Progetto
Consultazione 2021/70: Obbligo di notifica di ciberattacchi per i gestori di infrastrutture critiche · 10 pagine
Fedlex · Progetto · Pagina 3Fedlex · Progetto
Legge sulla sicurezza delle informazioni
3Se gli viene segnalata una vulnerabilità, il NCSC informa immediatamente il produttore e gli impartisce un congruo termine per eliminarla. Se il produttore non la elimina entro il termine impartito, il NCSC pubblica la vulnerabilità indicando i software o gli hardware interessati, sempre che ciò contribuisca alla protezione contro i ciber-rischi.
Art. 73c Inoltro di informazioni
1 Se dalla notifica di un ciberincidente o dalla sua analisi emergono informazioni rilevanti per individuare tempestivamente e sventare minacce per la sicurezza interna o esterna, valutare la situazione di minaccia o assicurare un servizio di preallerta informativa per la protezione di infrastrutture critiche conformemente all’articolo 6 capoversi 1 lettera a, 2 e 5 della legge federale del 25 settembre 20152 sulle attività informative (LAIn), il NCSC inoltra queste informazioni al SIC.
2 L’obbligo di denuncia di cui all’articolo 22a della legge sul personale federale3 non si applica ai collaboratori del NCSC che constatano indizi di un possibile reato nell’ambito della notifica di un ciberincidente o delle relative analisi. Il responsabile del NCSC può sporgere denuncia, sempre che ciò appaia opportuno in considerazione della gravità del possibile reato.
3Le informazioni rese note da una persona nel quadro di una notifica al NCSC possono essere usate in un procedimento penale contro detta persona soltanto con il suo consenso.
4 Il NCSC può inoltrare informazioni che rivelano segreti protetti dalla legislazione penale esclusivamente secondo quanto disposto dall’articolo 320 del Codice penale4.
Art. 74 Sostegno ai gestori di infrastrutture critiche
1 Il NCSC sostiene i gestori di infrastrutture critiche nella protezione contro i ciberrischi.
2 A tal fine mette a loro disposizione in particolare i seguenti strumenti:
a. un sistema di comunicazione per lo scambio sicuro delle informazioni;
b. informazioni tecniche sui ciber-rischi e sulle vulnerabilità attuali nonché raccomandazioni per l’adozione di misure preventive;
c. strumenti tecnici e istruzioni per l’individuazione di ciberincidenti che si basano sul bisogno di protezione elevato delle infrastrutture critiche.
3Il NCSC consiglia e sostiene i gestori di infrastrutture critiche nella gestione di ciberincidenti e nell’eliminazione di vulnerabilità se per l’infrastruttura critica sussiste il rischio imminente di conseguenze gravi e, nel caso si tratti di gestori privati, non vi è la possibilità di procurarsi per tempo un sostegno equivalente sul mercato.
2RS 121