Rapporto esplicativo

Consenso all’introduzione di un obbligo di notifica

(1 = nessun consenso, 5 = consenso completo)

164 133 55 1120

1 2 3 45

Figura 1 Valutazione della proposta di introdurre un obbligo di notifica

Un ciberattacco a un’infrastruttura critica può comportare, oltre all’obbligo di notifica al NCSC, l’avvio di altri processi sottoposti a obbligo di segnalazione e quindi imporre contemporaneamente svariati obblighi di notifica. Possono per esempio presentarsi i seguenti casi:

• le infrastrutture critiche che operano nel settore dei mercati finanziari sotto la vigilanza della FINMA già da maggio 2020 sono sottoposte all’obbligo di notifica alla FINMA in caso di ci-21

berincidenti . Nel caso subiscano un ciberattacco, quindi, queste imprese dovrebbero segnalare l’evento sia alla FINMA che al NCSC;

• un ciberattacco a un’infrastruttura critica può comportare una violazione della sicurezza dei 22

dati, che, a seconda della gravità, può prevedere un obbligo di notifica all’IFPDT ;

• se un ciberattacco provoca un malfunzionamento di un’infrastruttura critica, ad esempio un incidente radioattivo in una centrale nucleare, anche questo evento deve essere segnalato (IFSN, CENAL, ecc.).

Il nuovo obbligo di notifica di ciberattacchi che si intende introdurre non sostituirà gli obblighi di segnalazione già in vigore, che rimarranno validi e inalterati. È quindi importante che l’impegno richiesto ai destinatari dell’obbligo di notifica sia sostenibile anche nel caso in cui debbano contemporaneamente assolvere altri obblighi di segnalazione. Per questo motivo il NCSC metterà a disposizione un sistema per la registrazione elettronica della notifica (modulo, maschera di notifica o strumento simile). Gli assoggettati all’obbligo potranno decidere autonomamente se inviare la notifica registrata elettronicamente ad altri servizi di segnalazione inserendo eventuali informazioni aggiuntive. Se gli altri servizi di segnalazione forniranno il proprio supporto, il modulo potrebbe essere anche strutturato in modo tale che, oltre a informazioni generali sull’infrastruttura critica, permetta di inserire informazioni aggiuntive specifiche destinate unicamente a un determinato servizio di segnalazione per l’assolvimento del relativo obbligo di notifica. In questo modo al momento della registrazione e dell’inoltro i soggetti che sottostanno all’obbligo potrebbero decidere quali informazioni inviare a quale servizio.