Dopo il comma 2 inserire il seguente:

  2-bis. Per i comuni con popolazione superiore a 100.000 abitanti e i comuni capoluoghi di regione, per le società di trasporto pubblico urbano con bacino di utenza non inferiore a 100.000 abitanti, per le società di trasporto pubblico extraurbano operanti nell'ambito delle città metropolitane, per le aziende sanitarie locali e per le società in house che forniscono servizi informatici, i servizi di trasporto di cui al comma 1, nonché per quelle che raccolgono, smaltiscono o trattano acque reflue urbane, domestiche o industriali, come definite ai sensi dell'articolo 2, punti 1), 2) e 3), della direttiva 91/271/CEE del Consiglio, del 21 maggio 1991, o che si occupano della gestione dei rifiuti, come definita ai sensi dell'articolo 3, punto 9), della direttiva 2008/98/CE del Parlamento europeo e del Consiglio, del 19 novembre 2008, gli obblighi di cui ai commi 1 e 2 del presente articolo si applicano a decorrere dal centottantesimo giorno successivo alla data di entrata in vigore della presente legge.

  Sostituire i commi 1 e 2 con i seguenti:

  1. Le pubbliche amministrazioni centrali individuate ai sensi dell'articolo 1, comma 3, della legge 31 dicembre 2009, n. 196, le regioni, le province e le province autonome di Trento e di Bolzano, le città metropolitane, i comuni con popolazione superiore a 100.000 abitanti e, comunque, i comuni capoluoghi di regione, nonché le società di trasporto pubblico urbano con bacino di utenza non inferiore a 100.000 abitanti, le società di trasporto pubblico extraurbano operanti nell'ambito delle città metropolitane e le aziende sanitarie locali notificano, con le modalità e nei termini di cui al comma 2, gli incidenti indicati nella tassonomia di cui all'articolo 1, comma 3-bis, del decreto-legge 21 settembre 2019, n. 105, convertito, con modificazioni, dalla legge 18 novembre 2019, n. 133, aventi impatto su reti, sistemi informativi e servizi informatici di loro proprietà. A tale obbligo sono soggette altresì le rispettive società in house che gestiscono le reti, i sistemi informativi, i servizi informatici e i dati, ivi compresa la loro sicurezza, per conto dei soggetti di cui al presente comma.
  2. I soggetti di cui al comma 1 notificano, senza ritardo e comunque entro il termine massimo di settantadue ore dal momento in cui ne sono venuti a conoscenza a seguito delle evidenze tecniche ottenute, qualunque incidente, inteso come ogni evento che compromette la disponibilità, l'autenticità, l'integrità o la riservatezza di dati conservati, trasmessi o elaborati o dei servizi offerti dai sistemi informatici e di rete o accessibili attraverso di essi, riconducibile a una delle tipologie individuate nella tassonomia di cui al comma 1. La notifica è effettuata tramite le apposite procedure disponibili nel sito internet istituzionale dell'Agenzia per la cybersicurezza nazionale.
  2-bis. Gli obblighi di cui ai commi 1 e 2 si applicano a decorrere dal centottantesimo giorno dalla data di entrata in vigore della presente legge.