Rapporto esplicativo

5 Ripercussioni

5.1 Ripercussioni per la Confederazione

Il NCSC gestisce già oggi un servizio di contatto che raccoglie le segnalazioni volontarie di ciberincidenti. Tale servizio basa la sua attività sulla pluriennale esperienza maturata con MELANI, la centrale che dal 2004 ha raccolto in particolare le segnalazioni trasmesse da infrastrutture critiche.

Per la raccolta delle segnalazioni il NCSC gestisce già oggi un modulo elettronico che può essere adattato per poter raccogliere anche quelle inviate per assolvere l’obbligo di notifica. All’inizio l’armonizzazione necessaria con gli altri servizi che già raccolgono segnalazioni di questo tipo (ad es. IFPDT, FINMA, IFSN) e la configurazione del modulo di notifica richiederanno del lavoro aggiuntivo, che potrà però essere coperto con le risorse già a disposizione del NCSC. Per la successiva gestione, però, il NCSC deve poter garantire che le notifiche inviate in adempimento all’obbligo di notifica vengano registrate, quietanzate e documentate correttamente e che vengano inoltrate al giusto servizio ai fini della preallerta, un impegno ulteriore di cui si dovrà tenere conto in fase di potenziamento del NCSC.

Il Centro nazionale per la cibersicurezza in futuro avrà anche il compito di fornire supporto all’infrastruttura critica interessata per la gestione dell’incidente, un servizio già fornito e ben rodato grazie alla pluriennale esperienza maturata dal NCSC (e prima ancora da MELANI) ma che sicuramente dopo l’introduzione dell’obbligo di notifica richiederà un impegno maggiore. Questo perché molto probabilmente il NCSC riceverà più notifiche e, in più, sarà anche tenuto a fornire almeno una prima valutazione e raccomandazioni su come contrastare l’attacco. Di conseguenza anche il team del NCSC addetto all’analisi tecnica (GovCERT) dovrà essere potenziato.

Questo maggior impegno dovrà quindi essere preso in considerazione nel corso degli attuali lavori di potenziamento del NCSC. Al momento, però, non è possibile valutarlo in modo completamente distaccato dagli altri compiti del NCSC; si sta quindi aspettando il risultato della verifica ancora in corso dell’efficacia dell’organizzazione del settore della cibersicurezza in seno alla Confederazione. Alla luce del risultato della presente procedura di consultazione il fabbisogno di risorse verrà concretizzato nel messaggio concernente la modifica della LSIn.

5.2 Ripercussioni per i Cantoni e i Comuni

Con questo progetto non verranno assegnati nuovi compiti ai Cantoni e ai Comuni, ma essi sono comunque toccati dall’obbligo di notifica per due motivi. In primo luogo perché le autorità cantonali e comunali sono esse stesse soggette all’obbligo di notifica ai sensi dell’articolo 74b lettera b e, in secondo luogo, perché molte delle imprese soggette all’obbligo di notifica sottostanno a enti cantonali o comunali.

Cantoni e Comuni, però, potranno anche approfittare dei servizi offerti dal NCSC per potersi proteggere meglio dai ciber-rischi. Già oggi numerosi Cantoni e città partecipano allo scambio di informazioni tra infrastrutture critiche e NCSC.

5.3 Ripercussioni sull’economia e sulla società

Non sono attese ripercussioni dirette sull’economia nazionale, sulla società e sull’ambiente. Tuttavia economia nazionale e società trarranno indirettamente beneficio dall’introduzione dell’obbligo di notifica di ciberattacchi, in quanto il miglioramento della cibersicurezza delle infrastrutture critiche permetterà anche di proteggere meglio la cibersicurezza in Svizzera. L’obbligo di notifica, inoltre, grazie all’attuazione tempestiva di misure preventive e di difesa adeguate, permetterà di evitare che ciberattacchi a infrastrutture critiche provochino malfunzionamenti e guasti di servizi essenziali che metterebbero a rischio il corretto funzionamento dell’economia e dello Stato.

L’introduzione dell’obbligo di notifica di ciberattacchi a infrastrutture critiche avrà ripercussioni minime se non nulle sull’economia nazionale e sulle imprese interessate, pertanto è possibile fare a meno di un’analisi d’impatto della regolamentazione (AIR).