Regolamento in materia di accreditamento dei laboratori di prova e di raccordi tra Centro di Valutazione e Certificazione Nazionale, i laboratori di prova accreditati e i Centri di Valutazione del Ministero dell'interno e del Ministero della difesa, ai se

L'organismo di accreditamento e' il CVCN, che opera in conformita' ai requisiti della norma UNI CEI EN ISO/IEC 17011 - «Valutazione della conformita' - Requisiti per gli organismi di accreditamento che accreditano organismi di valutazione della conformita'».

Per le finalita' di cui al presente decreto e' istituita presso il CVCN una commissione di accreditamento, con compiti consultivi, composta dal presidente designato dall'Agenzia e da due rappresentanti designati, rispettivamente, dal Ministero dell'interno e dal Ministero della difesa, in possesso di competenze tecnico-specialistiche nel campo della certificazione di processo e della sicurezza informatica. Il CVCN assicura le attivita' di segreteria e di supporto per il funzionamento della commissione.

La commissione di accreditamento esprime i pareri obbligatori previsti dagli articoli 12, 15 e 16.

Per la partecipazione alla commissione di accreditamento non sono previsti gettoni di presenza, compensi o rimborsi di spese.

Per la verifica della sussistenza e del mantenimento dei requisiti di cui all'articolo 9, commi 1, 2, 3 e 6, il CVCN puo' richiedere di effettuare i necessari riscontri alle Forze di polizia di cui all'articolo 16 della legge 1° aprile 1981, n. 121, le quali operano nell'ambito delle autonome competenze istituzionali loro attribuite dalla normativa vigente.

I laboratori di prova sono accreditati per una o piu' aree, indicate dal CVCN con la determinazione tecnica di cui all'articolo 4, comma 1, lettera e), numero 4), in relazione alle categorie, alle tipologie e ai livelli di severita' dei test individuati dal CVCN. I laboratori di prova indicano le aree per cui chiedono di essere accreditati nella domanda di cui agli articoli 10 e 11.

Possono richiedere l'accreditamento le amministrazioni pubbliche e gli enti pubblici, nonche' i soggetti privati aventi sede legale nel territorio nazionale, iscritti, ove previsto dalla normativa vigente, nel registro delle imprese della Camera di commercio, industria, artigianato e agricoltura, titolari di un laboratorio di prova.

Ai sensi dell'articolo 1, comma 7, lettera b), del decreto-legge i laboratori istituiti presso le amministrazioni centrali dello Stato, accreditati secondo le modalita' di cui agli articoli 11 e 12, possono, su incarico del CVCN, eseguire i test su oggetti di fornitura in acquisizione presso le medesime amministrazioni.

Ai fini dell'accreditamento dei laboratori di prova di cui sono titolari soggetti privati, e' altresi' valutato il possesso della capacita' di garantire imparzialita', indipendenza, riservatezza e obiettivita' nello svolgimento delle funzioni connesse all'accreditamento.

Relativamente ai laboratori di prova di cui all'articolo 10 costituisce motivo ostativo all'accreditamento l'applicazione all'ente delle sanzioni amministrative di cui al Capo I, Sezione III, del decreto legislativo 8 giugno 2001, n. 231.

Le disposizioni di cui al comma 3 non si applicano ai laboratori di prova aventi sede nel territorio nazionale e di cui sono titolari soggetti inclusi nel perimetro. Le attivita' svolte da detti laboratori non possono in ogni caso riguardare beni, sistemi e servizi ICT prodotti, forniti o acquisiti dal soggetto stesso ai sensi dell'articolo 1, comma 6, lettera a), del decreto-legge, nonche' beni, sistemi e servizi ICT prodotti, forniti o acquisiti da soggetti operanti nell'ambito del medesimo settore di attivita'.

Non e' in ogni caso consentito l'accreditamento ove sussistano motivi ostativi inerenti alla sicurezza della Repubblica.

Ai fini di cui al comma 5 e' oggetto di valutazione, tra l'altro, se il soggetto privato richiedente sia controllato, direttamente o indirettamente, da persone fisiche o giuridiche, incluse amministrazioni pubbliche, che abbiano la residenza, la dimora abituale, la sede legale o dell'amministrazione ovvero il centro di attivita' principale fuori dal territorio della Repubblica ovvero sia direttamente o indirettamente sottoposto all'influenza di dette persone fisiche o giuridiche, anche attraverso l'erogazione di finanziamenti consistenti.

Domanda di accreditamento di laboratori di prova
di cui e' titolare un soggetto privato

La domanda e le relative dichiarazioni che attestano il possesso dei requisiti di cui al comma 1 sono sottoscritte ai sensi e per gli effetti di quanto previsto dal decreto del Presidente della Repubblica 28 dicembre 2000, n. 445.

La domanda e le relative dichiarazioni che attestano il possesso dei requisiti a corredo di cui al comma 1 sono sottoscritte ai sensi e per gli effetti di quanto previsto dal decreto del Presidente della Repubblica 28 dicembre 2000, n. 445.

