Art. 29
Rafforzamento della disciplina cyber
1. Al fine di prevenire pregiudizi alla sicurezza delle reti, dei
sistemi informativi e dei servizi informatici delle amministrazioni
pubbliche di cui all'articolo 1, comma 2, del decreto legislativo 30
marzo 2001, n. 165, derivanti dal rischio che le aziende produttrici
di prodotti e servizi tecnologici di sicurezza informatica legate
alla Federazione Russa non siano in grado di fornire servizi e
aggiornamenti ai propri prodotti appartenenti alle categorie
individuate al comma 3, in conseguenza della crisi in Ucraina,
nonche' al fine di prevenire possibili pregiudizi per la sicurezza
nazionale nello spazio cibernetico, le medesime amministrazioni
procedono tempestivamente alla diversificazione dei prodotti in uso.
2. Fermo restando quanto previsto dall'articolo 1, comma 2, lettera
a), del decreto-legge 16 luglio 2020, n. 76, convertito, con
modificazioni, dalla legge 11 settembre 2020, n. 120, le stazioni
appaltanti, che procedono ai sensi del comma 1, provvedono
all'acquisto di un ulteriore prodotto o servizio tecnologico di
sicurezza informatica di cui al comma 3 e connessi servizi di
supporto mediante gli strumenti di acquisto messi a disposizione
dalle centrali di committenza, ovvero, laddove non sussistano o non
siano comunque disponibili nell'ambito di tali strumenti, mediante la
procedura negoziata senza previa pubblicazione del bando di cui
all'articolo 63 del codice dei contratti pubblici, di cui al decreto
legislativo 18 aprile 2016, n. 50, anche in deroga a quanto disposto
dal comma 6, secondo periodo, del medesimo articolo 63.
2-bis. Al fine di garantire l'effettiva tempestivita' delle misure
di cui ai commi 1 e 2:
a) le centrali di committenza di cui al comma 2, tramite gli
organismi di direzione tecnica previsti per ciascuna convenzione o
accordo quadro che abbia ad oggetto la fornitura di servizi e di
prodotti atti a sostituire quelli di cui al comma 1, consentono
l'aggiornamento delle offerte mediante l'inserimento di ulteriori
prodotti idonei alle finalita' di cui al presente articolo, di cui
sia valutata la sostenibilita' e che contribuiscano al conseguimento
dell'autonomia tecnologica nazionale ed europea;
b) all'articolo 31-bis, comma 1, del decreto-legge 16 luglio
2020, n. 76, convertito, con modificazioni, dalla legge 11 settembre
2020, n. 120, le parole: «e che alla medesima data risultino
esauriti» sono soppresse.
3. Ai fini di cui al comma 1, e' adottata apposita circolare da
parte dell'Agenzia per la cybersicurezza nazionale, anche sulla base
degli elementi forniti nell'ambito del Nucleo per la cybersicurezza
di cui all'articolo 8, comma 1, del decreto-legge 14 giugno 2021, n.
82, convertito, con modificazioni, dalla legge 4 agosto 2021, n. 109,
nella composizione di cui al comma 4 del medesimo articolo 8, nella
quale sono altresi' indicate, ferma restando la responsabilita' di
ciascuna amministrazione, le principali raccomandazioni procedurali.
Nella predetta circolare sono ricomprese, in particolare, le
categorie di prodotti e servizi, ivi incluse le relative aziende
produttrici o fornitrici, di cui al comma 1, tra quelle volte ad
assicurare le seguenti funzioni di sicurezza:
a) sicurezza dei dispositivi (endpoint security), ivi compresi
applicativi antivirus, antimalware ed «endpoint detection and
response» (EDR);
b) «web application firewall» (WAF).
4. Dall'attuazione dei commi 1, 2 e 3 non derivano effetti che
possano costituire presupposto per l'azione di responsabilita' di cui
all'articolo 1 della legge 14 gennaio 1994, n. 20. Le amministrazioni
interessate provvedono agli adempimenti previsti dai commi 1, 2 e 3
con le risorse umane, finanziarie e strumentali disponibili a
legislazione vigente.
5. All'articolo 5, comma 1, del decreto-legge 21 settembre 2019, n.
105, convertito, con modificazioni, dalla legge 18 novembre 2019, n.
133, dopo le parole «fattore di rischio o alla sua mitigazione,» sono
inserite le seguenti: «in deroga ad ogni disposizione vigente, nel
rispetto dei principi generali dell'ordinamento giuridico e» e dopo
il primo periodo sono aggiunti i seguenti: «Laddove nelle
determinazioni di cui al presente comma sia recata deroga alle leggi
vigenti anche ai fini delle ulteriori necessarie misure correlate
alla disattivazione o all'interruzione, le stesse determinazioni
devono contenere l'indicazione delle principali norme a cui si
intende derogare e tali deroghe devono essere specificamente
motivate. Le determinazioni di cui al presente comma non sono
soggette al controllo preventivo di legittimita' di cui all'articolo
3 della legge 14 gennaio 1994, n. 20.».
