Rapporto esplicativo

della telefonia mobile volta a lanciare un programma di miglioramento continuo della sicurezza per le attrez- zature e le infrastrutture delle reti mobili. Il GSMA NESAS copre i dispositivi che supportano le funzioni defi- nite dal 3GPP e impiegate dagli operatori mobili nelle loro reti. Il GSMA NESAS sviluppa standard di sicu- rezza e certificazioni ampiamente riconosciuti in tutto il mondo e a cui partecipa l’intero settore delle

telecomunicazioni. Quest’ultimo ha grande fiducia nelle specifiche GSMA NESAS, il che assicura che il pro- gresso tecnico non sia rallentato. Va notato che il GSMA NESAS non include la spedizione e l’impiego delle apparecchiature di rete, né la configurazione e l’utilizzo dei dispositivi di rete mobile.

La GSMA ha sviluppato i requisiti e i processi di sicurezza per il NESAS in collaborazione con il 3GPP, gli operatori e i venditori di apparecchi. La GSMA tiene aggiornata una lista di fornitori di apparecchiature che partecipano al programma e che sono stati sottoposti a una valutazione della sicurezza dei loro processi di sviluppo e del ciclo di vita, così come a una valutazione della sicurezza dei loro prodotti di rete.

Nella sua versione attuale, il GSMA NESAS include gli elementi necessari per sviluppare un sistema di certi- ficazione. Nel quadro della progettazione di un sistema di certificazione, il GSMA NESAS definisce:

− La nomina di un organismo di controllo;

− L’accreditamento dei laboratori di prova;

− I requisiti di sicurezza legati ai processi dei fornitori e ai prodotti di rete, e i metodi per valutare i pro- cessi dei fornitori e i prodotti.

Alcuni fornitori di apparecchiature di rete mobile (in particolare cinesi) sono stati oggetto di una valutazione e di un controllo indipendente (laboratori di prova certificati dal GSMA NESAS) in merito ai loro processi di svi- luppo e del ciclo di vita di certi prodotti. Questo per dimostrare come la sicurezza è stata integrata nei loro processi di progettazione, sviluppo, implementazione e manutenzione (ad es. per le linee di prodotti 5G gNo- deB che sono stazioni base).

Nonostante le crescenti possibilità di rendere virtuali le reti radiomobili, la presenza di infrastrutture e impianti sul posto o in Paesi con misure di sicurezza analoghe rappresenta ancora un vantaggio per la sicurezza. In questo senso, il capoverso 2 della presente disposizione prevede che i centri operativi di rete e di sicurezza dei concessionari di radiocomunicazione mobile vadano esercitati in Svizzera, nello Spazio economico euro- peo o nel Regno Unito.

Secondo l’articolo XIV^biscapoverso 1 lettera b dell’allegato 1B dell’accordo che istituisce l’Organizzazione mondiale del commercio (General Agreement on Trade in Services, GATS) le sue disposizioni non impedi- scono ad un Membro di prendere provvedimenti che lo stesso ritenga necessari ai fini della tutela dei suoi interessi essenziali in materia di sicurezza. Una parte della dottrina sostiene che anche la sicurezza informa- tica potrebbe rientrare nell’ambito di questa disposizione.

Anche l’Unione europea sembra partire da questo principio, considerato che dal rapporto del «NIS Coopera- tion Group» (rappresentanti degli Stati membri dell’UE/Commissione UE/ENISA) sui progressi nell’attuazione del toolbox UE per la sicurezza informatica 5G si evince che 16 dei 26 Stati membri dell’UE presi in conside- razione nel rapporto hanno già garantito o garantiranno entro il 2021 che gli operatori mobili gestiscano i loro Network Operations Centre e Security Operations Centre sul posto, all’interno del Paese e/o dell’UE (Report on Member States’ progress in implementing the EU Toolbox on 5G Cybersecurity | Shaping Europe’s digital future; pubblicazione del 24 luglio 2020; ultimo aggiornamento: 8 marzo 2021).

Il suddetto toolbox offre anche una scelta di interventi di più ampia portata, come ad esempio l’esclusione completa di certi attori da attività sul territorio degli Stati membri, e ovviamente parte dal presupposto che questi siano contemplati dal diritto dell’Organizzazione mondiale del commercio.

Art. 96g Prescrizioni applicabili e vigilanza

Poiché gli articoli 96e e 96f fanno riferimento a norme di sicurezza riconosciute, spetta all’UFCOM designare quelle applicabili in modo vincolante nelle sue prescrizioni tecniche e amministrative (cpv. 1). La prova della conformità a queste norme può essere presentata dai fornitori interessati mediante certificazione da parte di un organo competente nel quadro del sistema di accreditamento svizzero (cfr. ordinanza del 17 giugno 1996 sull’accreditamento e la designazione; RS 946.512) o nel quadro di altri sistemi di certificazione (GSMA NESAS, sistemi europei di certificazione della sicurezza informatica³⁵). In mancanza di una certificazione volontaria del loro sistema di gestione della sicurezza (art. 96e) o in caso di esercizio di impianti di telecomu- nicazione critici che non sono certificati secondo norme di sicurezza riconosciute (art. 96f), un concessiona- rio di radiocomunicazione mobile può essere obbligato, nell’ambito della vigilanza, a sottoporsi a sue spese