Art. 1 — Oggetto e ambito di applicazione

Il presente decreto stabilisce:

• a)misure volte a garantire che i servizi essenziali per il mantenimento di funzioni vitali della societa', di attivita' economiche, della salute e della sicurezza pubbliche o dell'ambiente, di cui all'articolo 2, comma 1, lettera e), siano forniti senza impedimenti nonche' criteri per l'individuazione dei soggetti critici di cui all'articolo 2, comma 1, lettera a);
• b)obblighi per i soggetti critici di cui all'articolo 2, comma 1, lettera a), volti a rafforzarne la resilienza, fino al raggiungimento di un livello elevato, e a rafforzarne la capacita' di fornire i servizi essenziali di cui all'articolo 2, comma 1, lettera e), nel mercato interno, al fine di migliorarne il funzionamento;
• c)misure per il sostegno nell'adempimento degli obblighi imposti dal presente decreto ai soggetti critici di cui all'articolo 2, comma 1, lettera a);
• d)disposizioni riguardanti la vigilanza e l'irrogazione di sanzioni nei confronti dei soggetti critici di cui all'articolo 2, comma 1, lettera a);
• e)disposizioni riguardanti l'individuazione dei soggetti critici di particolare rilevanza europea, di cui all'articolo 17, e le missioni di consulenza della Commissione europea finalizzate a valutare le misure predisposte da tali soggetti per adempiere ai propri obblighi, di cui all'articolo 18;
• f)disposizioni per la predisposizione della strategia nazionale per la resilienza dei soggetti critici, di cui all'articolo 6;
• g)la disciplina della valutazione del rischio da parte dello Stato, di cui all'articolo 7, e della valutazione del rischio da parte dei soggetti critici, di cui all'articolo 13;
• h)l'istituzione del Comitato interministeriale per la resilienza, di cui all'articolo 4, nonche' l'individuazione delle autorita' settoriali competenti e del punto di contatto unico, di cui all'articolo 5;
• i)le modalita' di cooperazione con gli altri Stati membri e con la Commissione europea, inclusa la partecipazione nazionale al gruppo per la resilienza dei soggetti critici di cui all'articolo 19. Fermo restando quanto previsto dall'articolo 10, il presente decreto non si applica alle materie disciplinate dalle disposizioni nazionali di attuazione della direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, le cui misure sulla gestione dei rischi della cibersicurezza sono basate su un approccio multirischio che mira a proteggere anche l'ambiente fisico dei sistemi informatici da eventi che possono avere origini diverse. Qualora gli obblighi previsti per i soggetti critici di adottare misure per rafforzare la loro resilienza siano oggetto di uno specifico atto giuridico dell'Unione europea, si applicano le disposizioni di detto atto giuridico nella misura in cui gli effetti di tali obblighi siano almeno equivalenti a quelli degli obblighi di cui al presente decreto. In tale circostanza non si applicano le disposizioni in materia di vigilanza ed esecuzione di cui al presente decreto. Fatto salvo quanto previsto dall'articolo 346 del Trattato sul funzionamento dell'Unione europea, se l'applicazione del presente decreto comporta la comunicazione di informazioni riservate ai sensi delle disposizioni nazionali o delle disposizioni dell'Unione europea, tale comunicazione e' limitata a quanto strettamente necessario ai fini dell'applicazione medesima e le informazioni scambiate sono esclusivamente quelle pertinenti e commisurate allo scopo. In ogni caso, la comunicazione di cui al primo periodo tutela la riservatezza di tali informazioni, nonche' la sicurezza e gli interessi commerciali dei soggetti critici di cui all'articolo 2, comma 1, lettera a). Gli obblighi stabiliti dal presente decreto non comportano la comunicazione di informazioni la cui divulgazione sarebbe contraria agli interessi essenziali dello Stato in materia di sicurezza nazionale, di difesa o di pubblica sicurezza. Resta impregiudicata la responsabilita' dello Stato di tutelare la sicurezza nazionale, la difesa e le altre funzioni essenziali dello Stato, tra cui la garanzia dell'integrita' territoriale dello Stato e il mantenimento dell'ordine pubblico. Il presente decreto non si applica agli organi e alle articolazioni della pubblica amministrazione, nonche' agli enti di cui all'articolo 2, comma 1, lettera l), che operano nei settori della pubblica sicurezza, della difesa nazionale o dell'attivita' di contrasto, compresi l'indagine, l'accertamento e il perseguimento di reati, nonche' agli organismi di informazione per la sicurezza di cui alla legge 3 agosto 2007, n. 124, all'Agenzia per la cybersicurezza nazionale di cui al decreto-legge 14 giugno 2021, n. 82, convertito, con modificazioni, dalla legge 4 agosto 2021, n. 109. Esso non si applica, altresi', al Parlamento, alla Banca d'Italia, all'Unita' di informazione finanziaria per l'Italia di cui all'articolo 6 del decreto legislativo 21 novembre 2007, n. 231 e agli organi giudiziari. Con uno o piu' decreti del Presidente del Consiglio dei ministri, di concerto, per gli ambiti di rispettiva competenza, con i Ministri della giustizia, dell'interno e della difesa, sentito il Comitato interministeriale per la resilienza di cui all'articolo 4, sono individuati specifici soggetti critici che svolgono attivita' principalmente nei settori della pubblica sicurezza, della protezione civile, della difesa o dell'attivita' di contrasto, accertamento e perseguimento di reati, ovvero che forniscono servizi esclusivamente agli organi, alle articolazioni o agli enti della pubblica amministrazione di cui al comma 6, ai quali, nell'espletamento di tali attivita' o servizi, non si applicano le disposizioni di cui all'articolo 12 e ai capi III, IV e VI del presente decreto. Resta ferma l'applicazione del codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196. Con decreto del Presidente del Consiglio dei ministri, da adottare ai sensi dell'articolo 43 della legge 3 agosto 2007, n. 124, sono individuati specifici soggetti critici che svolgono attivita' principalmente o forniscono servizi esclusivamente per gli organismi di informazione per la sicurezza di cui agli articoli 4, 6 e 7 della legge n. 124 del 2007, ai quali, nell'espletamento delle predette attivita' o servizi, non si applicano le disposizioni di cui all'articolo 12 e ai capi III, IV e VI del presente decreto.