6. Al fine di consentire il piu' rapido avvio delle attivita'
strumentali alla tutela della sicurezza nazionale nello spazio
cibernetico, all'articolo 12 del decreto-legge 14 giugno 2021, n. 82,
convertito, con modificazioni, dalla legge 4 agosto 2021, n. 109,
dopo il comma 8 e' aggiunto il seguente: «8-bis. In relazione alle
assunzioni a tempo determinato di cui al comma 2, lettera b), i
relativi contratti per lo svolgimento delle funzioni volte alla
tutela della sicurezza nazionale nello spazio cibernetico attribuite
all'Agenzia possono prevedere una durata massima di quattro anni,
rinnovabile per periodi non superiori ad ulteriori complessivi
quattro anni. Delle assunzioni e dei rinnovi disposti ai sensi del
presente comma e' data comunicazione al COPASIR nell'ambito della
relazione di cui all'articolo 14, comma 2.».
Riferimenti normativi
- Si riporta il testo dell'articolo 1, del decreto
legislativo 30 marzo 2001, n.165, recante norme generali
sull'ordinamento del lavoro alle dipendenze delle
amministrazioni pubbliche:
«Art. 1 (Finalita' ed ambito di applicazione). - 1.
Le disposizioni del presente decreto disciplinano
l'organizzazione degli uffici e i rapporti di lavoro e di
impiego alle dipendenze delle amministrazioni pubbliche,
tenuto conto delle autonomie locali e di quelle delle
regioni e delle province autonome, nel rispetto
dell'articolo 97, comma primo, della Costituzione, al fine
di:
a) accrescere l'efficienza delle amministrazioni in
relazione a quella dei corrispondenti uffici e servizi dei
Paesi dell'Unione europea, anche mediante il coordinato
sviluppo di sistemi informativi pubblici;
b) razionalizzare il costo del lavoro pubblico,
contenendo la spesa complessiva per il personale, diretta e
indiretta, entro i vincoli di finanza pubblica;
c) realizzare la migliore utilizzazione delle
risorse umane nelle pubbliche amministrazioni, assicurando
la formazione e lo sviluppo professionale dei dipendenti,
applicando condizioni uniformi rispetto a quelle del lavoro
privato, garantendo pari opportunita' alle lavoratrici ed
ai lavoratori nonche' l'assenza di qualunque forma di
discriminazione e di violenza morale o psichica.
2. Per amministrazioni pubbliche si intendono tutte
le amministrazioni dello Stato, ivi compresi gli istituti e
scuole di ogni ordine e grado e le istituzioni educative,
le aziende ed amministrazioni dello Stato ad ordinamento
autonomo, le Regioni, le Province, i Comuni, le Comunita'
montane, e loro consorzi e associazioni, le istituzioni
universitarie, gli Istituti autonomi case popolari, le
Camere di commercio, industria, artigianato e agricoltura e
loro associazioni, tutti gli enti pubblici non economici
nazionali, regionali e locali, le amministrazioni, le
aziende e gli enti del Servizio sanitario nazionale,
l'Agenzia per la rappresentanza negoziale delle pubbliche
amministrazioni (ARAN) e le Agenzie di cui al decreto
legislativo 30 luglio 1999, n. 300. Fino alla revisione
organica della disciplina di settore, le disposizioni di
cui al presente decreto continuano ad applicarsi anche al
CONI.
3. Le disposizioni del presente decreto costituiscono
principi fondamentali ai sensi dell'articolo 117 della
Costituzione. Le Regioni a statuto ordinario si attengono
ad esse tenendo conto delle peculiarita' dei rispettivi
ordinamenti. I principi desumibili dall'articolo 2 della
legge 23 ottobre 1992, n. 421, e successive modificazioni,
e dall'articolo 11, comma 4, della legge 15 marzo 1997, n.
59, e successive modificazioni ed integrazioni,
costituiscono altresi', per le Regioni a statuto speciale e
per le province autonome di Trento e di Bolzano, norme
fondamentali di riforma economico-sociale della
Repubblica.».
- Si riporta il testo dell'articolo 1, del
decreto-legge 16 luglio 2020, n.76, convertito, con
modificazioni, dalla legge 11 settembre 2020, n.120 recante
misure urgenti per la semplificazione e l'innovazione
digitale:
«Art. 1 (Procedure per l'incentivazione degli
investimenti pubblici durante il periodo emergenziale in
relazione all'aggiudicazione dei contratti pubblici sotto
soglia). - 1. Al fine di incentivare gli investimenti
pubblici nel settore delle infrastrutture e dei servizi
pubblici, nonche' al fine di far fronte alle ricadute
economiche negative a seguito delle misure di contenimento
e dell'emergenza sanitaria globale del COVID-19, in deroga
agli articoli 36, comma 2, e 157, comma 2, del decreto
legislativo 18 aprile 2016, n. 50, recante Codice dei
contratti pubblici, si applicano le procedure di
affidamento di cui ai commi 2, 3 e 4, qualora la determina
a contrarre o altro atto di avvio del procedimento
equivalente sia adottato entro il 30 giugno 2023. In tali
casi, salve le ipotesi in cui la procedura sia sospesa per
effetto di provvedimenti dell'autorita' giudiziaria,
l'aggiudicazione o l'individuazione definitiva del
contraente avviene entro il termine di due mesi dalla data
di adozione dell'atto di avvio del procedimento, aumentati
a quattro mesi nei casi di cui al comma 2, lettera b). Il
mancato rispetto dei termini di cui al secondo periodo, la
mancata tempestiva stipulazione del contratto e il tardivo
avvio dell'esecuzione dello stesso possono essere valutati
ai fini della responsabilita' del responsabile unico del
procedimento per danno erariale e, qualora imputabili
all'operatore economico, costituiscono causa di esclusione
dell'operatore dalla procedura o di risoluzione del
contratto per inadempimento che viene senza indugio
dichiarata dalla stazione appaltante e opera di diritto.
