Rapporto esplicativo

fiducia, insoddisfazione dei clienti). Inoltre, i benefici difficilmente possono essere imputati a singole misure di sicurezza. Tuttavia, è indiscusso che il danno causato dagli attacchi informatici ha raggiunto da tempo una dimensione economicamente rilevante. Le misure per ridurre questi costi hanno quindi un impatto positivo diretto.

Si presume in generale che la sicurezza informatica diventerà sempre più un fattore competitivo nella digita- lizzazione⁴⁴. Affinché la Svizzera possa sfruttare i suoi vantaggi dovuti alla sua competitività anche nell’eco- nomia digitale, occorre creare le condizioni necessarie a livello normativo. I requisiti minimi di sicurezza im- posti ai fornitori di accesso a Internet contribuiscono a sfruttare il potenziale economico della digitalizzazione. Pur avendo un effetto positivo sull’economia in generale e sulla politica sociale (cfr. n. 4.3.2), le misure pro- poste comportano costi per gli IAP. Non è possibile quantificare i costi, poiché molti fattori, come la portata delle misure già implementate dai fornitori o la riduzione dei costi dovuta agli sviluppi tecnici, sono molto diffi- cili da rilevare. Questa sezione fornisce quindi una valutazione qualitativa dei costi e affronta in particolare gli effetti prevedibili, soprattutto sui fornitori più piccoli. Nel 2019, l’86 per cento della quota di mercato in termini di numero di clienti era concentrato su cinque grandi IAP. Allo stesso tempo, queste aziende rappresentano solo una frazione di tutti gli IAP operanti in Svizzera. In totale, circa 170 IAP sono attivi in Svizzera. Di questi, circa il 60 per cento ha tra 1 e 1000 clienti Internet, il 25 per cento tra 1000 e 10 000 e il 15 per cento ha oltre 10 000 clienti.⁴⁵

4.2.2.1 Costi della misura 1: Obbligo dei provider di filtrare i pacchetti IP il cui indirizzo IP sorgente è falsificato (spoofing)

L’introduzione di metodi per filtrare i pacchetti IP che hanno un indirizzo IP sorgente falsificato comporta uno sforzo tecnico e amministrativo per i fornitori. Devono implementare tecnicamente i filtri e identificare le reti autorizzate oltre che aggiornare costantemente i filtri in modo da non trattenere nessun pacchetto IP legit- timo. Dal momento che la metodologia di filtraggio dell’ingresso è stata sviluppata 20 anni fa, gli ostacoli tec- nici alla sua implementazione sono ora notevolmente ridotti, vi sono anche numerosi strumenti e guide libe- ramente disponibili⁴⁶.

Quando si valutano i costi, è importante notare che rispetto ai fornitori più grandi⁴⁷, quelli più piccoli devono sostenere spese nettamente inferiori e sforzi molto minori nel determinare quali reti sono autorizzate, neces- sitano inoltre di filtri meno complessi. Inoltre, le connessioni in uscita con elementi di indirizzo falsificati do- vrebbero essere impedite solo se questo è tecnicamente realizzabile per l’IAP con uno sforzo ragionevole.

4.2.2.2 Costi della misura 2: Obbligo dei fornitori di garantire che il livello di sicurezza dei

dispositivi messi a disposizione dei clienti sia conforme allo stato attuale della tec-

nologia.

A seconda degli accordi contrattuali che i fornitori hanno con i produttori, la misura 2 può comportare prezzi più alti per l’acquisto e la manutenzione di CPE. I requisiti tecnici dei dispositivi possono essere soddisfatti dai produttori sostenendo costi minimi, ma i fornitori devono assicurarsi che questi ultimi siano contrattual- mente obbligati a farlo. Le misure di sicurezza per la manutenzione a distanza, l’installazione tempestiva de- gli aggiornamenti di sicurezza e la sostituzione del CPE giunto a fine vita sono invece responsabilità dei for- nitori. I produttori forniscono però gli aggiornamenti necessari, questo riduce in generale gli oneri per i

fornitori. A lungo termine i rischi e la manutenzione di CPE non sicuri od obsoleti sono probabilmente più co- stosi rispetto a una corretta configurazione e manutenzione dei dispositivi.

Anche la misura 2 tenderà ad essere più costosa per i fornitori più grandi piuttosto che per quelli più piccoli, questi hanno meno CPE in uso e possono quindi garantirne una configurazione e una manutenzione sicura con meno risorse. Va notato che l’articolo 96a capoverso 3 disciplina solo il caso in cui i dispositivi sono for- niti al cliente dall’IAP. Se il cliente acquista il suo dispositivo presso un fornitore terzo, non sostiene alcun costo di regolamentazione. Dopo la consegna dei dispositivi, eventuali costi aggiuntivi, ad esempio per l’in- stallazione di aggiornamenti di sicurezza, sono sostenuti solo se l’IAP detiene ancora il controllo sui disposi- tivi.