Rapporto esplicativo

4 Commento ai singoli articoli

Le basi legali dell’obbligo di notifica di ciberattacchi, fatti salvi alcuni adeguamenti al capitolo 1,

verrebbero introdotte nel capitolo 5 della LSIn. Il capitolo 5 è stato completamente rielaborato in modo da integrare anche i compiti del NCSC che vanno oltre l’obbligo di notifica e non riguardano esclusivamente le infrastrutture critiche. Per questo motivo è stato modificato anche il titolo del capitolo («Capitolo 5: Misure della Confederazione per la protezione della Svizzera contro i ciber-rischi»).

I principali contenuti delle disposizioni di legge in parte sono già stati descritti in modo esaustivo e giustificati nel messaggio concernente la legge sulla sicurezza delle informazioni (FF 2017 2675 segg.) e ai punti precedenti. Il commento ai seguenti articoli contiene quindi soltanto integrazioni.

Capitolo 1: Disposizioni generali

Nel primo capitolo sono state apportate modifiche soltanto agli articoli 1, 2 e 5. I restanti articoli non sono stati modificati.

Articolo 1 Scopo

L’articolo della LSIn concernente lo scopo è stato integrato al capoverso 1 e per questo è stata introdotta una suddivisione nelle lettere a e b. Alla lettera a è stata ripresa la formulazione originale, mentre alla lettera b è stato specificato lo scopo della legge per quanto concerne i ciber-rischi.

L’articolo è stato quindi ampliato per tenere conto degli aspetti inseriti con l’introduzione dell’obbligo di notifica di ciberattacchi e con la regolamentazione a livello di legge dei compiti del NCSC.

Articolo 2 Autorità e organizzazioni assoggettate

È stato modificato il rimando nel capoverso 5 alle disposizioni valide per le infrastrutture critiche perché ora il capitolo 5 inizia con l’articolo 73a e termina con l’articolo 79. Non sono state apportate modifiche a livello di contenuto.

Articolo 5 Definizioni

Le definizioni alle lettere a, b e c non sono state modificate.

Lettera d

A questa lettera è stata inserita la definizione di «ciberincidente», ripresa dall’articolo 3 lettera b OCiber e leggermente adeguata. La definizione comprendere anche l’abuso di mezzi informatici, che può avvenire, ad esempio, in caso di tentativi di phishing.

Lettera e

È stata inserita la definizione di «ciberattacco», ovvero un possibile tipo di ciberincidente. La definizione di «ciberattacco», che ne specifica il significato rispetto all’iperonimo «ciberincidente», è importante perché soltanto gli attacchi a infrastrutture critiche sono sottoposti all’obbligo di notifica, mentre i ciberincidenti e le vulnerabilità possono essere segnalate volontariamente e da chiunque.

Capitolo 5: Misure della Confederazione per la protezione della Svizzera contro i ciber-rischi

Al secondo, terzo e quarto capitolo non sono state apportate modifiche. Nel capitolo quinto, oltre all’obbligo di notifica di ciberattacchi a infrastrutture critiche, sono state inserite anche le disposizioni di base relative ai compiti del NCSC. Per renderlo più chiaro il capitolo 5 è quindi stato suddiviso in 3 sezioni.

Sezione 1: Disposizioni generali

Articolo 73a Principio