(AGENPARL) - Roma, 11 Gennaio 2024 - (AGENPARL) – gio 11 gennaio 2024 CONVENZIONE
PER LA PREVENZIONE DEI CRIMINI INFORMATICI
SUI SISTEMI INFORMATIVI CRITICI DELLA REGIONE SARDEGNA
Cagliari 11 gennaio 2024
Il Ministero dell’Interno – Dipartimento della Pubblica Sicurezza, rappresentato dal Primo Dirigente della Polizia di Stato, dott. Ivano Gabrielli, nella sua qualità di Direttore del Servizio Polizia Postale e delle Comunicazioni
d’ora innanzi, congiuntamente, “Parti”
PREMESSO
che la legge 31 luglio 1997, n. 249, ha istituito l’Autorità per le garanzie nelle comunicazioni dettando norme sui sistemi delle telecomunicazioni e radiotelevisivo;
che, in relazione all’art. 1, commi 13 e 15 della citata legge, con decreto del Ministro dell’Interno, adottato di concerto con il Ministro delle Comunicazioni e con il Ministro del Tesoro, del Bilancio e della Programmazione Economica, in data 19 gennaio 1999, è stato individuato il Servizio Polizia Postale e delle Comunicazioni del Dipartimento della Pubblica Sicurezza quale organo centrale del Ministero dell’Interno per la sicurezza e la regolarità dei servizi delle telecomunicazioni;
che l’articolo 39 della legge 16 gennaio 2003, n. 3, recante: “Disposizioni ordinamentali in materia di pubblica amministrazione” prevede che il Dipartimento della Pubblica Sicurezza, nell’ambito delle direttive impartite dal Ministro dell’Interno per il potenziamento dell’attività di prevenzione, può stipulare convenzioni con soggetti, pubblici e privati, dirette a fornire, con la contribuzione degli stessi soggetti, servizi specialistici, finalizzati ad incrementare la sicurezza pubblica;
che il decreto legge 27 luglio 2005 n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005 n. 155, recante “Misure urgenti per il contrasto del terrorismo internazionale”, ed in particolare l’art. 7 bis, comma 1, dispone che con decreto del Ministro dell’Interno siano individuate le infrastrutture critiche informatizzate di interesse nazionale, alla cui protezione informatica provvede l’organo del Ministero dell’Interno per la sicurezza e per la regolarità dei servizi di telecomunicazione, operando mediante collegamenti telematici definiti con apposite convenzioni con i responsabili delle strutture interessate;
che, in attuazione dell’articolo 7 bis, comma 1, del decreto legge 27 luglio 2005, n.144, convertito con modificazioni dalla legge 31 luglio 2005, n. 155, il Ministro dell’Interno, con proprio decreto, in data 9 gennaio 2008 ha previsto:
all’art. 1, comma 1, le infrastrutture critiche informatizzate di interesse nazionale, quali i sistemi ed i servizi informatici di supporto alle funzioni istituzionali di una definita serie di enti, pubblici e privati, operanti nei settori strategici per il Paese;
all’art. 1, comma 2, che i collegamenti telematici necessari per assicurare protezione alle infrastrutture critiche informatizzate siano definiti mediante apposite convenzioni stipulate, ai sensi dell’art. 15 della legge 7 agosto 1990, n. 241 e dell’art. 39 della legge 16 gennaio 2003 n. 3, tra i soggetti titolari delle infrastrutture critiche ed il Ministero dell’Interno – Dipartimento della Pubblica Sicurezza;
all’art. 3, l’istituzione del C.N.A.I.P.I.C. – Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche, quale unità incardinata nel Servizio Polizia Postale e delle Comunicazioni della Direzione Centrale per la Polizia Stradale, Ferroviaria, delle Comunicazioni e per i Reparti Speciali della Polizia di Stato del Dipartimento della Pubblica Sicurezza;
che con decreto del Capo della Polizia – Direttore Generale della Pubblica Sicurezza – adottato in data 7 agosto 2008, venisse formalizzato l’assetto organizzativo e funzionale del C.N.A.I.P.I.C.;
quanto stabilito dal D. Lgs. 18 maggio 2018 n. 51, recante “Attuazione della Direttiva UE 2016/680 del Parlamento Europeo e del Consiglio del 27 aprile 2016”, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio;
che con il Decreto 19 settembre 2017, n. 215 del Ministero dell’Interno, di concerto con i Ministri dello Sviluppo Economico e dell’Economia e delle Finanze, è stato adottato il “Regolamento recante individuazione delle denominazioni, degli stemmi, degli emblemi e degli altri segni distintivi in uso esclusivo alla Polizia di Stato e al Corpo nazionale dei vigili del fuoco, nonché le modalità attuative ai fini della loro concessione in uso temporaneo a terzi”;
che la Direttiva del Ministro dell’Interno del 15 agosto 2017 “sui comparti delle Specialità e sulla razionalizzazione dei Presidi di Polizia” ha ribadito al punto 1.4 la competenza della Polizia Postale e delle Comunicazioni in materia di protezione delle infrastrutture critiche nonché di sicurezza e regolarità dei servizi di telecomunicazione;
