Rapporto esplicativo

verso 3 costituisce la base legale ai sensi della quale pubblicando le vulnerabilità il NCSC è autorizzato a rendere noto il nome dell’hardware e del software interessati e quindi, implicitamente, anche il loro produttore.

Articolo 73c Inoltro di informazioni

L’articolo 73c stabilisce i presupposti che devono essere soddisfatti affinché il NCSC possa inoltrare al SIC o alle autorità di perseguimento penale determinate informazioni contenute in una notifica (capoversi 1 e 2). Infine vengono disciplinate anche le modalità con cui possono essere utilizzate le informazioni nel caso in cui dovesse essere avviato un procedimento penale contro la persona che ha presentato la notifica (capoverso 3).

Capoverso 1

Il capoverso 1 stabilisce che il NCSC è autorizzato a inoltrare informazioni al SIC se queste sono rilevanti per individuare tempestivamente e sventare minacce per la sicurezza interna o esterna, per valutare la situazione di minaccia o per assicurare un servizio di preallerta informativa per la protezione di infrastrutture critiche ai sensi dell’articolo 6 capoversi 1 lettera a, 2 e 5 LAIn. L’inoltro è necessario per consentire al SIC di assolvere anche i propri compiti in materia di minacce informatiche, ma è limitato alle informazioni necessarie a tale fine.

Capoverso 2

Il capoverso 2 disciplina l’inoltro di informazioni alle autorità di perseguimento penale. L’obbligo di denuncia a cui è soggetto il personale federale non si applica per le informazioni che il NCSC riceve nell’ambito di una notifica di un ciberincidente o della sua analisi, perché tale obbligo di denuncia è in conflitto con il principio del trattamento confidenziale della notifica. Il responsabile del NCSC è però autorizzato a inoltrare informazioni alle autorità di perseguimento penale, valutando se prevalga l’interesse dello Stato al perseguimento penale o l’interesse alla riservatezza della notifica per la persona che l’ha effettuata. La possibilità di inoltrare la notifica dopo un’opportuna valutazione degli interessi è stata introdotta per permette al NCSC di rivolgersi alle autorità di perseguimento penale in caso di reati gravi.

Capoverso 3

La disposizione di cui al capoverso 3 garantisce che, nel corso di un procedimento penale contro la persona che ha inviato la notifica, le informazioni in essa contenute non possano essere usate contro questa persona senza il suo consenso. Di norma un procedimento penale viene avviato contro chi ha provocato il ciberattacco, quindi contro l’hacker, e non contro la persona che ha inviato la notifica. Nel caso in cui, però, eccezionalmente, dovesse essere avviato un procedimento penale contro la vittima del ciberattacco, è stata introdotta una disposizione analoga a quella di cui all’articolo 24 capoverso 6 nLPD. Questa disposizione, quindi, sancisce il principio secondo cui nessuno può essere obbligato ad affermare la propria responsabilità (nemo tenetur se detegere) in relazione all’obbligo di notifica di ciberattacchi ed è quindi particolarmente rilevante nel caso delle notifiche effettuate per assolvere l’obbligo di notifica di ciberattacchi. Lo stesso privilegio, però,

sarà applicabile anche alle notifiche volontarie.

Capoverso 4

Nei casi eccezionali per i quali è previsto l’inoltro di informazioni al SIC o alle autorità di perseguimento penale di cui ai capoversi 1 e 2, laddove le informazioni rappresentino segreti protetti dalla legislazione penale Il NCSC deve essere esonerato dal rispetto del segreto d’ufficio conformemente alle disposizioni dell’articolo 320 CP.