XVII LEGISLATURA

CAMERA DEI DEPUTATI

   N. 4660


 
Pag. 1

PROPOSTA DI LEGGE

d'iniziativa dei deputati

VILLECCO CALIPARI, LORENZO GUERINI, ORFINI, GAROFANI, MANCIULLI, PARIS, ALBANELLA, ANTEZZA, BRUNO BOSSIO, CULOTTA, DI SALVO, D'INCECCO, GALPERTI, GINOBLE, GIORGIS, GIULIETTI, GRIBAUDO, IACONO, IORI, LA MARCA, LODOLINI, MARANTELLI, MONGIELLO, PES, PORTA, RIBAUDO, SANI, SCHIRÒ, SGAMBATO, VALERIA VALENTE, VENITTELLI, VICO

Disposizioni per favorire la costituzione e lo sviluppo di start-up innovative nel settore della sicurezza cibernetica

Presentata il 25 settembre 2017


      Onorevoli Colleghi! — Il settore della sicurezza delle tecnologie dell'informazione e della comunicazione (ITC) è in continuo e profondo cambiamento, con un aumento costante della velocità con cui evolvono i trend crescenti e decrescenti; tuttavia, se osservati in modo trasversale, gli scenari del settore presentano indicatori comuni.
      In termini statistici, il 2016 è stato l'anno in cui è stato rilevato il numero di attacchi informatici più alto di sempre e per la prima volta l'Italia è entrata nella top-ten di Paesi al mondo per gravità e per numero di attacchi subiti: alcune pubbliche amministrazioni, quali il Ministero della difesa e il Ministero degli affari esteri e della cooperazione internazionale, sono state colpite da campagne di advanced packaging tool (APT) internazionalmente note e un numero molto alto di aziende nazionali, senza distinzione di dimensione, ha dovuto affrontare attacchi di tipo ransomware o distributed denial-of-service (DDoS), cioè di interruzione distribuita del servizio.
      Nel delineare il quadro annuale sullo stato dell'arte della sicurezza cibernetica in Italia, il rapporto del Clusit 2017 evidenzia anche come il settore delle piccole e medie imprese italiane (PMI) non possa più considerarsi

 
Pag. 2

«out of range», celandosi dietro il falso mito della dimensione ridotta del proprio mercato. Al contrario, proprio la capillarità delle aziende sul territorio, le ridotte capacità individuali di investimento in strategie e in progetti di sicurezza nonché i modelli organizzativi in genere lenti a evolversi rendono proprio le PMI da costola economica nazionale ad anello debole della catena di sicurezza.
      In aggiunta, il mercato italiano specialistico della cybersecurity non vede la presenza di big player produttori di tecnologie, né di grandi enti (pubblici o privati) che agiscono perfettamente in modo sinergico – come da anni in altri Paesi – ma, esattamente in linea con il panorama economico nazionale, è principalmente popolato da eccellenze tecnologiche piccole e medie, spesso nate già in ambiti universitari.
      Questa frammentazione di competenze, anche geografica, unita all'assenza di un sistema-Paese forte e ben sviluppato rischiano di far disperdere tali competenze, con un conseguente svantaggio competitivo complessivo e un rischioso processo di dipendenza tecnologica da soggetti esteri in un settore, quale quello della cybersecurity, strategicamente critico.
      La presente proposta di legge intende identificare le competenze nazionali in materia di cybersecurity in funzione dello sviluppo del mercato, attraverso la definizione di nuovi soggetti costituiti dalle start-up innovative nel settore della sicurezza cibernetica o cybersecurity start-up.
      Dopo l'individuazione della finalità della proposta di legge, all'articolo 1, con l'articolo 2 si definiscono le start-up innovative nel settore della sicurezza cibernetica fissando i criteri che le caratterizzano, avendo come riferimento principale la nuova edizione del Piano nazionale per la protezione cibernetica e la sicurezza informatica di marzo 2017, oltre al decreto del Presidente del Consiglio dei ministri 17 febbraio 2017, «Direttiva recante indirizzi per la protezione cibernetica e la sicurezza informatica nazionali». L'articolo 3 prevede disposizioni in materia di deroghe al diritto societario e di riduzioni degli oneri per l'avvio di start-up innovative nel settore della sicurezza cibernetica
      Con gli articoli 4, 5 e 6, sulla base delle precedenti esperienze normative in materia di beni culturali e di turismo, si prevedono incentivi fiscali e misure per la promozione e l'internazionalizzazione delle start-up innovative nel settore della sicurezza cibernetica, nonché l'istituzione di un'apposita sezione speciale nel registro delle imprese. Infine, l'articolo 7 reca una norma transitoria.
      In conclusione, la presente proposta di legge prevede una normativa semplice, operativa, versatile ed economicamente sostenibile per garantire la sicurezza cibernetica, incentivare lo sviluppo di start-up innovative in tale settore e offrire un supporto concreto alla ricerca e all'imprenditoria giovanile, pur nella consapevolezza di affrontare un tema di grande attualità e complessità tecnica e legislativa.
 
