Rapporto esplicativo

caso è dato se la notifica contiene informazioni relative a un reato grave: il NCSC può infatti inoltrare queste informazioni alle autorità di perseguimento penale. Sebbene il NCSC sia esonerato

6

dall’obbligo di denuncia di cui all’articolo 22a della legge del 24 marzo 2000 sul personale federale, il responsabile del NCSC può inoltrare alle autorità di perseguimento penale delle informazioni se lo ritiene necessario in considerazione della gravità del reato. L’inoltro delle informazioni alle autorità di perseguimento penale non avrà conseguenze penali per il gestore dell’infrastruttura critica, perché solitamente la procedura viene avviata soltanto contro gli autori dell’attacco. Tuttavia, nel raro caso in cui il gestore dell’infrastruttura critica dovesse essere oggetto del perseguimento penale, l’obbligo di notifica non deve fare in modo che la segnalazione si trasformi in un’autoaccusa. Per questo motivo è stata inserita una disposizione per tenere conto del divieto di autoaccusarsi come principio cardine del perseguimento penale. Tale disposizione si ispira a quella relativa all’obbligo di notifica di violazione della sicurezza dei dati della legge rivista in materia di protezione dei dati (cfr. art. 24 cpv. 6 nLPD).

Il secondo caso che esonera dal consenso riguarda l’inoltro di informazioni utili al Servizio delle attività informative della Confederazione (SIC) per individuare tempestivamente e sventare minacce per la sicurezza interna o esterna, per valutare la situazione di minaccia o per il servizio di preallerta informativa ai fini della protezione di infrastrutture critiche ai sensi dell’articolo 6 capoverso 1

7

lettera a, capoverso 2 e 5 della legge federale del 25 settembre 2015 sulle attività informative (LAIn). In questo modo si assicura che il SIC riceva le informazioni di cui ha bisogno in qualità di autorità competente per la preallerta delle infrastrutture critiche e la valutazione della situazione di minaccia.

1.2.3 Applicazione dell’obbligo di notifica attraverso incentivi e sanzioni

Direttamente collegata all’introduzione dell’obbligo di notifica è anche la scelta degli strumenti da adottare per la sua applicazione. La disponibilità ad assolvere l’obbligo di notifica può essere influenzata da tre fattori.

Innanzitutto la notifica deve essere resa il più facile possibile. Tale requisito viene soddisfatto dal NCSC mettendo a disposizione un modulo elettronico attraverso il quale sia possibile registrare rapidamente la notifica e inviarla in modo semplice.

In secondo luogo è necessario che vi siano degli incentivi alla notifica. Questi incentivi sono principalmente il servizio di valutazione e il supporto tecnico offerto dal NCSC per contrastare l’attacco. Questi devono essere intesi come un servizio di pronto intervento e non devono avere una portata tale da entrare in concorrenza con altri servizi disponibili sul mercato. Per i gestori delle infrastrutture critiche, però, può essere molto utile poter contare su un servizio federale che ha una panoramica completa sulla situazione di minaccia e che può fornire aiuto e supporto per una valutazione iniziale e per l’adozione di misure immediate.

Infine, l’ultimo fattore che influisce sulla disponibilità ad assolvere l’obbligo di notifica sono i deterrenti, ovvero le multe. Se, nonostante il confronto con l’infrastruttura critica, si dovesse arrivare comunque a una violazione dell’obbligo di notifica o di informazione, il NCSC, come ultima ratio, può emanare una decisione con comminatoria della multa. L’importo massimo della multa è pari a 100 000 franchi, ma all’azienda che gestisce l’infrastruttura critica può essere comminata direttamente una multa fino a 20 000 franchi. Questa possibilità di comminare una sanzione amministrativa si ispira alla legge sulla protezione dei dati rivista, che all’articolo 63 e seguente prevede una disposizione simile in caso di inosservanza dei provvedimenti disposti dall’Incaricato federale della protezione dei dati e della trasparenza (IFPDT).

Dato il lungo e consolidato rapporto di collaborazione con le infrastrutture critiche, tuttavia, il NCSC ritiene che questa disposizione abbia principalmente un valore simbolico e che serva soprattutto a conferire la necessaria considerazione all’obbligo di notifica.

6 RS 172.220.1