Rapporto esplicativo

quindi, contiene gli elementi fondamentali dell’obbligo di notifica di ciberattacchi, ovvero il fattore scatenante e l’entità dell’obbligo di notifica (ciberattacchi che possono potenzialmente arrecare danni), chi sarà assoggettato all’obbligo di notifica (gestori di infrastrutture critiche operanti in determinati settori), il contenuto delle notifiche e il loro utilizzo da parte del NCSC. L’obbligo di notifica per i gestori di infrastrutture critiche rappresenta un’ingerenza nei diritti di soggetti privati o, in caso di istituzioni cantonali o comunali, nella loro autonomia federalistica. Tuttavia non si tratta di un’ingerenza grave; inoltre non ha ripercussioni finanziarie sull’impresa o sull’istituzione interessata.

3.3.2 La LSIn come base giuridica adatta

Nell’ambito dei lavori preparatori si è valutato se le nuove regole dovessero essere introdotte in una legge separata o in una esistente, il cui scopo, oggetto e ambito di applicazione fosse compa-

16

tibile con un obbligo di notifica di ciberattacchi a infrastrutture critiche . Le leggi prese in considerazione come possibili basi legali per l’introduzione di un obbligo di notifica sono state quelle che contengono già disposizioni in materia di tutela delle infrastrutture critiche e che sono incentrate

17 18 1920

sulla protezione dell’ordine pubblico (LPPC , LAP , LMSI , LAIn e LSIn ). Dopo un esame approfondito, però, soltanto la LSIn si è dimostrata adatta. Il suo scopo, garantire la sicurezza delle informazioni trattate dalla Confederazione e dei mezzi informatici impiegati, è direttamente collegato alla cibersicurezza (anche se nella legge non viene utilizzato questo termine). Inoltre la LSIn contiene già disposizioni che prevedono un supporto alle infrastrutture critiche da parte della Confederazione. Questo compito del NCSC, quindi, era già regolamentato a livello di legge da queste disposizioni. La LSIn, dunque, si è rivelata non soltanto adatta, ma pure la base legale ideale all’interno della quale introdurre l’obbligo di notifica di ciberattacchi. Un altro elemento a favore è rappresentato dal fatto che nei dibattiti parlamentari sul disegno di legge si era discusso dell’introduzione dell’obbligo di notifica per i gestori di infrastrutture critiche in caso di «incidenti gravi», ma a giugno 2020 tale proposta era stata rifiutata dalla maggioranza del Consiglio nazionale dopo che il nostro Consiglio aveva fatto notare che si stava elaborando un progetto da porre in consultazione su questo argomento.

3.3.3 Disposizioni di esecuzione

Le disposizioni legali saranno concretizzate attraverso un’ordinanza nella quale verranno descritti più nel dettaglio i compiti del NCSC e la collaborazione con altri servizi e sarà specificato chi dovrà notificare quali ciberattacchi seguendo quale procedura e quando. L’ordinanza integrerà le disposizioni dell’attuale OCiber che disciplinano il rapporto tra la Confederazione e il pubblico e in particolare i gestori di infrastrutture critiche. Per quanto riguarda le disposizioni relative ai destinatari sarà necessario verificare singolarmente se sia preferibile inserire una precisazione nell’ordinanza sull’obbligo di notifica o nelle ordinanze specifiche dei singoli settori.

3.3.4 Attuabilità dell’obbligo di notifica

Ad aprile 2021 il NCSC ha condotto un sondaggio sulla prevista introduzione dell’obbligo di notifica di ciberattacchi intervistando i gestori di infrastrutture critiche e le autorità. Dai risultati è emerso che in generale i soggetti coinvolti sono favorevoli alla proposta, purché venga implementata richiedendo un impegno ridotto a livello burocratico. La figura 1 illustra l’elevato consenso generale tra gli intervistati.