAP incaricati trasmettono al
CVCN, previa verifica ed eventuale espunzione da parte del CV
richiedente in caso di esistenza di dati non divulgabili ai fini
della tutela della sicurezza nazionale, il rapporto di prova entro i
termini fissati dall'articolo 7, comma 7, del DPR. Il CVCN inserisce
la documentazione di sintesi relativa ai rapporti di prova nella
piattaforma informatica di cui all'articolo 4, comma 1, lettera h). I
CV redigono il rapporto di valutazione conformemente all'articolo 8
del DPR.
2. Il CVCN assicura i raccordi di cui al comma 1 attraverso la
piattaforma informatica di cui all'articolo 4, comma 1, lettera h).
3. Il CVCN, con la determinazione tecnica di cui all'articolo 4,
comma 1, lettera e), numero 8), disciplina le modalita' esecutive
delle comunicazioni con i CV ed i termini tecnici ed organizzativi
mediante i quali i raccordi trovano effettiva applicazione. Il CVCN
con la determinazione tecnica di cui all'articolo 4, comma 1, lettera
e), numero 9), disciplina le modalita' esecutive delle comunicazioni
con i LAP ed i termini tecnici ed organizzativi mediante i quali i
raccordi trovano effettiva applicazione.
4. Le determinazioni tecniche di cui all'articolo 4, comma 1,
lettera e), sono aggiornati ogni qualvolta l'evoluzione delle
valutazioni e delle prove lo richiede.
Note all'art. 21:
- Si riporta il testo dell'articolo 4, comma 7,
dell'articolo 6 e dell'articolo 8, del citato decreto del
Presidente della Repubblica 5 febbraio 2021, n. 54:
«Art. 4 (Procedimento di verifica e valutazione). -
1.-6. (omissis)
7. Ai fini dello svolgimento delle attivita' di cui
al comma 2, lettera c), il CVCN puo' avvalersi di LAP e si
coordina, ove previsto, con i centri di valutazione del
Ministero dell'interno e del Ministero della difesa, ai
sensi dell'articolo 1, comma 7, lettera b), del
decreto-legge.».
«Art. 6 (Preparazione all'esecuzione dei test). - 1.
A seguito della comunicazione di cui al comma 9
dell'articolo 5, il CVCN e i CV verificano, attraverso una
piattaforma informatica operante presso il Ministero dello
sviluppo economico, se l'oggetto di fornitura e' stato gia'
sottoposto a precedenti valutazioni o se sono in corso
valutazioni, secondo le modalita' dell'articolo 7. Nel caso
in cui:
a) l'oggetto sia stato sottoposto a precedenti
valutazioni o sia in corso di valutazione, sono effettuate
le verifiche di cui al comma 2, finalizzate a evitare la
duplicazione di test eventualmente gia' eseguiti;
b) l'oggetto non sia stato sottoposto a precedenti
valutazioni e non sia in corso di valutazione, si procede
come descritto al comma 3.
2. Nei casi di cui al comma 1, lettera a), ferme
restando le condizioni di cui all'articolo 5, sull'oggetto
di valutazione non sono effettuati test nei casi in cui:
a) su tutte le funzioni di sicurezza necessarie per
soddisfare i requisiti di sicurezza di interesse nella
nuova valutazione siano stati eseguiti o siano in corso di
esecuzione sia i test di corretta implementazione di cui
all'articolo 5, comma 3, lettera a), sia i test di
intrusione di cui all'articolo 5, comma 3, lettera b);
b) i test di intrusione siano stati eseguiti o
siano in corso di esecuzione con riferimento a livelli di
severita' non inferiori a quelli selezionati per la
valutazione in corso.
3. Nei casi di cui al comma 1, lettera a), diversi
dal comma 2, ferme restando le condizioni di cui
all'articolo 5, il CVCN o i CV, se necessario in
collaborazione con il soggetto incluso nel perimetro,
identificano i test da eseguire escludendo quelli
precedentemente eseguiti o in corso di esecuzione.
4. Nei casi di cui al comma 1, lettera b), e di cui
al comma 3:
a) il CVCN puo' affidare l'esecuzione dei test ad
un laboratorio accreditato, informandone il soggetto
incluso nel perimetro e il fornitore;
b) il CVCN e i CV invitano il fornitore a
predisporre le attivita' preliminari all'esecuzione dei
test di cui all'articolo 5 e definiscono la sede in cui
svolgere tali attivita'.
5. Nei casi di cui al comma 2, il CVCN o i CV, ferma
restando la possibilita' di prevedere le prescrizioni di
utilizzo di cui all'articolo 8, comunicano al soggetto
incluso nel perimetro, e per conoscenza al fornitore, la
conclusione del procedimento.
6. Allo sviluppo e alla gestione della piattaforma di
cui al comma 1 si fa fronte con le risorse disponibili a
legislazione vigente.».
«Art. 8 (Esito della valutazione e prescrizioni di
utilizzo). - 1. Sulla base del rapporto di prova di cui
all'articolo 7, commi 6 e 7, il CVCN e i CV redigono il
rapporto di valutazione contenente l'esito dei test. Il
rapporto di valutazione e' comunicato al soggetto incluso
nel perimetro e al fornitore entro i termini di cui
all'articolo 4, comma 5.
2. In caso di esito negativo del rapporto di
valutazione, il CVCN e i CV, previa comunicazione dei
motivi ostativi all'accoglimento dell'istanza ai sensi
dell'articolo 10-bis della legge 7 agosto 1990, n. 241,
comunicano al soggetto incluso nel perimetro e al fornitore
il provvedimento negativo motivato.
3. Nel caso in cui l'esito di cui al comma 1 sia
positivo, il CVCN puo' imporre al soggetto incluso nel
perimetro prescrizioni per l'utilizzo dell'oggetto
dell'affidamento ai sensi dell'articolo 1, comma 7, lettera
b), del decreto-legge.
4. Le prescrizioni di cui al comma 3 possono
riguardare anche il mantenimento nel tempo del livello di
sicurezza nell'ambiente di esercizio.».
- Per il testo dell'articolo 5, comma 3, e
dell'articolo7, del citato decreto del Presidente della
Repubblica 5 febbraio 2021, n. 54 si veda nelle note
all'articolo 1.