Rapporto esplicativo

Rapporto esplicativo

1 Situazione iniziale

1.1 Necessità di agire e obiettivi

Nel suo rapporto del 13 dicembre 2019 sul postulato 17.3475 «Obbligo di segnalazione di gravi incidenti legati alla sicurezza delle infrastrutture critiche» il nostro Consiglio ha constatato che in Svizzera non esiste un obbligo di segnalazione di ciberincidenti nelle infrastrutture critiche e ha conferito al Centro nazionale per la cibersicurezza (NCSC) il compito di verificare la possibilità di introdurre un obbligo di questo tipo¹.

Questo mandato di verifica trovava fondamento in vari documenti precedenti, tra cui la strategia per la protezione delle infrastrutture critiche (Strategia PIC 2018–2022, misura 2), la strategia per la protezione della Svizzera contro i cyber-rischi (SNPC 2018–2022, misura 9) nonché il rapporto del gruppo di esperti per il futuro del trattamento e della sicurezza dei dati². Inoltre, la questione dell’obbligo di notifica è stata affrontata anche nel corso dei dibattiti parlamentari sulla revisione totale della legge federale sulla protezione della popolazione e sulla protezione civile (LPPC, dibattito del Consiglio nazionale del 14.6.2019) e sull’emanazione della legge sulla sicurezza delle informazioni (LSIn, dibattito del Consiglio nazionale del 4.6.2020). Dopo un’approfondita verifica delle possibili basi legali e, in particolare, della competenza federale³, il nostro Collegio l’11 dicembre 2020 ha incaricato il DFF di elaborare entro la fine del 2021 un progetto sull’introduzione dell’obbligo di notifica di ciberattacchi a infrastrutture critiche da porre in consultazione.

Lo scopo del progetto era chiarire chi fosse tenuto a segnalare quali tipi di attacchi, quando e a chi. Nel corso delle verifiche effettuate per chiarire questi aspetti si è appurato che il Centro nazionale per la cibersicurezza (NCSC) istituito nel 2019, che nel progetto viene designato come servizio centrale di notifica di ciberattacchi, non disponeva delle basi legali necessarie per assumere i suoi compiti in qualità di centro di competenza della Confederazione per la cibersicurezza così come richiesto dal Parlamento⁴. Attraverso il progetto sull’introduzione dell’obbligo di notifica anche i compiti e le competenze del NCSC dovrebbero quindi essere disciplinati a livello di legge.

1.2 Alternative esaminate e opzione scelta

1.2.1 Potenziamento dello scambio di informazioni su base volontaria

In Svizzera lo scambio di informazioni tra infrastrutture critiche e Confederazione è ben consolidato. Dal 2004 le infrastrutture critiche si scambiano informazioni, prima mediante l’ex Centrale d’annuncio e d’analisi per la sicurezza dell’informazione (MELANI) e oggi con il NCSC. Questo modello, però, sta dimostrando sempre di più i propri limiti. Per fare in modo che funzioni, uno scambio su base volontaria deve essere fondato su un rapporto di fiducia ben consolidato, che però può essere costruito soltanto se il numero delle parti coinvolte è limitato e se vi è periodicamente la possibilità di confrontarsi in modo diretto. Oggi, però, dal momento che i ciberattacchi sono diventati una minaccia per un gran numero di imprese operanti in settori critici, non è più possibile garantire l’instaurarsi di sufficienti rapporti di fiducia con tutti i soggetti interessati. Negli ultimi anni, quindi, lo scambio di informazioni con alcune imprese e organizzazioni con cui vi era un rapporto di