Rapporto esplicativo

minaccia provocata da ciberincidenti. Pertanto è in grado di inoltrare al SIC informazioni su numero, tipo e portata dei ciberattacchi, di fornirgli supporto attraverso analisi tecniche degli attacchi e inoltrargli le informazioni ottenute da queste analisi.

Capoversi 2, 3 e 4

Nei capoversi dal 2 al 4 vengono disciplinati il contenuto e l’entità nonché il tipo e le modalità dello scambio di informazioni operato tra NCSC e SIC, autorità di perseguimento penale e servizi cantonali per la cibersicurezza. Come già accennato, un aspetto importante della collaborazione tra il NCSC e queste autorità è lo scambio di informazioni sugli hacker stessi e sui metodi e le tattiche che utilizzano. Queste informazioni possono essere di natura puramente tecnica (ad es. modello di attacco e valori di hash di malware) e non contenere dati personali. Queste autorità, però, si scambiano anche informazioni con riferimenti personali o che permettono di risalire all’identità di una persona. Per questi casi viene quindi definita una base legale. Concretamente si tratta di elementi di indirizzo (come nome di dominio, indirizzo IP, indirizzi e-mail utilizzati indebitamente) o informazioni su transazioni finanziarie (conti bancari, numeri IBAN, ecc.).

Le autorità autorizzate ai sensi dei capoversi dal 2 al 4 possono accedere alle suddette informazioni anche mediante procedura di richiamo, indicata dato l’elevato numero di ciberattacchi e di informazioni tecniche correlate. L’inoltro delle notifiche al SIC o alle autorità di perseguimento penale con le informazioni sui soggetti interessati avviene soltanto in casi eccezionali e rimane vincolato alle condizioni di cui all’articolo 73c capoversi 1 e 2.

Articolo 77 Cooperazione a livello internazionale

Questa disposizione è stata adeguata dal punto di vista formale inserendo esplicitamente un riferimento al NCSC. Inoltre il termine «dati» è stato sostituito dall’iperonimo «informazioni» quando non ci si riferisce in modo specifico ai dati personali ai sensi dell’articolo 75. Per quanto riguarda l’entità, il contenuto e lo scopo dello scambio di informazioni, al fine di fornire maggiori dettagli è stato aggiunto che è consentito con servizi responsabili per la cibersicurezza. All’interno del capoverso 1 la formula «per la protezione di infrastrutture critiche» è stata sostituita con «per la cibersicurezza» in quanto la prima era troppo limitante per le organizzazioni che operano a livello internazionale nell’ambito della cibersicurezza.

Articolo 78 Sistema d’informazione per il sostegno alle infrastrutture critiche

In applicazione delle modifiche alle basi legali sancite dalla revisione della LPD, questo articolo è stato abrogato. I fini per i quali il NCSC tratta i dati derivano dai suoi compiti, già sufficientemente descritti negli articoli elencati. Tali compiti indicano per quali scopi i sistemi d’informazione del NCSC possono essere utilizzati nel trattamento dei dati personali.

Articolo 79 Conservazione e archiviazione dei dati

Questo articolo è stato leggermente modificato solo al capoverso 1, dove viene specificato che i dati personali possono essere conservati al massimo per cinque anni dall’ultimo utilizzo. Questa regola viene stabilita perché determinate informazioni tecniche sui ciberincidenti come, ad esempio, nomi di dominio, indirizzi IP o indirizzi e-mail utilizzati in modo improprio, sono molto importanti per effettuare un confronto con i nuovi ciberincidenti segnalati e per l’analisi dei metodi e dei modelli di attacco. Senza questi dati di confronto il NCSC non può condurre in modo mirato o non può condurre affatto le sue analisi, che costituiscono un requisito fondamentale per l’adempimento dei suoi compiti. Dal momento, però, che questi dati tecnici contengono anche dati personali e quindi, in quanto tali, sono sottoposti alla protezione dei dati, il periodo di conservazione deve essere chiaramente limitato. Sempre per motivi legati alla protezione dei dati, nella seconda parte del periodo viene specificato che i dati personali degni di particolare protezione possono essere conservati al massimo per due anni dall’ultimo utilizzo.

Articolo 80 Disposizioni del Consiglio federale