2. Fermo quanto previsto dagli articoli 37 e 38 del
decreto legislativo n. 50 del 2016, le stazioni appaltanti
procedono all'affidamento delle attivita' di esecuzione di
lavori, servizi e forniture, nonche' dei servizi di
ingegneria e architettura, inclusa l'attivita' di
progettazione, di importo inferiore alle soglie di cui
all'articolo 35 del decreto legislativo n. 50 del 2016
secondo le seguenti modalita':
a) affidamento diretto per lavori di importo
inferiore a 150.000 euro e per servizi e forniture, ivi
compresi i servizi di ingegneria e architettura e
l'attivita' di progettazione, di importo inferiore a
139.000 euro. In tali casi la stazione appaltante procede
all'affidamento diretto, anche senza consultazione di piu'
operatori economici, fermi restando il rispetto dei
principi di cui all'articolo 30 del codice dei contratti
pubblici di cui al decreto legislativo 18 aprile 2016, n.
50, e l'esigenza che siano scelti soggetti in possesso di
pregresse e documentate esperienze analoghe a quelle
oggetto di affidamento, anche individuati tra coloro che
risultano iscritti in elenchi o albi istituiti dalla
stazione appaltante, comunque nel rispetto del principio di
rotazione;
a-bis) nelle aree del cratere sismico di cui agli
allegati 1, 2 e 2-bis al decreto-legge 17 ottobre 2016, n.
189, convertito, con modificazioni, dalla legge 15 dicembre
2016, n. 229, affidamento diretto delle attivita' di
esecuzione di lavori, servizi e forniture nonche' dei
servizi di ingegneria e architettura, compresa l'attivita'
di progettazione, di importo inferiore a 150.000 euro, fino
al termine delle attivita' di ricostruzione pubblica
previste dall'articolo 14 del citato decreto-legge n. 189
del 2016;
b) procedura negoziata, senza bando, di cui
all'articolo 63 del decreto legislativo n. 50 del 2016,
previa consultazione di almeno cinque operatori economici,
ove esistenti, nel rispetto di un criterio di rotazione
degli inviti, che tenga conto anche di una diversa
dislocazione territoriale delle imprese invitate,
individuati in base ad indagini di mercato o tramite
elenchi di operatori economici, per l'affidamento di
servizi e forniture, ivi compresi i servizi di ingegneria e
architettura e l'attivita' di progettazione, di importo
pari o superiore a 139.000 euro e fino alle soglie di cui
all'articolo 35 del decreto legislativo n. 50 del 2016 e di
lavori di importo pari o superiore a 150.000 euro e
inferiore a un milione di euro, ovvero di almeno dieci
operatori per lavori di importo pari o superiore a un
milione di euro e fino alle soglie di cui all'articolo 35
del decreto legislativo n. 50 del 2016. Le stazioni
appaltanti danno evidenza dell'avvio delle procedure
negoziate di cui alla presente lettera tramite
pubblicazione di un avviso nei rispettivi siti internet
istituzionali. L'avviso sui risultati della procedura di
affidamento, la cui pubblicazione nel caso di cui alla
lettera a) non e' obbligatoria per affidamenti inferiori ad
euro 40.000, contiene anche l'indicazione dei soggetti
invitati.
3. Gli affidamenti diretti possono essere realizzati
tramite determina a contrarre, o atto equivalente, che
contenga gli elementi descritti nell'articolo 32, comma 2,
del decreto legislativo n. 50 del 2016. Per gli affidamenti
di cui al comma 2, lettera b), le stazioni appaltanti,
fermo restando quanto previsto dall'articolo 95, comma 3,
del decreto legislativo 18 aprile 2016, n. 50, nel rispetto
dei principi di trasparenza, di non discriminazione e di
parita' di trattamento, procedono, a loro scelta,
all'aggiudicazione dei relativi appalti, sulla base del
criterio dell'offerta economicamente piu' vantaggiosa
ovvero del prezzo piu' basso. Nel caso di aggiudicazione
con il criterio del prezzo piu' basso, le stazioni
appaltanti procedono all'esclusione automatica dalla gara
delle offerte che presentano una percentuale di ribasso
pari o superiore alla soglia di anomalia individuata ai
sensi dell'articolo 97, commi 2, 2-bis e 2-ter, del decreto
legislativo n. 50 del 2016, anche qualora il numero delle
offerte ammesse sia pari o superiore a cinque.
4. Per le modalita' di affidamento di cui al presente
articolo la stazione appaltante non richiede le garanzie
provvisorie di cui all'articolo 93 del decreto legislativo
n. 50 del 2016, salvo che, in considerazione della
tipologia e specificita' della singola procedura, ricorrano
particolari esigenze che ne giustifichino la richiesta, che
la stazione appaltante indica nell'avviso di indizione
della gara o in altro atto equivalente. Nel caso in cui sia
richiesta la garanzia provvisoria, il relativo ammontare e'
dimezzato rispetto a quello previsto dal medesimo articolo
93.