che nell’ambito della direttiva generale per l’attività amministrativa e per la gestione relativa all’anno 2023, il Ministro dell’Interno, in ordine agli obiettivi operativi, nel ribadire l’esigenza di tutelare dalle minacce cyber coloro che operano nel mondo della rete, anche attraverso appositi contatti bilaterali (intese, riunioni, accordi, ecc.) tra l’amministrazione e gli enti gestori di sistemi e servizi strategici, ha altresì previsto il rafforzamento – attraverso le risorse del PNRR – delle difese cibernetiche, aumentando il grado di resilienza informatica dell’amministrazione attraverso la creazione di sezioni operative per la sicurezza cibernetica distrettuali, di laboratori operativi dotati delle infrastrutture per le attività forensi (CLABS) e il potenziamento della sala server, al fine di prevedere o rilevare tempestivamente attacchi e incidenti informatici;
che, con decreto del Capo della Polizia del 28 giugno 2022, è stata attuata la complessiva revisione dell’assetto ordinativo delle articolazioni periferiche dell’Amministrazione della Pubblica Sicurezza e, in particolare, dei Centri Operativi per la Sicurezza Cibernetica (C.O.S.C.) quale nuova denominazione dei Compartimenti di Polizia Postale e delle Comunicazioni, al cui interno sono stati istituiti i Nuclei Operativi Sicurezza Cibernetica (N.O.S.C.);
che Regione Autonoma della Sardegna gestisce i sistemi informativi regionali per il supporto alle proprie funzioni istituzionali a favore di cittadini, imprese ed Enti oltre a svolgere il ruolo di soggetto aggregatore per questi ultimi promuovendo sul territorio azioni tese a realizzare un processo di digitalizzazione dell’azione amministrativa coordinato e condiviso tra le autonomie locali ai sensi dell’art.14, comma 2-bis del D.Lgs. 82/2005 “Codice dell’Amministrazione Digitale”;
che con il D.Lgs. 18 maggio 2018 n. 65 è stata recepita la Direttiva (UE) 2016/1148 del Parlamento Europeo e del Consiglio del 6 luglio 2016, recante “misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione” (c.d. Direttiva NIS), che individua quale Autorità di contrasto il Servizio Polizia Postale e delle Comunicazioni in qualità di organo centrale del Ministero dell’interno per la sicurezza e per la regolarità dei servizi di telecomunicazione, di cui all’articolo 7-bis del decreto-legge 27 luglio 2005, n. 144, convertito, con modificazioni, dalla legge 31 luglio 2005, n.155, così come individuato dal Decreto Interministeriale del 10 gennaio 1999;
che il Centro Operativo Sicurezza Cibernetica – Polizia Postale e delle Comunicazioni per la Sardegna provvede, come organo periferico del Servizio Polizia Postale e delle Comunicazioni del Dipartimento della Pubblica Sicurezza, ad assicurare i Servizi della Polizia Postale e delle Comunicazioni, con particolare riferimento alla prevenzione e repressione dei reati commessi avvalendosi delle specifiche potenzialità tecniche dei servizi o mezzi di comunicazione, anche ad alta tecnologia, ovvero alterando il normale funzionamento degli stessi;
che i sistemi informatici e le reti telematiche di supporto alle funzioni istituzionali di Regione Autonoma della Sardegna sono da considerare infrastrutture critiche di interesse nazionale. Risulta, pertanto, necessario prevenire e contrastare ogni forma di accesso illecito, anche tentato, con finalità di:
interruzione dei servizi di pubblica utilità;
indebita sottrazione di informazioni;
attacchi cibernetici su vasta scala volti a compromettere la sicurezza del “Sistema Paese”;
porre in essere qualsiasi ulteriore attività illecita;
che a conclusione di specifici incontri tecnici tra i rappresentanti del Servizio Polizia Postale e delle Comunicazioni del Dipartimento della Pubblica Sicurezza e la Direzione Generale Innovazione e Sicurezza IT dell’Assessorato Affari Generali, Personale e riforma della Regione è stato elaborato un progetto di collaborazione per la prevenzione ed il contrasto dei crimini informatici che ha per oggetto, nella loro complessità, i sistemi ed i servizi informatici critici della Regione Autonoma della Sardegna;
che la cooperazione tra il Servizio Polizia Postale e delle Comunicazioni e la Regione Autonoma della Sardegna, volta alla prevenzione e alla repressione dei crimini informatici, ispirata al principio di sicurezza partecipata, nell’intento di assicurare in via sinergica ed efficiente le risorse del Sistema Paese a vantaggio dell’intera collettività, contribuisce al contenimento dei costi operativi derivanti da interruzioni dei servizi erogati attraverso sistemi informatici e di telecomunicazioni.
