Rapporto esplicativo

Compendio

Negli ultimi anni sempre più spesso privati, imprese e autorità sono stati vittime di ciberincidenti che, in alcuni casi, hanno avuto conseguenze gravi. Il presente progetto posto in consultazione prevede l’introduzione dell’obbligo di notifica di ciberattacchi a infrastrutture critiche, grazie al quale sarebbe possibile individuare precocemente i ciberattacchi, analizzare le modalità con cui vengono sferrati e avvisare tempestivamente gli altri gestori di infrastrutture critiche. L’obbligo di notifica permetterebbe dunque di aumentare notevolmente la cibersicurezza in Svizzera.

L’11 dicembre 2020 il Consiglio federale ha incaricato il Dipartimento federale delle finanze (DFF) di elaborare un progetto da porre in consultazione corredato da basi giuridiche per l’introduzione dell’obbligo di notifica di ciberattacchi a infrastrutture critiche.

Il presente progetto prevede che la base legale per l’obbligo di notifica venga introdotta nella legge sulla sicurezza delle informazioni (LSIn) adottata dal Parlamento il 18 dicembre 2020. Oltre all’obbligo di notifica, nella LSIn dovrebbero essere definiti anche i compiti del Centro nazionale per la cibersicurezza (NCSC) e la sua funzione in qualità di servizio centrale di notifica.

A livello di contenuto l’obbligo di notifica riguarderebbe soltanto i ciberattacchi che potenzialmente possono arrecare notevoli danni e verrebbe applicato ai gestori di infrastrutture critiche, ovvero di processi, sistemi e installazioni essenziali per il funzionamento dell’economia e per il benessere della popolazione. La funzione di servizio centrale di notifica verrebbe assunta dal NCSC, che raccoglie anche le segnalazioni volontarie di ciberincidenti e vulnerabilità riscontrate negli strumenti informatici.