5. Le disposizioni del presente articolo si applicano
anche alle procedure per l'affidamento dei servizi di
organizzazione, gestione e svolgimento delle prove dei
concorsi pubblici di cui agli articoli 247 e 249 del
decreto-legge 19 maggio 2020, n. 34, convertito, con
modificazioni, dalla legge 17 luglio 2020, n. 77, di
seguito citato anche come "decreto-legge 19 maggio 2020, n.
34", fino all'importo di cui alla lettera d), comma 1,
dell'articolo 35 del decreto legislativo 18 aprile 2016, n.
50.
5-bis. All'articolo 36, comma 2, lettera a), del
decreto legislativo 18 aprile 2016, n. 50, sono aggiunte,
in fine, le seguenti parole: ". La pubblicazione
dell'avviso sui risultati della procedura di affidamento
non e' obbligatoria".
5-ter. Al fine di incentivare e semplificare
l'accesso delle microimprese, piccole e medie imprese, come
definite nella raccomandazione 2003/361/CE della
Commissione, del 6 maggio 2003, alla liquidita' per far
fronte alle ricadute economiche negative a seguito delle
misure di contenimento dell'emergenza sanitaria globale da
COVID-19, le disposizioni del presente articolo si
applicano anche alle procedure per l'affidamento, ai sensi
dell'articolo 112, comma 5, lettera b), del testo unico di
cui al decreto legislativo 1°(gradi) settembre 1993, n.
385, della gestione di fondi pubblici europei, nazionali,
regionali e camerali diretti a sostenere l'accesso al
credito delle imprese, fino agli importi di cui al comma 1
dell'articolo 35 del decreto legislativo 18 aprile 2016, n.
50.».
- Si riporta il testo dell'articolo 63, del decreto
legislativo 18 aprile 2016, n. 50 (Codice dei contratti
pubblici):
«Art. 63 (Uso della procedura negoziata senza previa
pubblicazione di un bando di gara). - 1. Nei casi e nelle
circostanze indicati nei seguenti commi, le amministrazioni
aggiudicatrici possono aggiudicare appalti pubblici
mediante una procedura negoziata senza previa pubblicazione
di un bando di gara, dando conto con adeguata motivazione,
nel primo atto della procedura, della sussistenza dei
relativi presupposti.
2. Nel caso di appalti pubblici di lavori, forniture
e servizi, la procedura negoziata senza previa
pubblicazione puo' essere utilizzata:
a) qualora non sia stata presentata alcuna offerta
o alcuna offerta appropriata, ne' alcuna domanda di
partecipazione o alcuna domanda di partecipazione
appropriata, in esito all'esperimento di una procedura
aperta o ristretta, purche' le condizioni iniziali
dell'appalto non siano sostanzialmente modificate e purche'
sia trasmessa una relazione alla Commissione europea, su
sua richiesta. Un'offerta non e' ritenuta appropriata se
non presenta alcuna pertinenza con l'appalto ed e', quindi,
manifestamente inadeguata, salvo modifiche sostanziali, a
rispondere alle esigenze dell'amministrazione
aggiudicatrice e ai requisiti specificati nei documenti di
gara. Una domanda di partecipazione non e' ritenuta
appropriata se l'operatore economico interessato deve o
puo' essere escluso ai sensi dell'articolo 80 o non
soddisfa i criteri di selezione stabiliti
dall'amministrazione aggiudicatrice ai sensi dell'articolo
83;
b) quando i lavori, le forniture o i servizi
possono essere forniti unicamente da un determinato
operatore economico per una delle seguenti ragioni:
1) lo scopo dell'appalto consiste nella creazione
o nell'acquisizione di un'opera d'arte o rappresentazione
artistica unica;
2) la concorrenza e' assente per motivi tecnici;
3) la tutela di diritti esclusivi, inclusi i
diritti di proprieta' intellettuale.
Le eccezioni di cui ai punti 2) e 3) si applicano
solo quando non esistono altri operatori economici o
soluzioni alternative ragionevoli e l'assenza di
concorrenza non e' il risultato di una limitazione
artificiale dei parametri dell'appalto;
c) nella misura strettamente necessaria quando, per
ragioni di estrema urgenza derivante da eventi
imprevedibili dall'amministrazione aggiudicatrice, i
termini per le procedure aperte o per le procedure
ristrette o per le procedure competitive con negoziazione
non possono essere rispettati.
Le circostanze invocate a giustificazione del
ricorso alla procedura di cui al presente articolo non
devono essere in alcun caso imputabili alle amministrazioni
aggiudicatrici.