Qualora, in qualunque fase del procedimento, il laboratorio di prova comunichi di rinunciare all'accreditamento o non fornisca riscontro alle richieste nei termini previsti, il CVCN procede all'archiviazione dell'istanza.

Il CVCN conclude la procedura di accreditamento entro 180 giorni dalla ricezione della domanda di accreditamento.

Nei casi di cui al comma 1, lettera a), numeri 2) e 3), lettera b), numero 2), lettera c), numero 4), e lettera e), numero 1), il termine di cui al comma 3 e' sospeso fino all'acquisizione della documentazione richiesta.

E' fatto obbligo a coloro che ne vengano a conoscenza nell'ambito dello svolgimento delle attivita' per le quali il laboratorio di prova e' accreditato, quale dovere inerente alla funzione o al servizio, di non rivelare a terzi, direttamente o indirettamente, informazioni, cognizioni, documenti, esperienze tecnico-industriali e dati tecnici relativi alle suddette attivita'.
Al fine di assicurare il rispetto dell'obbligo di cui al presente comma e dell'impegno di non divulgazione di cui agli articoli 10, comma 1, lettera h), e 11, comma 1, lettera h), il LAP adotta adeguate misure di sicurezza ed esercita opportune attivita' di vigilanza.

Vigilanza sull'attivita' dei LAP

Il CVCN dispone l'effettuazione di verifiche con cadenza periodica al massimo ogni 18 mesi, per la verifica del mantenimento dei requisiti di accreditamento.

Il CVCN puo' effettuare visita ispettiva a campione per la verifica del soddisfacimento delle condizioni per il mantenimento dell'accreditamento.

Il CVCN, con almeno due mesi di anticipo rispetto alla data fissata, comunica al LAP la data programmata per la visita ispettiva di vigilanza, richiedendo un'eventuale integrazione della documentazione qualora siano intervenute variazioni che abbiano comportato la necessita' della revisione della documentazione di sistema.

Il personale incaricato, dopo aver effettuato la verifica della documentazione, effettua l'ispezione presso il LAP al fine di valutarne i requisiti previsti.

Al termine dell'ispezione il personale incaricato trasmette al CVCN il rapporto di verifica relativo al mantenimento dei requisiti del LAP con riferimento all'area di accreditamento.

Nel caso in cui la verifica effettuata dal personale incaricato dia esito positivo il CVCN comunica il risultato al LAP.

Nel caso in cui la verifica effettuata dal personale incaricato dia esito negativo, il CVCN comunica il risultato al LAP, fissando eventualmente modalita' e termini per la rimozione delle non conformita' come indicato nell'articolo 15.

Qualora sia dimostrato il mancato rispetto degli obblighi di cui all'articolo 13 e di cui all'articolo 22, il CVCN, sentita la commissione di accreditamento, intima al LAP non piu' conforme di porre in essere, entro il termine di 10 giorni, le misure necessarie ai fini del superamento delle difformita' riscontrate. Qualora entro il termine fissato il laboratorio non abbia apportato le richieste azioni correttive, l'accreditamento e' sospeso. Decorsi tre mesi dalla disposizione della sospensione senza che siano state rimosse le difformita', l'accreditamento e' revocato.

In caso di non conformita' riguardante gli obblighi di cui alla lettera a), con riferimento alle misure di sicurezza indicate dal CVCN, e alle lettere c) e f) del comma 1 dell'articolo 13, nonche' l'obbligo di cui al comma 1 dell'articolo 22, il CVCN, sentita la commissione di accreditamento, puo' disporre con provvedimento motivato la revoca dell'accreditamento.

Entro sei mesi antecedenti la scadenza del certificato di accreditamento, il LAP puo' presentare al CVCN richiesta di rinnovo dell'accreditamento per un ulteriore triennio, eventualmente integrando la documentazione qualora siano intervenute variazioni che abbiano comportato la necessita' della revisione della documentazione.

Il CVCN esamina la domanda e dispone una visita ispettiva per la verifica della sussistenza dei requisiti richiesti per l'accreditamento. Nel caso in cui il personale incaricato esprima avviso favorevole, il CVCN, sentita la commissione accreditamento, rilascia il certificato di rinnovo dell'accreditamento.

Nel caso in cui il personale incaricato non esprima avviso favorevole, il CVCN comunica il risultato al LAP, fissando modalita' e termini per la rimozione delle non conformita' riscontrate, ove eliminabili.

In caso di non conformita' non eliminabili, sentita la commissione accreditamento, il CVCN non rinnova l'accreditamento.

Il LAP puo' presentare domanda di estensione dell'accreditamento ad altre aree, in coincidenza con il termine di cui all'articolo 14, comma 1, ed in fase di rinnovo di cui all'articolo 16. L'istanza e' considerata alla stregua di una domanda di accreditamento con l'esclusione delle verifiche di cui all'articolo 12, comma 1, lettera a).