Pag. 3


PROPOSTA DI LEGGE

Art. 1.
(Finalità).

      1. La presente legge ha la finalità di rafforzare la competitività tecnologica nel settore della sicurezza cibernetica, definita dall'articolo 2, comma 1, lettera i), del decreto del Presidente del Consiglio dei ministri 17 febbraio 2017, pubblicato nella Gazzetta Ufficiale n. 87 del 13 aprile 2017, di seguito denominato «decreto 17 febbraio 2017», al fine di:

          a) aumentare i livelli di sicurezza dalle minacce cibernetiche, definite dall'articolo 2, comma 1, lettera l), del decreto 17 febbraio 2017, con particolare riferimento alle piccole e medie imprese;

          b) accrescere la quota di produzione e di occupazione di alta qualificazione attraverso l'incentivo all'istituzione di start-up innovative e lo sviluppo dell'imprenditoria giovanile nel settore della sicurezza cibernetica.

Art. 2.
(Definizione).

      1. Fermo restando quanto stabilito dall'articolo 25, comma 2, lettera f), del decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221, ai fini della presente legge si definiscono start-up innovative nel settore della sicurezza cibernetica le società che hanno come oggetto sociale esclusivo la ricerca e lo sviluppo di strumenti e di servizi orientati alla sicurezza cibernetica e alla sicurezza delle informazioni attraverso l'uso di tecnologie o lo sviluppo di software originali. Tali strumenti e servizi devono riguardare almeno una tra le seguenti funzioni:

          a) raccolta, elaborazione e diffusione di informazioni relative a minacce e vulnerabilità,

 
Pag. 4

nonché gestione della conoscenza che ne deriva;

          b) prevenzione, risposta e rimedio a incidenti informatici e a compromissioni di informazioni su reti e sistemi di comunicazione;

          c) comunicazione e condivisione sicura, rispettando i criteri di identificazione, autenticazione, integrità, non ripudiabilità e confidenzialità delle informazioni riguardanti la sicurezza di sistemi e di piattaforme delle tecnologie dell'informazione e della comunicazione (ICT);

          d) prevenzione, gestione, analisi e valutazione del rischio relativo alla compromissione di informazioni nonché agli incidenti in sistemi e in piattaforme delle ICT;

          e) integrazione e standardizzazione di protocolli di sistemi, tecnologie e servizi già esistenti operanti nelle funzioni indicate dalle lettere a) e seguenti;

          f) promozione e sviluppo della cultura della sicurezza cibernetica.

      2. Le imprese start-up innovative di cui al comma 1 possono essere costituite anche nella forma della società a responsabilità limitata semplificata ai sensi dell'articolo 2463-bis del codice civile.

Art. 3.
(Deroghe al diritto societario e riduzione degli oneri per l'avvio).

      1. Alle società di cui all'articolo 2 della presente legge si applicano, in quanto compatibili, gli articoli 26, 27, 28, 29, 30, 31 e 32 del decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221.
      2. Le società di cui all'articolo 2, qualora siano costituite da persone fisiche che non hanno compiuto il quarantesimo anno di età all'atto della costituzione della medesima società, sono esenti dall'imposta di registro, dai diritti erariali e dalle tasse di concessione governativa.
      3. Le scadenze previste per il versamento dei contributi previdenziali a carico

 
Pag. 5

delle società di cui all'articolo 2 sono differite, per i primi due anni dall'iscrizione nella sezione speciale di cui all'articolo 6, di due anni solari.
      4. Le retribuzioni dei soggetti che rivestono l'incarico di amministratore delle società di cui all'articolo 2 sono esentate, per la parte relativa a tale incarico, dalla contribuzione minima previdenziale.
      5. Le società di cui all'articolo 2 sono esonerate dal versamento dell'acconto dell'imposta sul valore aggiunto (IVA) per i primi due anni dall'iscrizione nella sezione speciale di cui all'articolo 6.

Art. 4.
(Incentivi fiscali).

