Home » CAPO III – Cooperazione a livello dell’ Unione europea e internazionale (art. 18-22) » Articolo 21 – Procedura di revisione tra pari
Sintesi Articolo 21
Il decreto introduce la possibilità per l’Autorità nazionale competente NIS di partecipare alla procedura di revisione tra pari. La revisione tra pari può avere ad oggetto diversi aspetti, previsti al presente articolo e concernono le capacità, risorse finanziarie, tecniche e umane disponibili, le capacità operative del CSIRT nazionale, stato di attuazione ovvero il livello di attuazione degli obblighi in materia di misure di gestione del rischio. A effettuare le revisioni presso gli altri Stati membri, di cui deve essere data comunicazione prima dell’avvio, sono esperti di sicurezza informatica rappresentanti di Autorità competente NIS e da queste ultime indicati, i quali procedono con le attività proprie del loro incarico partecipando a tutte le attività necessarie allo svolgimento tramite visite in loco o scambi di informazioni. Infine contribuiscono all’elaborazione delle relazioni finali. La condivisione delle informazioni risultante dalla pratica enunciata al presente articolo è effettuata nel rispetto della legislazione in materia di tutela delle informazioni protette da classifica di segretezza e di salvaguardia delle funzioni essenziali dello Stato, ivi inclusa la sicurezza nazionale.
- Il CSIRT Italia partecipa alla Rete di CSIRT nazionali.
- Il CSIRT Italia, ai fini del comma 1, contribuisce a:
- a) scambiare informazioni per quanto riguarda le capacità dei CSIRT nazionali;
- b) agevolare, ove possibile, la condivisione, il trasferimento e lo scambio di tecnologia e delle misure, delle politiche, degli strumenti, dei processi, delle migliori pratiche e dei quadri pertinenti fra i CSIRT nazionali;
- c) scambiare, su richiesta di un CSIRT nazionale di un altro Stato membro potenzialmente interessato da un incidente, informazioni relative a tale incidente, alle minacce informatiche, ai rischi e alle vulnerabilità associate;
- d) scambiare informazioni in merito alle pubblicazioni e alle raccomandazioni in materia di sicurezza informatica;
- e) garantire l’interoperabilità per quanto riguarda le specifiche e i protocolli per lo scambio di informazioni;
- f) su richiesta di un membro della Rete di CSIRT nazionali potenzialmente interessato da un incidente, scambiare e discutere informazioni non sensibili sul piano commerciale connesse a tale incidente, ai rischi e alle vulnerabilità associati, ad eccezione dei casi in cui lo scambio di informazioni potrebbe compromettere l’indagine sull’incidente;
- g) su richiesta di un membro della Rete di CSIRT nazionali, discutere e, ove possibile, attuare una risposta coordinata a un incidente identificato nella giurisdizione di tale Stato membro;
- h) fornire assistenza ai CSIRT nazionali di altri Stati membri nel far fronte a incidenti che interessano due o più Stati membri;
- i) cooperare e scambiare migliori pratiche con i CSIRT nazionali designati dagli altri Stati membri in qualità di coordinatori ai sensi dell’articolo 12 della direttiva (UE) 2022/2555, nonché fornire loro assistenza per quanto riguarda la gestione della divulgazione coordinata di vulnerabilità che potrebbero avere un impatto significativo su soggetti in più di uno Stato membro;
- l) discutere e individuare ulteriori forme di cooperazione operativa, anche in relazione a:
- 1) categorie di minacce informatiche e incidenti;
- 2) preallarmi;
- 3) assistenza reciproca;
- 4) principi e modalità di coordinamento in risposta a rischi e incidenti transfrontalieri;
- 5) contributi al piano nazionale di risposta agli incidenti e alle crisi informatiche su vasta scala di cui all’articolo 13, comma 3, su richiesta di uno Stato membro;
- m) su richiesta di un membro della Rete di CSIRT nazionali, discutere le capacità e lo stato di preparazione del CSIRT nazionale richiedente;
- n) cooperare e scambiare informazioni con i centri operativi di sicurezza informatica regionali e a livello dell’Unione europea, al fine di migliorare la consapevolezza situazionale comune sugli incidenti e le minacce informatiche a livello dell’Unione europea;
- o) se del caso, discutere le relazioni sulle revisioni tra pari di cui all’articolo 21;
- p) scambiare informazioni pertinenti per quanto riguarda gli incidenti, i quasi-incidenti, le minacce informatiche, i rischi e le vulnerabilità;
- q) informare il Gruppo di cooperazione NIS sulle proprie attività e sulle ulteriori forme di cooperazione operativa discusse a norma della lettera i) e, se necessario, chiedere orientamenti non vincolanti in merito;
- r) fare il punto sui risultati delle esercitazioni di sicurezza informatica, comprese quelle organizzate dall’ENISA;
- s) fornire orientamenti non vincolanti volti ad agevolare la convergenza delle pratiche operative in relazione all’applicazione delle disposizioni del presente articolo in materia di cooperazione operativa
- l) discutere e individuare ulteriori forme di cooperazione operativa, anche in relazione a: