Art. 20 — Vigilanza ed esecuzione

Fatte salve le attribuzioni e le competenze degli organi preposti alla tutela dell'ordine e della sicurezza pubblica, le ASC vigilano sul rispetto degli obblighi previsti in capo ai soggetti critici dal presente decreto. A tal fine, le ASC, tenendo informato il PCU, esercitano i poteri previsti dal presente decreto, ivi inclusi, di propria iniziativa o su proposta del PCU, i seguenti poteri:

• a)effettuare ispezioni dell'infrastruttura critica e dei siti utilizzati dai soggetti critici per fornire i loro servizi essenziali e richiedere informazioni, documenti e ogni altro elemento utile a valutare le misure adottate dai soggetti critici conformemente all'articolo 14;
• b)svolgere o disporre controlli nei confronti dei soggetti critici. Le ASC, se necessario per esercitare le competenze ad esse attribuite dal presente decreto, possono chiedere in forma scritta ai soggetti critici individuati ai sensi dell'articolo 8, comma 4, di fornire, entro un termine ragionevole, da indicare nella richiesta:
• a)le informazioni necessarie per valutare se le misure adottate da tali soggetti per garantire la loro resilienza soddisfano i requisiti di cui all'articolo 14;
• b)la prova dell'effettiva attuazione delle misure di cui alla lettera a), inclusi i risultati di un controllo svolto a spese di tali soggetti critici da parte di un revisore indipendente e qualificato, dagli stessi selezionato. Le richieste di cui al comma 2 indicano il proprio scopo e specificano il tipo di informazioni da fornire. Fatto salvo il potere sanzionatorio di cui all'articolo 21, le ASC, quando a seguito dell'esercizio dei poteri di vigilanza di cui al comma 1 e della valutazione degli elementi richiesti ai sensi del comma 2, accertano la violazione degli obblighi imposti dal presente decreto, diffidano i soggetti critici cui la violazione si riferisce ad adottare, entro un termine ragionevole, da indicare nella diffida, le misure, necessarie e proporzionate, per sanare la violazione, nonche' a fornire le informazioni sulle misure adottate. Le diffide di cui al comma 4 tengono conto della gravita' della violazione. I poteri di cui ai commi 1, 2 e 4 sono esercitati in modo oggettivo, trasparente, proporzionato e tale da tutelare i segreti commerciali e aziendali dei soggetti critici, nonche' i loro diritti e interessi legittimi, inclusi il diritto al contraddittorio, i diritti della difesa, tra cui quello di produrre documenti e di formulare osservazioni, e il diritto a un ricorso effettivo dinanzi a un giudice indipendente. Quando le ASC esercitano i poteri di cui ai commi 1 e 2 nei confronti dei soggetti critici:
• a)informano l'Agenzia per la cybersicurezza nazionale e il PCU;
• b)possono chiedere all'Agenzia per la cybersicurezza nazionale di esercitare, nei confronti di tali soggetti critici, i poteri di vigilanza e di esecuzione previsti in capo a quest'ultima dalle disposizioni nazionali di attuazione della direttiva (UE) 2022/2555. Al fine di quanto previsto dal comma 7, le ASC, informato il PCU, cooperano e scambiano informazioni con l'Agenzia per la cybersicurezza nazionale.