Rapporto esplicativo

6.4 Subordinazione al freno alle spese

Con il progetto non vengono introdotte nuove disposizioni in materia di sussidi (che comportano uscite superiori a uno dei valori soglia) né decisi nuovi crediti d’impegno o limiti di spesa (con uscite superiori a uno dei valori soglia).

6.5 Rispetto del principio di sussidiarietà e del principio dell’equivalenza fiscale

Nell’assegnazione e nell’adempimento dei compiti statali va osservato il principio della sussidiarietà (art. 5a Cost.). Ai sensi dell’articolo 43a capoverso 1 Cost. la Confederazione assume unicamente i compiti che superano la capacità dei Cantoni o che esigono un disciplinamento uniforme da parte sua. Nel contempo la Confederazione deve fare ricorso in modo moderato alle sue competenze, lasciando ai Cantoni un margine sufficiente per l’adempimento dei loro compiti.

Un obbligo di notifica di ciberattacchi a infrastrutture critiche non può essere attuato in modo efficace se non è valido su tutto il territorio nazionale e in tutti i settori. Senza una procedura di notifica uguale per tutti e un servizio di notifica centrale, non sarebbe possibile contrastare i ciberattacchi che si verificano senza tenere conto dei confini geografici e settoriali. In base alla competenza costituzionale della Confederazione, l’obbligo di notifica è stato limitato ai ciberattacchi a infrastrutture critiche, in quanto le loro ripercussioni possono rappresentare una minaccia per la sicurezza del Paese e per il corretto funzionamento dello Stato. L’introduzione dell’obbligo di notifica rappresenta quindi una misura compatibile con il principio di sussidiarietà (art. 5a in combinato disposto con l’art. 43a Cost.).

Secondo il principio dell’equivalenza fiscale sancito all’articolo 43a capoversi 2 e 3 Cost., la collettività che fruisce di una prestazione statale ne assume i costi e la collettività che assume i costi di una prestazione statale può decidere in merito a questa prestazione. In relazione all’introduzione dell’obbligo di notifica questo principio è garantito in quanto i costi per la gestione del servizio centrale di notifica saranno a carico della Confederazione. Per le infrastrutture critiche cambierà poco con l’introduzione dell’obbligo di notifica, perché, come in passato, potranno contare sul supporto del NCSC per la gestione degli incidenti. Rispetto alla segnalazione volontaria di ciberincidenti, l’obbligo di notifica richiede un impegno maggiore ma comunque limitato. Pertanto anche le infrastrutture critiche gestite dai Cantoni e dai Comuni non dovranno sostenere dei reali costi aggiuntivi a seguito dell’introduzione dell’obbligo di notifica.

6.6 Delega di competenze legislative

Secondo il presente progetto posto in consultazione, i principi fondamentali per l’introduzione dell’obbligo di notifica di ciberattacchi devono essere sanciti a livello di legge.

Il nostro Consiglio, inoltre, emetterà disposizioni di esecuzione per concretizzare le disposizioni di legge, se necessario. In particolare, ai sensi dell’articolo 74c al nostro Collegio spetta il compito di restringere ulteriormente la cerchia degli assoggettati all’obbligo di notifica. La legge stabilisce i criteri da applicare ma il nostro Consiglio dovrà stabilire quali criteri devono essere applicati per ogni settore e con quali modalità (ad esempio attraverso la definizione di valori di soglia adeguati).

6.7 Protezione dei dati

Il progetto posto in consultazione ha sostanzialmente ripreso senza modifiche le disposizioni in materia di protezione dei dati così come approvate originariamente dal Parlamento nel capitolo 5 LSIn in relazione al supporto per le infrastrutture critiche.

Durante l’elaborazione del progetto posto in consultazione è stato consultato l’IFPDT. In questa fase si è discusso anche delle possibilità di coordinamento con l’obbligo di notifica in caso di violazione della sicurezza dei dati.