Rapporto esplicativo

Questo articolo è stato abrogato. Con le concretizzazioni operate nel testo di legge, le deleghe al Consiglio federale previste in questa sezione sono divenute obsolete. L’emanazione delle disposizioni di esecuzione è di competenza del Consiglio federale anche senza riserva di legge. Inoltre le disposizioni di esecuzione di cui alla lettera c (responsabilità in materia di protezione e sicurezza dei dati) sono già introdotte dagli articoli 33 e 8 capoverso 3 nLPD.

Allegato 1 (Articolo 89 Modifica di altri atti normativi)

L’elenco delle modifiche ad altri atti normativi ai sensi dell’articolo 89 nell’allegato 1 è integrato come riportato di seguito.

Legge del 23 marzo 200738 sull’approvvigionamento elettrico

La protezione contro i ciber-rischi che si intende ora disciplinare esplicitamente nell’articolo 8a della legge sull’approvvigionamento elettrico serve a garantire la sicurezza di tale approvvigionamento. Le misure da attuare previste al capoverso 1 dovrebbero evitare ciberincidenti e, in particolare, guasti dei relativi impianti o comunque permetterne una risoluzione il più possibile rapida.

L’obbligo riguarda non soltanto i gestori della rete, che attraverso le tecnologie di comando esercitano un controllo diretto sul funzionamento della rete, ma anche i produttori (ad es. i gestori di centrali eoliche o idroelettriche) e i gestori di impianti di stoccaggio, dal momento che controllando l’immissione e la vendita di energia possono influire in modo significativo sulla sicurezza

dell’approvvigionamento. Per stabilire quali misure di protezione sono da considerare adeguate bisogna tenere conto di quanto il soggetto in questione influisce sulla sicurezza dell’approvvigionamento (ad es. livello di rete, prestazioni, numero di utenti finali interessati).

Il nostro Consiglio stabilirà direttive specifiche a livello di ordinanza, in particolare per quanto riguarda il livello di protezione e l’auditing. A tal fine potrà basarsi sulle normative del settore (ad esempio il manuale dell’Associazione delle aziende elettriche svizzere «Handbuch Grundschutz für Operational Technology in der Stromversorgung», edizione luglio 2018, attualmente in rielaborazione) che potrà anche dichiarare vincolanti. Per imprese e organizzazioni di dimensioni minori dovranno essere previste eccezioni o agevolazioni.

Tenuto conto dello scopo del nuovo articolo 8a, ai sensi del capoverso 2 sono considerati come altri partecipanti soltanto ulteriori soggetti coinvolti che esercitano un influsso significativo sulla sicurezza dell’approvvigionamento, quindi fornitori di notevoli dimensioni nel settore dell’elettricità, che si occupano, ad esempio, di commercio, misurazione, controllo, flessibilità, trattamento dei dati o elettromobilità.

39

Modifica della legge federale del 25 settembre 2020 sulla protezione dei dati

Per fare in modo che l’IFPDT nel corso dell’analisi di una violazione della sicurezza dei dati, segnalatagli dal responsabile sulla base dell’articolo 24 nLPD e dell’articolo 19 dell’avamprogetto dell’ordinanza relativa alla LPD (AP-OLPD), possa coinvolgere gli esperti del NCSC, all’articolo 24 capoverso 5^bisLPD viene ora stabilito che l’IFPDT ha la facoltà di inoltrare la notifica di una violazione della sicurezza dei dati al NCSC.

La comunicazione inoltrata può contenere qualsiasi informazione ai sensi dell’articolo 19 capoverso 1 AP-OLPD, purché si tratti di dati necessari al NCSC per l’analisi dell’accaduto. Le informazioni trasmesse dall’IFPDT al NCSC possono contenere anche dati personali, compresi dati personali degni di particolare protezione relativi a procedimenti o sanzioni amministrativi e penali

riguardanti il responsabile sottoposto all’obbligo di notifica. Le informazioni necessarie per l’analisi di un evento vengono selezionate caso per caso, ma vi è la possibilità che il NCSC riceva indirettamente informazioni su una procedura in corso. È quindi necessario creare una base giuridica per la comunicazione di dati personali degni di particolare protezione.