Rapporto esplicativo

In questo articolo sono descritti i compiti del NCSC dalla lettera a alla lettera f. Si tratta di un elenco non esaustivo. Riguardo alla ricezione e al trattamento di notifiche (lettera e) va precisato che sono intese sia le notifiche volontarie di ciberincidenti e vulnerabilità sia le notifiche di ciberattacchi nei confronti di infrastrutture critiche soggetti all’obbligo di notifica.

I singoli compiti e la collaborazione con le autorità nazionali ed estere sono oggetto di altri articoli che ne concretizzano il contenuto.

Articolo 73b Trattamento delle notifiche di ciberincidenti e vulnerabilità

Dal 1° gennaio 2020 il NCSC gestisce un servizio nazionale di contatto per le questioni legate ai ciber-rischi (cfr. art. 12 cpv. 1 lett. a OCiber), che raccoglie ed elabora le segnalazioni di ciberincidenti e vulnerabilità. Il servizio del NCSC è stato realizzato sulla base di MELANI, la centrale che ha raccolto questo tipo di segnalazioni dal 2004. Questo servizio offerto dal NCSC viene utilizzato attivamente dalle imprese e dalla popolazione. Nel 2020 ha raccolto 10 834 segnalazioni²³.

Dal 28 settembre 2021 il NCSC fa parte della rete mondiale per la gestione delle vulnerabilità nei sistemi informatici ed è autorizzato ad assegnare alle vulnerabilità segnalate un numero d’identificazione univoco in conformità con il sistema di riferimento internazionale²⁴. È importante quindi precisare che il NCSC non raccoglie soltanto le notifiche di ciberincidenti ma anche quelle relative alle vulnerabilità.

Capoverso 1

I ciberincidenti e le vulnerabilità possono essere notificati al NCSC non soltanto dai soggetti interessati ma anche da soggetti terzi ed, eventualmente, anche in modo anonimo. Il NCSC analizza gli incidenti e ne valuta la rilevanza per la protezione della Svizzera contro i ciber-rischi. Nel caso in cui la notifica non sia anonima e se la persona che la effettua lo richiede, il NCSC può fornire sulla base di queste analisi anche valutazioni sull’evento e raccomandazioni su come procedere. Il NCSC, inoltre, utilizza le notifiche per scopi statistici e per allertare il pubblico circa le minacce informatiche senza però fornire dati sulla persona che ha effettuato la notifica o sui soggetti interessati dalle minacce.

Il NCSC tratta in modo riservato le notifiche ricevute. La riservatezza è un presupposto fondamentale per garantire che le notifiche vengano effettuate e per favorire la fiducia verso il servizio di notifica.

Capoverso 2

Il NCSC è autorizzato a pubblicare le informazioni sui ciberincidenti o a inoltrarle a autorità e organizzazioni interessate soltanto se queste non contengano dati personali o dati di persone giuridiche. Non è consentito pubblicare dati personali in caso di ciberincidenti. Rimane invece possibile pubblicare con il consenso della persona o dell’organizzazione interessate informazioni contenute in una notifica, ad esempio in caso di abuso di un logo mediante attacchi di phishing.

Capoverso 3

In caso di vulnerabilità, al contrario, può essere necessario rendere nota la vulnerabilità in tempi brevi citando il software o l’hardware interessati per scongiurare ulteriori ciberattacchi. Lo sfruttamento delle vulnerabilità è una delle strategie più utilizzate per sferrare ciberattacchi. Soltanto attraverso la pubblicazione di queste informazioni gli utenti del software o dell’hardware possono adottare tempestivamente le misure necessarie per proteggersi dai ciberattacchi connessi. Il capo-