Rapporto sui risultati

Revisione dell'ordinanza sui servizi di telecomunicazione – Risultati della procedura di consultazione

Art. 96a Manipolazione non autorizzata di impianti di telecomunicazione (misure di sicurezza)

Capoverso 1

IAS, CCPCS, CDDGP, BE, SG, OW, VD, KAPO AI, GVZG e CSP auspicano che la disposizione non si limiti esclusivamente agli attacchi DDoS, i quali dovrebbero piuttosto essere menzionati a titolo di esempio. Viene inoltre ribadito che i dettagli di eventuali meccanismi di attacco non sono da

disciplinare in modo esaustivo nell'OST, bensì nelle PTA. Ciò consente di agire in modo adeguato e di adattarsi facilmente alle nuove disposizioni da prendere in considerazione.

GE è contrario al fatto che gli operatori sono tenuti a utilizzare tutti i mezzi tecnici appropriati per configurare le proprie reti secondo le migliori pratiche di sicurezza, incluso il controllo di elementi di indirizzo falsificati.

economiesuisse sostiene che debbano essere previsti scadenze e tempi di attuazione sufficienti da definire nelle PTA.

Capoverso 2

economiesuisse, UDC e Swisscom auspicano una chiara limitazione del campo di applicazione:

l’aggiornamento degli smartphone deve spettare agli utenti finali e non rientrare in questa

disposizione. Secondo SUISSEDIGITAL è necessario precisare che la disposizione vale soltanto per gli apparecchi forniti dagli IAP in quanto tali.

economiesuisse e Swisscom chiedono termini di attuazione sufficienti (minimo 6 mesi).

Secondo economiesuisse, il CPE deve essere regolamentato con uno standard di sicurezza di base. Inoltre i requisiti della regolamentazione devono essere vincolati maggiormente alla fattibilità tecnica.

FER è dell’opinione che la resilienza digitale possa essere raggiunta soltanto attraverso una visione globale di tutte le varie sfaccettature dei rischi informatici.

Salt chiede aggiornamenti «regolari» e non «immediati».

Per la SSR le misure di sicurezza non sono sufficienti poiché sono concepite su misura per il CPE e vincolano soltanto l’IAP. Si dovrebbe mirare alla protezione di tutti gli apparecchi terminali esposti.

Swisscom vorrebbe che siano gli IAP a valutare la necessità di aggiornare gli impianti di

telecomunicazione.

Diverse prese di posizione si esprimono già in merito alla concreta attuazione tecnica della presente disposizione. In alcuni casi fanno esplicitamente riferimento ai principi per le PTA menzionati nel rapporto esplicativo.

asut, digitalswitzerland e Sunrise UPC sono dell’avviso che occorra riformulare il principio delle PTA relativo alla end of life dei CPE. Questi ultimi vanno cambiati quando non possono più ricevere gli aggiornamenti di sicurezza critici. Swisscom desidera che non siano i fabbricanti ma piuttosto gli IAP a valutare se gli impianti debbano essere sostituiti per importanti motivi di sicurezza.

asut e Sunrise UPC desiderano la soppressione del principio secondo il quale i servizi non necessari vanno disattivati sul CPE. Secondo Swisscom al momento della consegna alcune porte del CPE devono essere aperte in modo da garantire la manutenzione remota dell’apparecchio.

SUISSEDIGITAL e Salt auspicano che ci si basi su norme internazionali.

Swisscom ritiene importante discutere anticipatamente con l’IAP specifiche modifiche di sicurezza agli accessi del router, limitati nel tempo e nel contenuto, nel quadro del processo di supporto e valutare alternative possibili. In generale, le PTA devono essere presentate in anticipo all’IAP

interessato. Inoltre le prescrizioni non devono essere così restrittive da complicare inutilmente, o rendere addirittura impossibile, la gestione del CPE da parte del FST.