Rapporto esplicativo

pubblico, ovvero il trasporto di passeggeri in concessione, nonché il trasporto di merci e l’infrastruttura ferroviaria.

Lettera p: imprese dell’aviazione civile

La disposizione sottopone all’obbligo di notifica di ciberattacchi tutte le imprese che dispongono di un’autorizzazione dell’Ufficio federale dell’aviazione civile.

Lettera q: navigazione sul Reno

I porti renani svizzeri costituiscono l’accesso della Svizzera ai mari di tutto il mondo e rivestono un ruolo molto importante per l’approvvigionamento nazionale di merci di ogni tipo. L’obbligo di notifica di ciberattacchi si applica quindi alle imprese che trasportano merci sul Reno secondo la legge federale del 23 settembre 1953³⁴ sulla navigazione marittima sotto bandiera svizzera e ai processi rilevanti per la gestione e il funzionamento dei porti basilesi.

Lettera r: approvvigionamento di beni indispensabili di uso quotidiano

Nell’approvvigionamento della popolazione con beni indispensabili di uso quotidiano, in particolare generi alimentari, sono coinvolti numerosi soggetti. Oltre ai produttori e agli importatori, infatti, vi sono anche i trasformatori, i centri di distribuzione e i commercianti al dettaglio. Non tutti questi soggetti hanno la stessa importanza per la sicurezza dell’approvvigionamento del nostro Paese. L’obbligo di notifica di ciberattacchi dovrebbe quindi valere soltanto per quei soggetti che svolgono un ruolo importante in questa ottica. Il nostro Consiglio quindi restringerà l’obbligo di notifica nel settore dell’approvvigionamento di beni indispensabili di uso quotidiano applicando i criteri di cui all’art. 74c.

Lettera s: produttori di hardware e software

Sempre più spesso si nota che gli attacchi a infrastrutture critiche avvengono utilizzando i loro fornitori di hardware e software. Gli hacker, per garantirsi l’accesso ai sistemi in un secondo momento, compromettono hardware e software prima ancora che siano consegnati ai clienti finali. I produttori di hardware e software sono quindi molto importanti per la cibersicurezza.

Particolarmente rilevanti sono soprattutto i ciberattacchi ai produttori di software che forniscono assistenza ai propri clienti attraverso un sistema per la manutenzione remota. In questi casi, infatti, gli hacker possono cercare di infiltrarsi direttamente nei sistemi delle infrastrutture critiche attraverso questi accessi legittimi. Oltre al criterio legato alla manutenzione remota, i produttori di hardware e software sono sottoposti all’obbligo di notifica se offrono prodotti utilizzati in settori particolarmente delicati. Nello specifico (n. 1) hardware e software impiegati per la tecnica di comando e il monitoraggio di sistemi (industrial control systems), utilizzati nell’esercizio di dispositivi medici e impianti di telecomunicazione (n. 2) oppure impiegati per attività di garanzia della sicurezza pubblica (n. 3). Si tratta in particolare della comunicazione di organizzazioni di primo intervento o dei sistemi utilizzati nelle indagini dalla polizia. Inoltre dovrebbero essere assoggettati all’obbligo di notifica anche i produttori di hardware e software (n. 4) con funzioni particolarmente delicate (sicurezza informatica, crittografia, identificazione, attribuzione di diritti di accesso a sistemi o luoghi). Un’eventuale manipolazione di questi prodotti, che vengono impiegati proprio in caso di accresciuta necessità di protezione, sarebbe infatti molto problematica.

Articolo 74c Eccezioni all’obbligo di notifica

All’articolo 74b la cerchia dei destinatari è definita in modo molto ampio e può comprendere anche imprese che, nonostante operino in un sottosettore critico, di per sé non sono di fondamentale importanza per il funzionamento dell’economia o per il benessere della popolazione. All’articolo 74c si stabilisce quindi che il Consiglio federale limita la cerchia dei soggetti sottoposti all’obbligo facendo ricorso ai criteri elencati. Un’impresa o una categoria di imprese possono essere esentate dall’obbligo di notifica se sono esposte solo in modo ridotto al rischio di ciberattacchi, in quanto si ritiene improbabile che possano esserne vittime, o perché l’impresa nella sua attività dipende solo