3. Nel caso di appalti pubblici di forniture, la
procedura di cui al presente articolo e', inoltre,
consentita nei casi seguenti:
a) qualora i prodotti oggetto dell'appalto siano
fabbricati esclusivamente a scopo di ricerca, di
sperimentazione, di studio o di sviluppo, salvo che si
tratti di produzione in quantita' volta ad accertare la
redditivita' commerciale del prodotto o ad ammortizzare i
costi di ricerca e di sviluppo;
b) nel caso di consegne complementari effettuate
dal fornitore originario e destinate al rinnovo parziale di
forniture o di impianti o all'ampliamento di forniture o
impianti esistenti, qualora il cambiamento di fornitore
obblighi l'amministrazione aggiudicatrice ad acquistare
forniture con caratteristiche tecniche differenti, il cui
impiego o la cui manutenzione comporterebbero
incompatibilita' o difficolta' tecniche sproporzionate; la
durata di tali contratti e dei contratti rinnovabili non
puo' comunque di regola superare i tre anni;
c) per forniture quotate e acquistate sul mercato
delle materie prime;
d) per l'acquisto di forniture o servizi a
condizioni particolarmente vantaggiose, da un fornitore che
cessa definitivamente l'attivita' commerciale oppure dagli
organi delle procedure concorsuali.
4. La procedura prevista dal presente articolo e',
altresi', consentita negli appalti pubblici relativi ai
servizi qualora l'appalto faccia seguito ad un concorso di
progettazione e debba, in base alle norme applicabili,
essere aggiudicato al vincitore o ad uno dei vincitori del
concorso. In quest'ultimo caso, tutti i vincitori devono
essere invitati a partecipare ai negoziati.
5. La presente procedura puo' essere utilizzata per
nuovi lavori o servizi consistenti nella ripetizione di
lavori o servizi analoghi, gia' affidati all'operatore
economico aggiudicatario dell'appalto iniziale dalle
medesime amministrazioni aggiudicatrici, a condizione che
tali lavori o servizi siano conformi al progetto a base di
gara e che tale progetto sia stato oggetto di un primo
appalto aggiudicato secondo una procedura di cui
all'articolo 59, comma 1. Il progetto a base di gara indica
l'entita' di eventuali lavori o servizi complementari e le
condizioni alle quali essi verranno aggiudicati. La
possibilita' di avvalersi della procedura prevista dal
presente articolo e' indicata sin dall'avvio del confronto
competitivo nella prima operazione e l'importo totale
previsto per la prosecuzione dei lavori o della prestazione
dei servizi e' computato per la determinazione del valore
globale dell'appalto, ai fini dell'applicazione delle
soglie di cui all'articolo 35, comma 1. Il ricorso a questa
procedura e' limitato al triennio successivo alla
stipulazione del contratto dell'appalto iniziale.
6. Le amministrazioni aggiudicatrici individuano gli
operatori economici da consultare sulla base di
informazioni riguardanti le caratteristiche di
qualificazione economica e finanziaria e tecniche e
professionali desunte dal mercato, nel rispetto dei
principi di trasparenza, concorrenza, rotazione, e
selezionano almeno cinque operatori economici, se
sussistono in tale numero soggetti idonei.
L'amministrazione aggiudicatrice sceglie l'operatore
economico che ha offerto le condizioni piu' vantaggiose, ai
sensi dell'articolo 95, previa verifica del possesso dei
requisiti di partecipazione previsti per l'affidamento di
contratti di uguale importo mediante procedura aperta,
ristretta o mediante procedura competitiva con
negoziazione.».
- Si riporta il testo dell'articolo 31-bis, del
decreto-legge 16 luglio 2020, n. 76, convertito, con
modificazioni, dalla legge 11 settembre 2020, n. 120
recante misure urgenti per la semplificazione e
l'innovazione digitale, come modificato dalla presente
legge:
«Art. 31-bis (Proroga di accordi quadro e convenzioni
delle centrali di committenza in ambito digitale). - 1. In
conseguenza dell'ampia adesione delle pubbliche
amministrazioni e tenuto conto dei tempi necessari
all'indizione di nuove procedure di gara, gli accordi
quadro e le convenzioni di cui all'articolo 3, comma 1,
lettere cccc) e dddd), del codice dei contratti pubblici,
di cui al decreto legislativo 18 aprile 2016, n. 50, nel
settore merceologico "Informatica, elettronica,
telecomunicazioni e macchine per l'ufficio", che siano in
corso alla data di entrata in vigore della presente
disposizione, sono prorogati, con i medesimi soggetti
aggiudicatari e nel limite massimo del 50 per cento del
valore iniziale, fino all'aggiudicazione delle nuove
procedure di gara e, comunque, non oltre il 31 dicembre
2022, al fine di non pregiudicare il perseguimento, in
tutto il territorio nazionale, dell'obiettivo di
transizione digitale previsto dal Piano nazionale di
ripresa e resilienza.».
- Si riporta il testo dell'articolo 8, del
decreto-legge 14 giugno 2021, n.82, convertito, con
modificazioni, dalla legge 4 agosto 2021, n.109 recante
disposizioni urgenti in materia di cybersicurezza,
definizione dell'architettura nazionale di cybersicurezza e
istituzione dell'Agenzia per la cybersicurezza nazionale:
«Art. 8 (Nucleo per la cybersicurezza). - 1. Presso
l'Agenzia e' costituito, in via permanente, il Nucleo per
la cybersicurezza, a supporto del Presidente del Consiglio
dei ministri nella materia della cybersicurezza, per gli
aspetti relativi alla prevenzione e preparazione ad
eventuali situazioni di crisi e per l'attivazione delle
procedure di allertamento.
