Rapporto esplicativo

cussioni sulla sicurezza dei dati o sul funzionamento dell’infrastruttura critica) ad altri servizi e autorità. Il sistema del NCSC non è però riservato unicamente alla trasmissione di notifiche volte ad assolvere un obbligo di legge, esso può essere utilizzato anche per segnalazioni volontarie a servizi terzi. La notifica, però, può essere trasmessa soltanto dal gestore dell’infrastruttura critica interessata. Soltanto il gestore, infatti, può stabilire quali servizi o autorità, fatto salvo il NCSC, possono ricevere la notifica del ciberattacco (o delle sue ripercussioni). Il NCSC non inoltrerà alcuna notifica ad altri servizi o autorità, fatti salvi i casi eccezionali illustrati all’articolo 73c capoversi 1 e 2.

Capoverso 3

Il NCSC, su richiesta e in collaborazione con altri servizi di segnalazione, può strutturare il sistema di notifica in modo tale che il gestore di un’infrastruttura critica sottoposto all’obbligo di notifica possa aggiungere eventuali informazioni supplementari, che non sono necessarie per la notifica al NCSC, per trasmetterle a uno o più servizi di segnalazione diversi. Questa funzione dovrebbe servire a ridurre il più possibile l’onere richiesto alle persone assoggettate all’obbligo di notifica. In particolare, nei casi in cui si deve adempiere a più obblighi di notifica contemporaneamente, questo sistema dovrebbe aiutare a informare i relativi servizi e autorità in modo rapido e tempestivo e senza eccessivo dispendio. Queste informazioni supplementari, inserite nel sistema del NCSC dai soggetti che effettuano la notifica e destinate ad altri organismi e autorità, vengono soltanto inoltrate dal sistema ma non archiviate. Il NCSC non ha facoltà di accedere a queste informazioni.

Articolo 74g Obbligo d’informazione

L’obbligo d’informazione è limitato alle informazioni che servono per identificare il modello e il metodo di un ciberattacco per cui è stata inviata una notifica (preallerta) e, in questo modo, a evitare che il ciberattacco abbia ripercussioni anche su altre infrastrutture critiche.

Articolo 74h Violazione dell’obbligo di notifica o d’informazione

Capoverso 1

In caso di violazione dell’obbligo di notifica o d’informazione, inizialmente il NCSC informa il gestore dell’infrastruttura critica, dandogli così nuovamente la possibilità di assolvere i propri doveri. Inoltre, nel caso vi fossero dei malintesi, è possibile chiarirli. Il NCSC è tenuto a questa prima informazione perché è un requisito per l’emanazione della decisione di cui al capoverso 2.

Capoverso 2

Se, nonostante l’evidente violazione dei propri obblighi, il gestore non prende alcun provvedimento, il NCSC emana in un secondo tempo una decisione con comminatoria della pena. Nella sua decisione il NCSC specifica quali obblighi sono stati violati in modo tale che il gestore dell’infrastruttura critica non abbia dubbi su cosa debba fare od omettere. In più, in questo modo si facilita anche il lavoro delle autorità di perseguimento penale che, in caso di inosservanza di questa decisione devono condurre indagini sui fatti denunciati dal NCSC ed emettere una sentenza o un decreto d’accusa (cfr. articolo 74i).

Articolo 74i Infrazioni contro le decisioni del NCSC

Questo articolo riprende in gran parte le regole stabilite all’articolo 63 e seguenti nLPD in caso di mancato rispetto delle decisioni del NCSC da parte dell’impresa. Come viene spiegato nel messaggio concernente la legge sulla protezione dei dati rivista³⁵, anche in questo caso è passibile di pena la persona che all’interno dell’infrastruttura critica avrebbe dovuto preoccuparsi di dare seguito alla decisione del NCSC (cfr. art. 29 CP³⁶). L’obbligo violato che incombe all’impresa è imputato alla persona fisica. Il rimando all’articolo 6 della legge federale del 22 marzo 1974³⁷ sul diritto