Camera dei deputati

ATTI DEL GOVERNO

  Mercoledì 22 luglio 2026. — Presidenza del presidente della IX Commissione Salvatore DEIDDA.

  La seduta comincia alle 14.

Schema di decreto legislativo recante adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2025/37 del Parlamento europeo e del Consiglio, del 19 dicembre 2024, che modifica il regolamento (UE) 2019/881 per quanto riguarda i servizi di sicurezza gestiti.
Atto n. 422.
(Esame, ai sensi dell'articolo 143, comma 4, del regolamento, e rinvio).

  Le Commissioni iniziano l'esame dello schema di decreto.

  Salvatore DEIDDA, presidente, avverte che il gruppo PD-IDP ha chiesto che la pubblicità dei lavori sia assicurata anche attraverso il sistema di ripresa audiovideo a circuito chiuso. Non essendovi obiezioni, ne dispone l'attivazione.
  Ricorda che le Commissioni riunite Affari costituzionali e Trasporti dovranno esprimere il proprio parere entro il 17 agosto 2026.

  Riccardo DE CORATO (FDI), relatore per la I Commissione, anche a nome del relatore per la IX Commissione, deputato Amich, fa presente che le Commissioni riunite I e IX avviano oggi l'esame, ai fini dell'espressione del parere al Governo, dello schema di decreto legislativo recante adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2025/37 del Parlamento europeo e del Consiglio, del 19 dicembre 2024, che modifica il regolamento (UE) 2019/881 per quanto riguarda i servizi di sicurezza gestiti.
  Fa presente, preliminarmente, che lo schema di decreto legislativo in esame si pone l'obiettivo di dare attuazione alla delega di cui all'articolo 16 della legge n. 36 del 2026 (legge di delegazione europea per il 2025). Tale articolo reca una delega al Governo per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2025/37 del Parlamento europeo e del Consiglio, del 19 dicembre 2024, che modifica il regolamento (UE) 2019/881 (il cosiddetto CSA-cybersecurity act) per quanto riguarda i servizi di sicurezza gestiti. Si tratta di servizi prestati a terzi consistenti nello svolgimento di attività (o Pag. 21nella fornitura di assistenza per tali attività) legate alla gestione dei rischi del cliente in materia di sicurezza informatica; ad esempio, servizi di gestione degli incidenti, test di penetrazione e audit di sicurezza.
  Ricorda che il quadro normativo dell'Unione europea in materia di cybersicurezza è in corso di revisione. In particolare, la Commissione europea ha presentato un pacchetto di misure finalizzate a rendere la cybersicurezza una leva per la protezione delle catene di approvvigionamento e il consolidamento dell'autonomia strategica dell'Unione. Il pacchetto comprende: una proposta di regolamento volta all'abrogazione del regolamento (UE) 2019/881 e all'adozione di un Cybersecurity Act 2.0; una proposta di direttiva che modifica la direttiva UE 2022/2555-NIS 2 per quanto riguarda le misure di semplificazione e l'allineamento al Cybersecurity Act 2.0.
  Presso la Camera, tali proposte di atti legislativi dell'Unione sono state esaminate, ai fini della verifica di conformità al principio di sussidiarietà, dalla Commissione Politiche dell'Unione europea che ha adottato, il 6 maggio 2026, un documento recante una valutazione conforme, pur rilevando che la proposta di regolamento è solo parzialmente conforme al principio di proporzionalità.
  Passando al contenuto dello schema di decreto in esame, per la cui dettagliata illustrazione rinvia alla documentazione predisposta dagli uffici, segnala che il provvedimento si compone di 4 articoli.
