Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

2.1.5 Sicurezza delle informazioni nelle infrastrutture critiche (IC)

In merito alla Strategia nazionale per la protezione della Svizzera contro i rischi informatici, si vedano i numeri 1.1.2.2 e 1.2.6.

Gli articoli 81-83 disciplinano i compiti della Confederazione per sostenere i gestori di infrastrutture critiche nel campo della sicurezza delle informazioni. Per partecipare al partenariato pubblico-privato nell’ambito di MELANI e ricevere le prestazioni di servizio della Confederazione non è necessario alcun assoggettamento alla legge, in virtù di una legislazione speciale, ai sensi dell’articolo 3 capoverso 3. La collaborazione avviene su base volontaria.

Art. 81

Conformemente al capoverso 1, il sostegno da parte della Confederazione concerne in particolare l’individuazione precoce e la valutazione di minacce e pericoli per informazioni e sistemi d’informazione degni di protezione, la corrispondente valutazione dei rischi, l’individuazione di incidenti, il ripristino della sicurezza delle informazioni a seguito di incidenti e l’analisi di incidenti. Per i gestori di infrastrutture critiche si tratta di importanti prestazioni di servizio della Confederazione.

Conformemente al capoverso 2, la Confederazione, da un lato, gestisce un servizio nazionale di allarme precoce che analizza costantemente la situazione di minaccia nell’ambito della sicurezza delle informazioni e rielabora le informazioni riguardanti minacce e pericoli identificati all’attenzione dei gestori di infrastrutture critiche, per sostenerne il processo di sicurezza delle informazioni e di gestione dei rischi. Dall’altro, gestisce un punto di contatto per misure preventive e reattive nell’ambito della sicurezza tecnica delle informazioni (Governmental Computer Emergency Response Team, GovCERT) che può procedere ad analisi tecniche, ad esempio su software nocivi ed emanare raccomandazioni per misure tecniche concrete volte a sventare pericoli o individuare incidenti. Per acquisire conoscenze, i servizi ai quali vengono assegnati compiti di cui al capoverso 2 possono anche simulare sistemi vulnerabili (honeypot) nelle reti.

Conformemente al capoverso 3, il Consiglio federale provvede affinché possa avere luogo uno scambio di informazioni sicuro tra la Confederazione e i gestori di infrastrutture critiche e tra gli stessi gestori di infrastrutture critiche. Sovente minacce e pericoli riguardano non soltanto un singolo obiettivo, bensì varie organizzazioni operanti in un determinato settore o addirittura tutti i gestori di infrastrutture critiche di vari settori. Tuttavia, il ricorso alle prestazioni di servizio di cui all’articolo 81 e la partecipazione al partenariato pubblico-privato poggiano completamente sulla volontarietà. Il principio secondo il quale le infrastrutture critiche assumono la responsabilità del proprio operato viene dunque implicitamente ripetuto. Mediante uno scambio di informazioni permanente si intende creare trasparenza e fiducia. In questo modo, non acquisiscono know-how soltanto i gestori di infrastrutture critiche, bensì anche le autorità federali nella loro qualità di proprietari e gestori di infrastrutture critiche. Esse possono ottenere importanti informazioni per valutare i propri rischi e per sventare pericoli.

Art. 82

Le informazioni riguardo ai pericoli e agli indicatori per incidenti nell’ambito della sicurezza tecnica delle informazioni contengono periodicamente indicazioni su elementi d’indirizzo nel settore delle telecomunicazioni (p. es. indirizzi IP, indirizzi e-mail, nomi di dominio). Questi elementi d’indirizzo sono accomunati dal fatto che (per lo meno in teoria) si riferiscono, rispettivamente, a determinate o determinabili persone e ad apparecchi o collegamenti di telecomunicazione che a loro volta possono essere attribuiti a una determinata o determinabile persona. Di conseguenza, gli elementi d’indirizzo vanno potenzialmente considerati dati personali e, in conformità con gli articoli 4 capoverso 3 e 17 capoverso 1 LPD, necessitano di una base legale per il loro trattamento.

Il capoverso 1 prevede di conseguenza che i servizi competenti secondo l’articolo 81 possano trattare dati personali. Tuttavia, in particolare nel caso di elementi d’indirizzo registrati all’estero, l’identificazione periodica della persona interessata, che comunque non è affatto necessaria per sventare pericoli, non è possibile o lo è soltanto con una spesa notevole. Poiché dunque, di norma, non ha luogo alcuna identificazione, il trattamento di dati non può né essere reso noto alle persone interessate, né esse possono venire informate in merito al trattamento. Il presente articolo va quindi visto come lex specialis rispetto all’articolo 4 capoverso 4 LPD. Se invece sussiste il sospetto che un elemento d’indirizzo (svizzero) o che un apparecchio che utilizza questo elemento d’indirizzo venga utilizzato abusivamente da persone non autorizzate e che così ne risulta un pericolo, l’utente conforme al diritto può eventualmente essere identificato e venire informato in merito all’abuso. L’identificazione non deve tuttavia avvenire per forza da parte delle autorità competenti: ad esempio, nel caso di indirizzi IP dinamici, il fornitore di servizi di telecomunicazione può venire informato affin-