2. Il Nucleo per la cybersicurezza e' presieduto dal
direttore generale dell'Agenzia o, per sua delega, dal vice
direttore generale ed e' composto dal Consigliere militare
del Presidente del Consiglio dei ministri, da un
rappresentante, rispettivamente, del DIS, dell'Agenzia
informazioni e sicurezza esterna (AISE), di cui
all'articolo 6 della legge 3 agosto 2007, n. 124,
dell'Agenzia informazioni e sicurezza interna (AISI), di
cui all'articolo 7 della legge n. 124 del 2007, di ciascuno
dei Ministeri rappresentati nel CIC e del Dipartimento
della protezione civile della Presidenza del Consiglio dei
ministri. Per gli aspetti relativi alla trattazione di
informazioni classificate il Nucleo e' integrato da un
rappresentante dell'Ufficio centrale per la segretezza di
cui all'articolo 9 della legge n. 124 del 2007.
3. I componenti del Nucleo possono farsi assistere
alle riunioni da altri rappresentanti delle rispettive
amministrazioni in relazione alle materie oggetto di
trattazione. In base agli argomenti delle riunioni possono
anche essere chiamati a partecipare rappresentanti di altre
amministrazioni, di universita' o di enti e istituti di
ricerca, nonche' di operatori privati interessati alla
materia della cybersicurezza.
4. Il Nucleo puo' essere convocato in composizione
ristretta con la partecipazione dei rappresentanti delle
sole amministrazioni e soggetti interessati, anche
relativamente ai compiti di gestione delle crisi di cui
all'articolo 10.
4-bis. Ai componenti del Nucleo non spettano
compensi, gettoni di presenza, rimborsi di spese o altri
emolumenti comunque denominati.».
- Si riporta il testo dell'articolo 1, della legge 14
gennaio 1994, n. 20 (Disposizioni in materia di
giurisdizione e controllo della Corte dei conti):
«Art. 1 (Azione di responsabilita'). - 1. La
responsabilita' dei soggetti sottoposti alla giurisdizione
della Corte dei conti in materia di contabilita' pubblica
e' personale e limitata ai fatti ed alle omissioni commessi
con dolo o con colpa grave, ferma restando
l'insindacabilita' nel merito delle scelte discrezionali.
La prova del dolo richiede la dimostrazione della volonta'
dell'evento dannoso. In ogni caso e' esclusa la gravita'
della colpa quando il fatto dannoso tragga origine
dall'emanazione di un atto vistato e registrato in sede di
controllo preventivo di legittimita', limitatamente ai
profili presi in considerazione nell'esercizio del
controllo. La gravita' della colpa e ogni conseguente
responsabilita' sono in ogni caso escluse per ogni profilo
se il fatto dannoso trae origine da decreti che determinano
la cessazione anticipata, per qualsiasi ragione, di
rapporti di concessione autostradale, allorche' detti
decreti siano stati vistati e registrati dalla Corte dei
conti in sede di controllo preventivo di legittimita'
svolto su richiesta dell'amministrazione procedente. Il
relativo debito si trasmette agli eredi secondo le leggi
vigenti nei casi di illecito arricchimento del dante causa
e di conseguente indebito arricchimento degli eredi stessi.
1-bis. Nel giudizio di responsabilita', fermo
restando il potere di riduzione, deve tenersi conto dei
vantaggi comunque conseguiti dall'amministrazione di
appartenenza, o da altra amministrazione, o dalla comunita'
amministrata in relazione al comportamento degli
amministratori o dei dipendenti pubblici soggetti al
giudizio di responsabilita'.
1-ter. Nel caso di deliberazioni di organi collegiali
la responsabilita' si imputa esclusivamente a coloro che
hanno espresso voto favorevole. Nel caso di atti che
rientrano nella competenza propria degli uffici tecnici o
amministrativi la responsabilita' non si estende ai
titolari degli organi politici che in buona fede li abbiano
approvati ovvero ne abbiano autorizzato o consentito
l'esecuzione.
1-quater. Se il fatto dannoso e' causato da piu'
persone, la Corte dei conti, valutate le singole
responsabilita', condanna ciascuno per la parte che vi ha
preso.
1-quinquies. Nel caso di cui al comma 1-quater i soli
concorrenti che abbiano conseguito un illecito
arricchimento o abbiano agito con dolo sono responsabili
solidalmente. La disposizione di cui al presente comma si
applica anche per i fatti accertati con sentenza passata in
giudicato pronunciata in giudizio pendente alla data di
entrata in vigore del decreto-legge 28 giugno 1995, n. 248.
In tali casi l'individuazione dei soggetti ai quali non si
estende la responsabilita' solidale e' effettuata in sede
di ricorso per revocazione.
1-sexies. Nel giudizio di responsabilita', l'entita'
del danno all'immagine della pubblica amministrazione
derivante dalla commissione di un reato contro la stessa
pubblica amministrazione accertato con sentenza passata in
giudicato si presume, salva prova contraria, pari al doppio
della somma di denaro o del valore patrimoniale di altra
utilita' illecitamente percepita dal dipendente .
1-septies. Nei giudizi di responsabilita' aventi ad
oggetto atti o fatti di cui al comma 1-sexies, il sequestro
conservativo e' concesso in tutti i casi di fondato timore
di attenuazione della garanzia del credito erariale.
2. Il diritto al risarcimento del danno si prescrive
in ogni caso in cinque anni, decorrenti dalla data in cui
si e' verificato il fatto dannoso, ovvero, in caso di
occultamento doloso del danno, dalla data della sua
scoperta.
