Gentili componenti della Coalizione,
come ben sapete, lo scorso ottobre abbiamo richiesto all’Agenzia per l’Italia Digitale alcuni chiarimenti in merito all´onere di comunicazione di eventuali incidenti di sicurezza che possano occorrere ai sistemi che realizzano servizi fiduciari ai sensi dell´art. 32-bis, comma 2, del Codice dell´Amministrazione Digitale (così come modificato dal D.Lgs. 217/2017) anche in capo ai conservatori accreditati.
Nella risposta dell’Agenzia (in allegato) si afferma che in attesa dell’emanazione delle Linee Guida per i soggetti che intendono svolgere l’attività di conservatore di documenti informatici accreditati restano applicabili il DPCM 3 dicembre 2013 e la Circolare AgID n. 65/2014 unitamente alle procedure previste nel documento “Requisiti di qualità e sicurezza per l’accreditamento e la vigilanza” (previste nei requisiti 20 e 21). L’Agenzia, quindi, conferma che i conservatori accreditati sono tenuti a definire e ad adottare un sistema di classificazione degli incidenti di sicurezza, adeguando le proprie procedure per consentire l’eventuale segnalazione “tempestiva”.
In attesa delle Linee Guida, AgID raccomanda di fare riferimento alle modalità di classificazione degli incidenti e dei malfunzionamenti previste nelle Linee Guida di ENISA per i fornitori di servizi fiduciari (https://www.enisa.europa.eu/publications/article19-incident-reporting-framework) che prevedono una macro classificazione degli incidenti e dei malfunzionamenti. In pratica si chiede ad ogni Conservatore accreditato di individuare, sulla base anche della documentazione conservata, quali incidenti possano non avere impatto significativo sul servizio (comprendendo accadimenti senza impatto o con impatto che non inficia i servizi di base) e quali, invece, possano avere impatto significativo sull’erogazione del servizio di conservazione (comprendendo accadimenti che interessano i servizi, i clienti o perfino l’intera organizzazione). Per incidenti e malfunzionamenti con impatto non significativo non è dovuta alcuna comunicazione mentre quelli con impatto significativo prevedono una notifica tempestiva (entro 24 ore dalla scoperta dell’incidente) verso AgID e verso gli utenti interessati.
Attualmente le comunicazioni dei conservatori accreditati non devono rispettare uno standard in particolare, potendo le modalità variare da conservatore a conservatore. Resta confermato che le comunicazioni debbano essere effettuate tramite Posta Elettronica Certificata all’indirizzo protocollo@pec.agid.gov.it.
Per leggere il documento ufficiale ricevuto dall’Agenzia, cliccare il seguente link.
