Rapporto esplicativo

6 Aspetti giuridici

6.1 Costituzionalità

Nella Costituzione non è presente una base legale esplicita per l’introduzione di un obbligo di notifica di ciberattacchi. La Confederazione può quindi basarsi sulla sua competenza federale inerente per la tutela della sicurezza interna ed esterna della Confederazione per l’introduzione dell’obbligo di notifica di ciberattacchi a infrastrutture critiche.

Le infrastrutture critiche hanno un’elevata rilevanza per quanto riguarda la sicurezza della società, dell’economia e dello Stato. Le ripercussioni potenzialmente molto gravi e con effetti su tutto il territorio nazionale dei ciberattacchi a infrastrutture critiche mettono a rischio il benessere del Paese e rappresentano una minaccia per la sicurezza interna ed esterna. L’introduzione di un obbligo di notifica serve quindi a garantire la stabilità economica, sociale e statale e costituisce la base grazie alla quale è possibile coordinare e avviare tempestivamente azioni volte a contrastare gli attacchi. L’obbligo di notifica di ciberattacchi a infrastrutture critiche serve inoltre ad analizzare, attraverso le notifiche, la situazione di minaccia per poter preallertare e implementare misure di difesa. Dato lo scopo dell’obbligo di notifica, ne deriva che il suo campo di applicazione deve essere limitato ai ciberattacchi a infrastrutture critiche. Il diritto di chiunque di segnalare ciberincidenti e vulnerabilità, che integra altre strategie per la raccolta di informazioni, rappresenta un aiuto per la protezione delle infrastrutture critiche.

Di conseguenza, la competenza federale inerente per la garanzia della sicurezza interna ed

esterna – competenze che non sono assegnate esplicitamente alla Confederazione, ma che le spettano in quanto Stato – costituisce una base costituzionale adeguata sulla base della quale introdurre disposizioni di legge che prevedono un obbligo di notifica di ciberattacchi e un diritto di notifica in caso di ciberincidenti e vulnerabilità.

Riguardo a questa competenza federale inerente, in base a quanto sancito da una convezione

40

sulla tecnica legislativa formale viene citato a titolo sussidiario l’articolo 173 capoverso 2 Cost. La legge sulla sicurezza delle informazioni cita nel suo ingresso, oltre agli articoli 54 capoverso 1, 60 capoverso 1, 101, 102 capoverso 1 e 173 capoverso 1 lettere a e b, anche l’articolo 173 capoverso 2 come fondamento costituzionale determinante. Pertanto non è necessario integrare le disposizioni costituzionali nell’ingresso della LSIn.

6.2 Compatibilità con gli impegni internazionali della Svizzera

L’introduzione dell’obbligo di notifica di ciberattacchi non tocca nessun impegno attuale della Svizzera a livello internazionale. Questo regolamento è simile a quelli che molti altri Stati, in particolare gli Stati membri dell’UE, hanno introdotto negli ultimi anni.

6.3 Forma dell’atto

Per l’introduzione dell’obbligo di notifica la base legale ideale sembra essere un’integrazione della LSIn già approvata, non soltanto perché lo scopo, l’oggetto e l’ambito di applicazione sono fondamentalmente compatibili con l’obbligo di notifica per infrastrutture critiche, ma anche perché costituisce la base legale formale per l’istituzione del NCSC come servizio di notifica. Dal punto di vista sistematico l’obbligo di notifica di ciberattacchi e i compiti del NCSC per quanto riguarda la tutela della cibersicurezza possono essere inseriti nel capitolo 5.

Per quanto riguarda le disposizioni di esecuzione dell’obbligo di notifica deve essere ancora deciso se sarà necessario creare un’ordinanza a parte o se verrà integrata l’attuale ordinanza sui ciberrischi.