2-bis. Per i fatti che rientrano nell'ambito di
applicazione dell'art. 1, comma 7, del decreto-legge 27
agosto 1993, n. 324, convertito, con modificazioni, dalla
legge 27 ottobre 1993, n. 423, la prescrizione si compie
entro cinque anni ai sensi del comma 2 e comunque non prima
del 31 dicembre 1996.
2-ter. Per i fatti verificatisi anteriormente alla
data del 15 novembre 1993 e per i quali stia decorrendo un
termine di prescrizione decennale, la prescrizione si
compie entro il 31 dicembre 1998, ovvero nel piu' breve
termine dato dal compiersi del decennio.
3. Qualora la prescrizione del diritto al
risarcimento sia maturata a causa di omissione o ritardo
della denuncia del fatto, rispondono del danno erariale i
soggetti che hanno omesso o ritardato la denuncia. In tali
casi, l'azione e' proponibile entro cinque anni dalla data
in cui la prescrizione e' maturata.
4. La Corte dei conti giudica sulla responsabilita'
amministrativa degli amministratori e dipendenti pubblici
anche quando il danno sia stato cagionato ad
amministrazioni o enti pubblici diversi da quelli di
appartenenza, per i fatti commessi successivamente alla
data di entrata in vigore della presente legge.».
- Si riporta il testo dell'articolo 5, del
decreto-legge 21 settembre 2019, n.105, convertito, con
modificazioni, dalla legge 18 novembre 2019, n.133
(Disposizioni urgenti in materia di perimetro di sicurezza
nazionale cibernetica e di disciplina dei poteri speciali
nei settori di rilevanza strategica) come modificato dalla
presente legge:
«Art. 5 (Determinazioni del Presidente del Consiglio
dei ministri in caso di crisi di natura cibernetica). - 1.
Il Presidente del Consiglio dei ministri, in presenza di un
rischio grave e imminente per la sicurezza nazionale
connesso alla vulnerabilita' di reti, sistemi informativi e
servizi informatici, su deliberazione del Comitato
interministeriale per la sicurezza della Repubblica, puo'
comunque disporre, ove indispensabile e per il tempo
strettamente necessario alla eliminazione dello specifico
fattore di rischio o alla sua mitigazione, in deroga ad
ogni disposizione vigente, nel rispetto dei principi
generali dell'ordinamento giuridico e secondo un criterio
di proporzionalita', la disattivazione, totale o parziale,
di uno o piu' apparati o prodotti impiegati nelle reti, nei
sistemi o per l'espletamento dei servizi interessati.
Laddove nelle determinazioni di cui al presente comma sia
recata deroga alle leggi vigenti anche ai fini delle
ulteriori necessarie misure correlate alla disattiva-zione
o all'interruzione, le stesse determinazioni devono
contenere l'indicazione delle principali norme a cui si
intende derogare e tali deroghe devono essere
specificamente motivate. Le determinazioni di cui al
presente comma non sono soggette al controllo preventivo di
legittimita' di cui all'articolo 3 della legge 14 gennaio
1994, n. 20.
1-bis. Il Presidente del Consiglio dei ministri
informa entro trenta giorni il Comitato parlamentare per la
sicurezza della Repubblica delle misure disposte ai sensi
del comma 1.».
- Si riporta il testo dell'articolo 12, del
decreto-legge 14 giugno 2021, n.82, convertito, con
modificazioni, dalla legge 4 agosto 2021, n.109
(Disposizioni urgenti in materia di cybersicurezza,
definizione dell'architettura nazionale di cybersicurezza e
istituzione dell'Agenzia per la cybersicurezza nazionale)
come modificato dalla presente legge:
«Art. 12 (Personale). - 1. Con apposito regolamento
e' dettata, nel rispetto dei principi generali
dell'ordinamento giuridico, anche in deroga alle vigenti
disposizioni di legge, ivi incluso il decreto legislativo
30 marzo 2001, n. 165, e nel rispetto dei criteri di cui al
presente decreto, la disciplina del contingente di
personale addetto all'Agenzia, tenuto conto delle funzioni
volte alla tutela della sicurezza nazionale nello spazio
cibernetico attribuite all'Agenzia. Il regolamento
definisce l'ordinamento e il reclutamento del personale, e
il relativo trattamento economico e previdenziale,
prevedendo, in particolare, per il personale dell'Agenzia
di cui al comma 2, lettera a), un trattamento economico
pari a quello in godimento da parte dei dipendenti della
Banca d'Italia, sulla scorta della equiparabilita' delle
funzioni svolte e del livello di responsabilita' rivestito.
La predetta equiparazione, con riferimento sia al
trattamento economico in servizio che al trattamento
previdenziale, produce effetti avendo riguardo alle
anzianita' di servizio maturate a seguito
dell'inquadramento nei ruoli dell'Agenzia.