  L'articolo 1, che contiene un unico comma suddiviso in lettere (a-g), novella in più punti il decreto legislativo n. 123 del 2022, che ha adeguato l'ordinamento interno al regolamento CSA, in materia di quadro di certificazione della cybersicurezza. L'articolo in esame introduce alcune importanti definizioni, tra cui quella di servizio di sicurezza gestito, che riproduce quella introdotta dal regolamento (UE) 2025/37. L'articolo, inoltre, estende ai servizi di sicurezza gestiti la normativa europea in materia di certificazioni di sicurezza, ivi comprese le attività di controllo e vigilanza sull'emissione delle stesse, applicabile ai prodotti TIC, ai servizi TIC e ai processi TIC – in cui con la sigla TIC si intende la «tecnologia dell'informazione e della comunicazione». Le novelle incidono, poi, sulla disciplina delle attività di vigilanza del mercato, prevedendo, tra l'altro, che l'Agenzia per la cybersicurezza nazionale (ACN), tramite l'organismo di certificazione della sicurezza informatica (OCSI), possa rilasciare anche certificati di livello sostanziale e base, nonché revocarli in caso accerti l'emissione di certificati non conformi. Si incide altresì sulla disciplina dei poteri sanzionatori e inibitori dell'ACN. Si prevede, inoltre, la possibilità per i fornitori o fabbricanti di servizi di sicurezza gestiti di rilasciare, sotto la propria responsabilità, dichiarazioni UE di conformità di livello base, rendendo sempre disponibile all'ACN la dichiarazione di conformità, la relativa documentazione e altre informazioni pertinenti. Infine, l'articolo definisce la destinazione dei proventi derivanti dalle tariffe relative allo svolgimento delle attività di vigilanza, certificazione, autorizzazione e di abilitazione dell'ACN.
  L'articolo 2 modifica l'articolo 35 del codice dell'amministrazione digitale, di cui al decreto legislativo n. 82 del 2005, in materia di dispositivi sicuri e procedure per la generazione della firma qualificata, eliminando i riferimenti ivi contenuti allo schema nazionale per la valutazione e la certificazione di sicurezza nel settore delle tecnologie dell'informazione. Ricorda che tale sistema ha cessato di produrre effetti lo scorso 27 febbraio, a seguito della definizione dello schema europeo di certificazione della cybersicurezza (regolamento di esecuzione UE n. 482 del 2024).
  L'articolo in esame incide, poi, sul comma 5 del citato articolo 35 del codice dell'amministrazione digitale, onde espungere il richiamo dello schema nazionale per la valutazione e la certificazione di sicurezza nel settore della tecnologia dell'informazione, mantenendo la previsione del testo previgente che la conformità dei requisiti di sicurezza dei dispositivi per la creazione di una firma elettronica qualificata o di un sigillo elettronico (quali prescritti dall'Allegato II del regolamento eIDAS) sia accertataPag. 22 dall'Organismo di Certificazione della Sicurezza Informatica (OCSI).
  L'articolo 3 modifica l'articolo 7 del decreto-legge n. 82 del 2021, che definisce le funzioni dell'Agenzia per la cybersicurezza nazionale (ACN). La novella prevede che l'Agenzia autorizzi le strutture specializzate del Ministero della difesa e del Ministero dell'interno quali organismi di valutazione della conformità per i sistemi europei di certificazione della cybersicurezza. Inoltre, si prevede che le strutture specializzate del Ministero della difesa e del Ministero dell'interno stabiliscano requisiti specifici o supplementari a norma dell'articolo 54, paragrafo 1, lettera f), del regolamento n. 881 del 2019. Infine, la novella prevede che le citate strutture specializzate siano «accreditate» ai sensi dell'articolo 60, paragrafo 1, del regolamento europeo n. 881/2019.
  L'articolo 4 reca, infine, la clausola di invarianza finanziaria, prevedendo che le amministrazioni interessate provvedano all'attuazione del provvedimento con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente e, comunque, senza nuovi o maggiori oneri a carico della finanza pubblica.

  Salvatore DEIDDA, presidente, nessuno chiedendo di intervenire, rinvia il seguito dell'esame ad altra seduta.

  La seduta termina alle 14.05.