Rapporto esplicativo

Articolo 74 Sostegno ai gestori di infrastrutture critiche

Oltre ai compiti generali sanciti all’articolo 73a e al trattamento delle notifiche di ciberincidenti e vulnerabilità di cui all’articolo 73b, il NCSC fornisce ai gestori di infrastrutture critiche anche ulteriori servizi per la protezione contro i ciber-rischi (capoverso 1). A questo riguardo bisogna sottolineare che la definizione di infrastrutture critiche fornita all’articolo 5 LSIn è formulata in modo molto ampio e quindi non chiarisce quando un’organizzazione debba essere considerata o meno un’infrastruttura critica. Il NCSC a questo riguardo fa riferimento ai settori e ai sottosettori elencati nella

25

Strategia nazionale per la protezione delle infrastrutture critiche (PIC) .

Capoverso 2

A tale scopo il NCSC mette a disposizione dei gestori di infrastrutture critiche vari strumenti. I principali vengono elencati a titolo esemplificativo in questo capoverso. L’elenco non è quindi esaustivo.

Lettera a

Lo scambio reciproco di informazioni è uno strumento molto importante per la protezione dai ciberrischi. L’elevato dinamismo con cui si evolvono le situazioni di minaccia e la necessità di possibili misure di protezione impone ai responsabili di essere costantemente aggiornati sulle ultime novità e il modo più efficace per raggiungere questo obiettivo è il confronto con altri responsabili. Il

NCSC, al fine di portare avanti la consolidata collaborazione stretta tramite MELANI, offre ai gestori di infrastrutture critiche una piattaforma attraverso la quale scambiarsi tali informazioni.

Lettera b

Le informazioni su ciber-rischi e vulnerabilità attuali e le raccomandazioni per l’adozione di misure preventive si limitano a indicazioni utili in modo generale a qualsiasi infrastruttura critica. Non viene fornita una consulenza specifica per la singola impresa.

Lettera c

Parte degli strumenti e delle istruzioni per l’individuazione tempestiva vengono concepiti in modo tale da risultare utili in generale a tutte le infrastrutture critiche. Ma possono essere anche specifici per determinati gruppi di infrastrutture critiche o pensati per determinati settori di attività. Essi non sostituiscono i dispositivi di protezione delle singole imprese, ma devono essere integrati al loro interno.

Capoverso 3

In caso di ciberincidenti il NCSC fornisce supporto ai gestori di infrastrutture critiche attraverso una consulenza tecnica. Nel caso di gestori privati, il sostegno tecnico offerto dal NCSC è sussidiario rispetto ai servizi IT disponibili sul mercato. A questo proposito non è determinante la forma giuridica bensì il soggetto che detiene la responsabilità. Il NCSC, inoltre, fornisce questo supporto solo ed esclusivamente se è necessario intervenire rapidamente e vi è il rischio di conseguenze gravi.

Capoverso 4

In caso di ciberincidenti, in particolare sotto forma di ciberattacchi, il NCSC dovrebbe avere la possibilità di accedere ai sistemi dell’infrastruttura critica interessata per gestire l’incidente o limitare i danni. Ciò, ovviamente, a condizione che il gestore dell’infrastruttura critica fornisca il proprio consenso. Il gestore nei confronti del NCSC è liberato da eventuali obblighi di tutela del segreto. Il secondo periodo rappresenta la base legale che permette ai gestori di concedere al NCSC l’accesso