2. Il regolamento determina, nell'ambito delle
risorse finanziarie destinate all'Agenzia ai sensi
dell'articolo 18, comma 1, in particolare:
a) l'istituzione di un ruolo del personale e la
disciplina generale del rapporto d'impiego alle dipendenze
dell'Agenzia;
b) la possibilita' di procedere, oltre che ad
assunzioni a tempo indeterminato attraverso modalita'
concorsuali, ad assunzioni a tempo determinato, con
contratti di diritto privato, di soggetti in possesso di
alta e particolare specializzazione debitamente
documentata, individuati attraverso adeguate modalita'
selettive, per lo svolgimento di attivita' assolutamente
necessarie all'operativita' dell'Agenzia o per specifiche
progettualita' da portare a termine in un arco di tempo
prefissato;
c) la possibilita' di avvalersi di un contingente
di esperti, non superiore a cinquanta unita', composto da
personale, collocato fuori ruolo o in posizione di comando
o altra analoga posizione prevista dagli ordinamenti di
appartenenza, proveniente da pubbliche amministrazioni di
cui all' articolo 1, comma 2, del decreto legislativo 30
marzo 2001, n. 165, con esclusione del personale docente,
educativo, amministrativo, tecnico e ausiliario delle
istituzioni scolastiche, ovvero da personale non
appartenente alla pubblica amministrazione, in possesso di
specifica ed elevata competenza in materia di
cybersicurezza e di tecnologie digitali innovative, nello
sviluppo e gestione di processi complessi di trasformazione
tecnologica e delle correlate iniziative di comunicazione e
disseminazione, nonche' di significativa esperienza in
progetti di trasformazione digitale, ivi compreso lo
sviluppo di programmi e piattaforme digitali con diffusione
su larga scala. Il regolamento, a tali fini, disciplina la
composizione del contingente e il compenso spettante per
ciascuna professionalita';
d) la determinazione della percentuale massima dei
dipendenti che e' possibile assumere a tempo determinato;
e) la possibilita' di impiegare personale del
Ministero della difesa, secondo termini e modalita' da
definire con apposito decreto del Presidente del Consiglio
dei ministri;
f) le ipotesi di incompatibilita';
g) le modalita' di progressione di carriera
all'interno dell'Agenzia;
h) la disciplina e il procedimento per la
definizione degli aspetti giuridici e, limitatamente ad
eventuali compensi accessori, economici del rapporto di
impiego del personale oggetto di negoziazione con le
rappresentanze del personale;
i) le modalita' applicative delle disposizioni del
decreto legislativo 10 febbraio 2005, n. 30, recante il
Codice della proprieta' industriale, ai prodotti
dell'ingegno ed alle invenzioni dei dipendenti
dell'Agenzia;
l) i casi di cessazione dal servizio del personale
assunto a tempo indeterminato ed i casi di anticipata
risoluzione dei rapporti a tempo determinato;
m) quali delle disposizioni possono essere oggetto
di revisione per effetto della negoziazione con le
rappresentanze del personale.
3. Qualora le assunzioni di cui al comma 2, lettera
b), riguardino professori universitari di ruolo o
ricercatori universitari confermati si applicano le
disposizioni di cui all'articolo 12 del decreto del
Presidente della Repubblica 11 luglio 1980, n. 382, anche
per quanto riguarda il collocamento in aspettativa.
4. In sede di prima applicazione delle disposizioni
di cui al presente decreto, il numero di posti previsti
dalla dotazione organica dell'Agenzia e' individuato nella
misura complessiva di trecento unita', di cui fino a un
massimo di otto di livello dirigenziale generale, fino a un
massimo di 24 di livello dirigenziale non generale e fino a
un massimo di 268 unita' di personale non dirigenziale.
5. Con decreti del Presidente del Consiglio dei
ministri di concerto con il Ministro dell'economia e delle
finanze, la dotazione organica puo' essere rideterminata
nei limiti delle risorse finanziarie destinate alle spese
per il personale di cui all'articolo 18, comma 1. Dei
provvedimenti adottati in materia di dotazione organica
dell'Agenzia e' data tempestiva e motivata comunicazione
alle Commissioni parlamentari competenti e al COPASIR.
6. Le assunzioni effettuate in violazione delle
disposizioni del presente decreto o del regolamento di cui
al presente articolo sono nulle, ferma restando la
responsabilita' personale, patrimoniale e disciplinare di
chi le ha disposte.
7. Il personale che presta comunque la propria opera
alle dipendenze o in favore dell'Agenzia e' tenuto, anche
dopo la cessazione di tale attivita', al rispetto del
segreto su cio' di cui sia venuto a conoscenza
nell'esercizio o a causa delle proprie funzioni.
8. Il regolamento di cui al comma 1 e' adottato,
entro centoventi giorni dalla data di entrata in vigore
della legge di conversione del presente decreto, con
decreto del Presidente del Consiglio dei ministri, anche in
deroga all'articolo 17 della legge 23 agosto 1988, n. 400,
previo parere delle Commissioni parlamentari competenti per
materia e per i profili finanziari e, per i profili di
competenza, del COPASIR e sentito il CIC.
8-bis. In relazione alle assunzioni a tempo determinato
di cui al comma 2, lettera b), i relativi contratti per lo
svolgimento delle funzioni volte alla tutela della
sicurezza nazionale nello spazio cibernetico attribuite
all'Agenzia possono prevedere una durata massima di quattro
anni, rinnova-bile per periodi non superiori ad ulteriori
complessivi quattro anni. Delle assunzioni e dei rinnovi
disposti ai sensi del presente comma e' data comunicazione
al COPASIR nell'ambito della relazione di cui all'arti-colo
14, comma 2.».