TUTTO CIO’ PREMESSO
LE PARTI STIPULANO E convengono quanto segue
Articolo 1
Le Parti si impegnano reciprocamente a collaborare in relazione:
alla condivisione e all’analisi di informazioni idonee a prevenire e contrastare attacchi o danneggiamenti in pregiudizio delle infrastrutture critiche informatiche della Regione Autonoma della Sardegna per le finalità meglio in premessa specificate;
alla segnalazione di emergenze relative a vulnerabilità, minacce ed incidenti in danno della regolarità dei servizi di telecomunicazione;
all’identificazione dell’origine degli attacchi contro infrastrutture critiche del Sistema Paese, che abbiano come destinazione le infrastrutture tecnologiche gestite dalla Regione Autonoma della Sardegna o che traggano origine dalle medesime;
alla prevenzione ed al supporto nella gestione di situazioni di crisi cibernetiche;
2. Le attività necessarie al conseguimento degli obiettivi di cui al precedente comma 1 verranno assicurate dal C.N.A.I.P.I.C. – Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche – e dalla Direzione generale Innovazione e SicurezzaIT della Regione Autonoma della Sardegna.
Articolo 2
Le Parti potranno sviluppare, attraverso il Servizio Polizia Postale e delle Comunicazioni ed i competenti uffici della Direzione Generale Innovazione e Sicurezza IT, attività formativa congiunta sui sistemi e sulle tecnologie informatiche utilizzate, nonché sulle procedure di intervento atte a prevenire e contrastare gli accessi illeciti o i tentativi di accesso illecito ai danni di tali sistemi e tecnologie nonché i fenomeni delittuosi di cui all’art. 1.
La Regione Sardegna si impegna, al fine del conseguimento degli obiettivi di cui al precedente articolo 1, comma 1, ad estendere al Centro Operativo per la Sicurezza Cibernetica “Sardegna” e alle dipendenti Sezioni Operative delle province di Sassari, Nuoro e Oristano quali articolazioni periferiche del Servizio Polizia Postale e delle Comunicazioni, la rete in “fibra ad alta velocità”, già in uso agli Uffici Regionali.
Articolo 3
Dall’attuazione della presente Convenzione non devono derivare nuovi o maggiori oneri a carico del bilancio del Dipartimento della Pubblica Sicurezza del Ministero dell’Interno, che provvede con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente.
La Regione Sardegna si impegna a realizzare la rete in fibra ottica ad alta velocità così come indicato in Allegato.
Articolo 4
Per le finalità di cui all’art. 1, le Parti si impegnano a definire ed individuare:
a) i sistemi ed i servizi informativi e telematici critici della Regione Autonoma della Sardegna;
b) i sistemi di trasferimento sicuri per la comunicazione delle informazioni d’interesse, nel rispetto delle disposizioni in materia di protezione dei dati personali e di quelle sulla circolazione, l’utilizzo e l’accesso alle informazioni di polizia nonché di quelle sul segreto d’indagine e la tutela delle informazioni classificate.
Articolo 5
Le Parti cooperano al fine di realizzare le tecnologie necessarie per rendere operativa la Convenzione, il cui oggetto primario è rappresentato dalla collaborazione da parte della Polizia Postale e delle Comunicazioni, anche attraverso l’interscambio di dati, finalizzata ad incrementare i livelli di prevenzione e contrasto dei crimini informatici ai danni dei sistemi gestiti dalla Regione Autonoma della Sardegna, precisando che gli eventuali oneri, comunque concordati preventivamente, relativi all’attuazione della stessa, sono a carico della Regione Autonoma della Sardegna, in coerenza con l’articolo 39, comma 2, della legge 16 gennaio 2003, n. 3 e saranno oggetto di successivi atti aggiuntivi alla presente Convenzione.
Articolo 6
Le Parti si impegnano a trattare ed a custodire i dati e le informazioni tecniche ordinariamente acquisite nell’ambito delle attività previste dalla presente Convenzione. Qualora insorgesse l’esigenza di trattare dati personali, le parti se ne daranno vicendevole comunicazione e definiranno ruoli e responsabilità nel rispetto della normativa in materia di protezione dei dati personali.
Ciascuna Parte si impegna a mantenere riservati ed a non utilizzare i risultati delle attività svolte in comune senza il preventivo consenso scritto dell’altra Parte.
L’obbligo di riservatezza di cui al comma che precede permarrà anche successivamente all’estinzione della presente Convenzione.
Articolo 7
Le Parti si impegnano a sviluppare iniziative congiunte, concordate preventivamente, volte a valorizzare il reciproco rapporto di collaborazione, anche attraverso iniziative volte alla promozione ed alla diffusione della cultura della legalità, tramite l’utilizzo delle denominazioni, degli stemmi, degli emblemi e degli altri segni distintivi in uso esclusivo alla Polizia di Stato, nel rispetto del decreto del Ministro dell’Interno 19 settembre 2017, n. 215.