      1. I costi delle società di cui al titolo V del libro quinto del codice civile, delle reti di imprese, delle organizzazioni di produttori, nonché dei consorzi e delle società consortili, costituite anche in forma cooperativa, finalizzati allo studio di innovazioni tecnologiche da utilizzare per migliorare i propri sistemi di sicurezza cibernetica sostenuti nei confronti delle società di cui all'articolo 2, identificati mediante avviso di gara pubblicato nel sito web dell'ente che ha sostenuto i costi nell'osservanza del modello pubblicato con decreto del Ministro dello sviluppo economico, d'intesa con il Ministro dell'istruzione, dell'università e della ricerca, entro tre mesi dalla data in vigore della presente legge, sono assoggettati al regime fiscale e contabile dei costi in ricerca e sviluppo interni.

Art. 5.
(Internazionalizzazione e promozione).

      1. Il Ministero dello sviluppo economico, di concerto con il Ministero dell'istruzione, dell'università e della ricerca e con il Ministero degli esteri e della cooperazione internazionale, predispone, d'intesa con l'Agenzia per la promozione all'estero e l'internazionalizzazione delle imprese italiane, campagne annuali per la promozione delle società di cui all'articolo 2 nel territorio

 
Pag. 6

nazionale nonché nei principali mercati internazionali.
      2. Entro il mese di febbraio di ogni anno l'Agenzia per la promozione all'estero e l'internazionalizzazione delle imprese italiane trasmette alle Camere una relazione scritta, riferita all'anno precedente, sulle attività di cui al comma 1 e sui risultati ottenuti.
      3. Le società di cui all'articolo 2 della presente legge e all'articolo 25 del decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221, facenti parte di reti di imprese, ovvero di consorzi o di società consortili, costituite anche in forma cooperativa, possono altresì concertare con il Ministero dello sviluppo economico azioni di promozione d'intesa con le regioni, con i comuni e con le camere di commercio, industria, artigianato e agricoltura eventualmente interessati.

Art. 6.
(Sezione speciale del registro delle imprese).

      1. Le camere di commercio, industria, artigianato e agricoltura istituiscono un'apposita sezione speciale del registro delle imprese di cui all'articolo 2188 del codice civile alla quale le società di cui all'articolo 2 della presente legge devono essere iscritte per poter beneficiare della disciplina prevista dalla presente legge.
      2. Ai fini dell'iscrizione nella sezione speciale del registro delle imprese di cui al comma 1 del presente articolo, la sussistenza dei requisiti di cui all'articolo 2 è attestata mediante apposita autocertificazione prodotta dal legale rappresentante della società di cui al citato articolo 2 e depositata presso l'ufficio del registro delle imprese.
      3. Ai fini dell'iscrizione nella sezione speciale del registro delle imprese di cui al comma 1 del presente articolo, le società di cui all'articolo 2 della presente legge devono altresì presentare una domanda contenente le informazioni di cui all'articolo 25, comma 12, del decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni,

 
Pag. 7

dalla legge 17 dicembre 2012, n. 221. Tali informazioni devono essere aggiornate con cadenza non superiore a sei mesi.
      4. Entro trenta giorni dall'approvazione del bilancio e comunque entro sei mesi dalla chiusura di ciascun esercizio, il rappresentante legale delle società di cui all'articolo 2 attesta il mantenimento del possesso dei requisiti previsti dal citato articolo 2 e deposita tale dichiarazione presso l'ufficio del registro delle imprese.
      5. Entro sessanta giorni dalla perdita dei requisiti previsti dall'articolo 2, le società di cui al citato articolo 2 sono cancellate d'ufficio dalla sezione speciale del registro delle imprese di cui al presente articolo, permanendo l'iscrizione nella sezione ordinaria del medesimo registro delle imprese. Ai fini di cui al periodo precedente, alla perdita dei requisiti è equiparato il mancato deposito della dichiarazione di cui al comma 4. Si applica l'articolo 3 del regolamento di cui al decreto del Presidente della Repubblica 23 luglio 2004, n. 247.
      6. Le camere di commercio, industria, artigianato e agricoltura provvedono alle attività di cui al presente articolo nell'ambito delle dotazioni finanziarie, umane e strumentali disponibili a legislazione vigente.

Art. 7.
(Norma transitoria).

      1. Le società già costituite alla data di entrata in vigore della presente legge e in possesso dei requisiti previsti dall'articolo 2 possono richiedere l'iscrizione alla sezione speciale di cui all'articolo 6 se entro sessanta giorni dalla stessa data depositano presso l'ufficio del registro delle imprese una dichiarazione sottoscritta dal rappresentante legale che attesta il possesso dei citati requisiti.