Rapporto esplicativo

alle loro informazioni e ai loro mezzi informatici senza violare obblighi contrattuali o legali di tutela del segreto.

Sezione 2: Obbligo di notifica di ciberattacchi a infrastrutture critiche

Articolo 74a Obbligo di notifica

In questo articolo vengono definiti gli elementi principali dell’obbligo di notifica. In esso viene stabilito che i gestori di infrastrutture critiche sono assoggettati all’obbligo di notifica in caso di ciberattacchi e che questi devono essere segnalati il prima possibile al NCSC una volta individuati. Ai fini della preallerta e della prevenzione, infatti, è fondamentale che gli attacchi vengano segnalati subito dopo la loro scoperta. All’articolo 74e si precisa inoltre che il requisito della tempestività non è applicabile a tutte le informazioni richieste, ma soltanto per la prima notifica, effettuata sulla base delle informazioni disponibili in quel momento.

Articolo 74b Settori

La definizione di infrastrutture critiche fornita all’articolo 5 è formulata in modo molto ampio. Non è sufficientemente specifica da permettere di determinare quali imprese o organizzazioni sono considerate infrastrutture critiche e dunque assoggettate all’obbligo di notifica. All’articolo 74b vengono quindi elencate nel dettaglio le imprese e le organizzazioni alle quali si applicherebbe l’obbligo di notifica. Tale elenco fa riferimento ai sottosettori critici indicati nella Strategia nazionale per la protezione delle infrastrutture critiche. Quando possibile l’ambito di applicazione dell’obbligo di notifica per questi settori viene definito facendo riferimento a basi legali esistenti. Nei casi in cui questo riferimento non può essere inserito perché non esiste una base legale adeguata per una simile delimitazione, invece, il settore viene definito nel modo più preciso possibile. In questo modo si garantisce che venga specificato in modo sufficientemente chiaro quali soggetti sono sottoposti

all’obbligo di notifica.

Lettera a: scuole universitarie

Le scuole universitarie sono molto importanti per la piazza formativa ed economica svizzera. La loro attività di ricerca, in particolare, rappresenta uno dei motori dell’innovazione. Questo però rende le scuole universitarie anche un bersaglio interessante per gli hacker. Sono dunque assoggettate all’obbligo di notifica le università cantonali, i politecnici federali, le scuole universitarie professionali e le alte scuole pedagogiche.

Lettera b: autorità

I ciberattacchi alle autorità, a tutti i livelli federali, sono sottoposti all’obbligo di notifica, perché è importante sapere con quale frequenza e chi sferra attacchi a queste istituzioni. In questo modo possono essere predisposte misure di difesa mirate in base alla minaccia. L’obbligo di notifica è applicabile soltanto alle attività che implicano l’esercizio dell’autorità sovrana di queste autorità e

organizzazioni.

Lettera c: organizzazioni cui sono affidati compiti di diritto pubblico

Le organizzazioni che svolgono compiti di interesse pubblico in determinati settori sono assoggettate all’obbligo di notifica. Per chiarire meglio quali attività concrete si intendano, alla lettera c è proposto un elenco. Nel settore della sicurezza e del salvataggio si tratta in particolare delle organizzazioni di primo intervento (polizia, vigili del fuoco, servizi sanitari e di salvataggio). Sono inoltre tenute alla notifica le organizzazioni attive nell’approvvigionamento di acqua potabile, nel trattamento delle acque di scarico e nello smaltimento dei rifiuti.

Lettera d: imprese attive nel settore dell’approvvigionamento energetico, nel com-

mercio, nella misurazione e nella gestione dell’energia