Rapporto esplicativo

collaborazione già ben consolidato è continuato, ma non è più realistico pensare di espandere questo modello.

Tuttavia, concentrandosi su un numero ristretto di imprese, le segnalazioni restituiscono un’immagine incompleta, se non distorta, della situazione reale. Non è possibile stabilire quali effetti stia scatenando in Svizzera quale minaccia informatica. Inoltre, lo scambio su base volontaria può portare anche a comportamenti indesiderati. Le imprese che non partecipano allo scambio di informazioni ricevono comunque avvertimenti e suggerimenti di tipo tecnico grazie alle segnalazioni degli altri, perché il NCSC non può tenere nascoste informazioni così importanti ai gestori di infrastrutture critiche. In questo modo, però, vi è il rischio che per le imprese sia più semplice adottare un atteggiamento passivo, sapendo che riceveranno comunque le principali segnalazioni, piuttosto che partecipare attivamente allo scambio di informazioni.

Riassumendo, quindi, piuttosto che proseguire con il modello dello scambio di informazioni su base volontaria sarebbe preferibile l’introduzione di un obbligo di notifica, perché in questo modo si potrebbe ottenere una panoramica completa della situazione e garantire che nessuno possa sottrarsi all’obbligo di preallerta reciproca. Tuttavia sarebbe opportuno portare avanti la collaborazione e i rapporti di fiducia reciproca sviluppati attraverso lo scambio di informazioni. In questo senso l’elemento discriminante sarà la possibilità per le imprese e le organizzazioni di ottenere anche un vantaggio dall’introduzione dell’obbligo di notifica.

1.2.2 Rapporto con gli altri obblighi di notifica e scambio di informazioni tra le autorità

L’introduzione di un obbligo di notifica di ciberattacchi ha un impatto sugli obblighi di notifica già esistenti e pone quindi il problema di come e quando le notifiche pervenute al NCSC possano essere inoltrare ad altre autorità.

Per quanto riguarda il rapporto con gli obblighi di notifica già esistenti, è stato verificato se fosse possibile inserire al loro interno anche l’obbligo di notifica di ciberattacchi, in modo da evitare di introdurre un obbligo generale valido per tutti i settori. Questa possibilità è stata però esclusa perché i regolamenti in materia di incidenti legati alla sicurezza attualmente in vigore nei diversi settori non sono omogenei e in alcuni casi non esistono neppure. Mantenendo quindi come possibile soluzione l’introduzione di un obbligo di notifica di ciberattacchi a un servizio centrale di notifica, è necessario però stabilire quali notifiche devono essere effettuate, quando e da chi. L’obbligo di notifica di ciberattacchi, quindi, non sostituirebbe gli altri obblighi di segnalazione in vigore, ma

semplicemente li integrerebbe. Contemporaneamente si è cercato di fare in modo che le basi legali permettano di adempiere contemporaneamente a più di un obbligo di notifica. L’impegno richiesto per assolvere i diversi obblighi, infatti, dovrebbe essere il minore possibile, in particolare, ma non soltanto, rispetto all’obbligo di notifica di violazioni della sicurezza dei dati ai sensi dell’articolo 24

5

della nuova legge federale sulla protezione dei dati (di seguito: nLPD) , perché spesso i ciberattacchi provocano anche una perdita di dati. La soluzione scelta permette alla persona che effettua la notifica di inoltrare la notifica del ciberattacco anche ad altri servizi simil nel momento in cui la trasmette al NCSC, adempiendo così contemporaneamente a più obblighi di notifica. Allo stesso tempo il NCSC riceverà anche segnalazioni di ciberattacchi inviate per adempiere ad altri obblighi di notifica, purché contengano i dati richiesti. In questo modo quindi non dovrebbe essere necessario segnalare lo stesso evento a più servizi attraverso procedure diverse.

A questo riguardo dovranno essere chiarite anche le modalità di scambio di informazioni tra le autorità. Quando imprese e organizzazioni segnalano al NCSC un ciberattacco volontariamente o per assolvere un obbligo, devono sapere come verrà trattata la loro notifica e chi riceverà queste informazioni. Anche qui si intendono mantenere i principi su cui si basava il precedente modello dello scambio di informazioni. Per poter inoltrare le notifiche, o parti di esse, è necessario il consenso del gestore dell’infrastruttura critica interessata oppure tali informazioni devono essere rese anonime.

Tuttavia, in due casi il NCSC deve poter inoltrare informazioni che permettono di risalire alla persona che ha effettuato la notifica o alla persona interessata anche senza il loro consenso. Il primo