Rapporto esplicativo

penale amministrativo indica la responsabilità penale della dirigenza dell’impresa, quindi dei dirigenti e delle persone autorizzate a prendere decisioni e dare istruzioni. In questo modo è possibile definire in modo chiaro su chi ricade la responsabilità penale all’interno delle infrastrutture critiche.

Capoverso 1

L’importo massimo della multa è stato fissato a 100 000 franchi, per tenere debitamente conto del significato delle infrastrutture critiche per il corretto funzionamento dell’economia e dello Stato e per sottolineare la loro responsabilità per la garanzia della cibersicurezza di questi ultimi. L’importo massimo della multa è giustificato anche dal fatto che questa rappresenta l’ultima ratio e viene comminata solo dopo che una serie di altre misure non ha portato alcun risultato. Tenuto conto dei diversi livelli di cibersicurezza nei singoli settori e dei requisiti aggiuntivi imposti con il nuovo obbligo di notifica di ciberattacchi, si è deliberatamente evitato di riprendere il limite massimo della multa pari a 250 000 franchi previsto dalla legge sulla protezione dei dati rivista. La minaccia di una multa di 100 000 franchi dovrebbe essere sufficiente per spingere i responsabili delle infrastrutture critiche a un comportamento conforme agli obblighi previsti.

Capoversi 2 e 3

Per la comminazione della multa alle imprese è stato ripreso per analogia il regolamento della legge sulla protezione dei dati rivista (art. 64 nLPD). Nel caso l’importo non superi i 20 000 franchi, la multa quindi può essere comminata direttamente all’infrastruttura critica piuttosto che alla persona fisica responsabile, in modo da evitare impegnative attività di indagine. Tenuto conto del fatto che l’importo massimo è di 100 000 franchi, per questi «casi di minore importanza» l’ammontare della multa è stato fissato a 20 000 franchi per richiamare al dovere le infrastrutture critiche in quanto tali ed evitare ulteriori indagini sui responsabili. Se si considera che l’obbligo di notifica riguarda principalmente le infrastrutture critiche più significative, che in molti casi possiedono anche quote di mercato corrispondenti, non vi è motivo di ridurre l’importo massimo fissato a 20 000 franchi.

Capoverso 4

Per motivi di trasparenza al capoverso 4, analogamente all’articolo 65 nLPD, si specifica che, in caso di inosservanza di una decisione del NCSC, sono responsabili le autorità cantonali di perseguimento penale. Si è deciso di non menzionare il diritto del NCSC di presentare denuncia perché risulta evidente dal contesto.

Sezione 3: Protezione dei dati e scambio di informazioni

Gli articoli dal 75 al 79, ora inseriti all’interno della sezione 3, sono stati adeguati sia dal punto di vista linguistico che dal punto di vista dei contenuti per essere in linea con la definizione a livello di legge dei compiti del NCSC. Il NCSC ha preso il posto di MELANI, la centrale gestita congiuntamente dall’Organo direzione informatica della Confederazione (ODIC) e dal SIC. Poiché il SIC ha il mandato legale di valutare la situazione di minaccia e di assicurare un servizio di preallerta per i gestori di infrastrutture critiche, la collaborazione del NCSC con il SIC e l’inoltro di informazioni e dati devono essere disciplinati, laddove necessario, nella LSIn.

Articolo 75 Trattamento di dati personali

Capoverso 1

Al posto di una descrizione generica dei servizi federali responsabili, è stato inserito il NCSC, spiegando che può trattare non soltanto dati personali, ma anche dati personali degni di particolare protezione collegati a elementi di indirizzo. Ai sensi dell’articolo 3 lettera f LTC l’elemento di indirizzo è una «sequenza di cifre, lettere o segni, oppure altre informazioni che permettono di identifi-