Il LAP puo' chiedere di ridurre la portata dell'area di accreditamento di cui all'articolo 7.

Responsabilita'

I LAP sono responsabili delle loro attivita', dei risultati delle prove che hanno effettuato e dei rapporti di prova che hanno rilasciato.

L'accreditamento e la vigilanza effettuati dal CVCN avvengono a titolo oneroso. Ai fini del calcolo dei relativi compensi, nelle more dell'adozione di una specifica determinazione tecnica adottata dall'Agenzia in attuazione del decreto-legge 14 giugno 2021, n. 82, convertito, con modificazioni, dalla legge 4 agosto 2021, n. 109, si applica l'articolo 3 del decreto del Ministero delle comunicazioni 15 febbraio 2006, pubblicato nella Gazzetta ufficiale n. 82 del 7 aprile 2006, recante individuazioni delle prestazioni, eseguite dal Ministero delle comunicazioni per conto terzi, ai sensi dell'articolo 6 del decreto legislativo 30 dicembre 2003, n. 366.

Copia della attestazione del versamento deve essere trasmessa al CVCN.

Ai fini del presente decreto, i CV sono accreditati, ai sensi dell'articolo 1, commi 6, lettera a), e 7, lettera b), del decreto-legge, per la verifica delle condizioni di sicurezza e dell'assenza di vulnerabilita' note relativamente alle forniture di beni, sistemi e servizi ICT da impiegare sulle reti, sui sistemi informativi e sui servizi informatici, individuati ai sensi dell'articolo 1, comma 2, lettera b), del decreto-legge, dei rispettivi Ministeri, conformemente alle metodologie di verifica e di test definite dal CVCN.

Il CVCN procede all'accreditamento dei CV sulla base della comunicazione effettuata, tramite posta elettronica certificata, o altro servizio elettronico di recapito certificato qualificato, dai Ministeri dell'interno e della difesa, ciascuno nell'ambito di rispettiva competenza.

Il CVCN assicura i raccordi di cui al comma 1 attraverso la piattaforma informatica di cui all'articolo 4, comma 1, lettera h).

Il CVCN, con la determinazione tecnica di cui all'articolo 4, comma 1, lettera e), numero 8), disciplina le modalita' esecutive delle comunicazioni con i CV ed i termini tecnici ed organizzativi mediante i quali i raccordi trovano effettiva applicazione. Il CVCN con la determinazione tecnica di cui all'articolo 4, comma 1, lettera e), numero 9), disciplina le modalita' esecutive delle comunicazioni con i LAP ed i termini tecnici ed organizzativi mediante i quali i raccordi trovano effettiva applicazione.

Le determinazioni tecniche di cui all'articolo 4, comma 1, lettera e), sono aggiornati ogni qualvolta l'evoluzione delle valutazioni e delle prove lo richiede.

l. Il CVCN, i CV e i LAP, al verificarsi di un incidente sulle reti, sui sistemi informativi e sui servizi informatici di pertinenza deputati allo svolgimento delle funzioni oggetto dell'accreditamento, in termini di compromissione della integrita' o riservatezza dei dati e delle informazioni trattati, procedono alla notifica al CSIRT Italia secondo le modalita' indicate dal CSIRT stesso entro il termine di sei ore dal momento in cui sono venuti a conoscenza dell'incidente.
2. Qualora il CVCN, i CV o i LAP vengano a conoscenza di nuovi elementi significativi, tra cui le specifiche vulnerabilita' sfruttate, la rilevazione di eventi comunque correlati all'incidente oggetto di notifica, ovvero gli indicatori di compromissione (IOC) rilevati, la notifica di cui al comma l e' integrata tempestivamente dal momento in cui ne sono venuti a conoscenza, salvo che l'autorita' giudiziaria procedente abbia previamente comunicato la sussistenza di specifiche esigenze di segretezza investigativa.
3. Su richiesta del CSIRT Italia, il CVCN, i CV o i LAP che hanno proceduto a effettuare una notifica ai sensi dei commi 1 e 2 provvedono, secondo le modalita' indicate dal CSIRT stesso, ed entro sei ore dalla richiesta, a effettuare un aggiornamento della notifica, salvo che l'autorita' giudiziaria procedente abbia previamente comunicato la sussistenza di specifiche esigenze di segretezza investigativa.
4. I CV e i LAP assicurano che dell'avvenuta notifica sia fornita notizia al CVCN, nonche', nel caso di notifica da parte del LAP, all'eventuale CV interessato, qualora i LAP abbiano trattato dati o sistemi inerenti a quest'ultimo.

l. Dall'attuazione del presente decreto non devono derivare nuovi o maggiori oneri a carico della finanza pubblica. L'Agenzia provvede con le risorse umane, strumentali e finanziarie previste a legislazione vigente.