Rapporto esplicativo

in minima parte dai mezzi informatici (lettera a). L’esclusione dall’obbligo di notifica è possibile anche nel caso in cui un eventuale guasto o malfunzionamento avrebbero ripercussioni minime sull’economia o sul benessere della popolazione. L’entità delle ripercussioni viene misurata sulla base del numero di persone interessate, della possibilità che i servizi vengano svolti da altri soggetti e del potenziale di danno per l’economia (lettera b).

Articolo 74d Ciberattacchi da notificare

Capoverso 1

La portata dell’obbligo di notifica, ovvero quali tipi di ciberattacchi devono essere notificati, è ora sancita a livello di legge. Alle lettere dalla a alla d del capoverso 1 sono elencati i criteri da prendere in considerazione per stabilire se un ciberattacco possa arrecare notevoli danni o possa essere particolarmente rilevante per la tutela di altre infrastrutture critiche. Se il ciberattacco soddisfa uno di questi criteri allora vige l’obbligo di notifica. Questi criteri, se necessario, potranno essere ulteriormente precisati a livello di ordinanza.

Capoverso 2

Il capoverso 2 stabilisce che in caso di concomitanza con circostanze penalmente rilevanti il ciberattacco deve sempre essere notificato. Molti hacker fanno ricorso a minacce e attacchi per cercare di ricattare i gestori di infrastrutture critiche o singoli collaboratori di queste imprese (ad esempio crittografando i dati dell’impresa attraverso ransomware, minacciando di limitare la disponibilità tramite attacchi DDoS o minacciando di pubblicare informazioni compromettenti su singole persone). Questi attacchi devono essere notificati in modo tale che si possa valutare l’entità della minaccia rappresentata dai cibercriminali per le infrastrutture critiche.

Articolo 74e Contenuto della notifica

Al capoverso 1 vengono disciplinate a livello di legge le informazioni essenziali necessarie per assolvere l’obbligo di notifica. Il contenuto concreto delle singole informazioni da fornire sarà specificato nelle disposizioni di esecuzione.

Nel capoverso 2 viene precisato che la tempestività con cui deve essere notificato l’evento («il prima possibile»), come stabilito all’articolo 74a, riguarda soltanto le informazioni di cui si è già in possesso. Quando si verificano dei ciberattacchi molto spesso per diverso tempo non è chiaro quanto l’attacco sia grave e cosa sia effettivamente accaduto. Se al momento della notifica queste informazioni sono disponibili solo in parte, gli interessati devono quindi avere la possibilità di trasmettere le indicazioni richieste al capoverso 1 soltanto una volta in possesso di maggiori dettagli sull’accaduto.

Articolo 74f Trasmissione della notifica

Capoverso 1

Per permettere di assolvere l’obbligo di notifica con un impegno il più possibile ridotto, il NCSC è tenuto a mettere a disposizione un modulo elettronico di notifica sicuro. Tenuto conto dello sviluppo tecnologico, nel testo della legge il modulo di notifica viene indicato in modo generico come un «sistema sicuro con cui trasmettergli le notifiche». A prescindere da questo modulo di notifica, in ogni caso è comunque possibile informare il NCSC del ciberattacco attraverso altre modalità (per posta elettronica, telefonicamente).

Capoverso 2

Il sistema di segnalazione offre la possibilità a chi effettua la notifica di tramettere contemporaneamente la totalità o una parte della notifica del ciberattacco o delle sue ripercussioni (ad es. le riper-