Rapporto esplicativo

2 Diritto comparato, in particolare rapporto con il diritto europeo

Dal mese di luglio del 2016, quando è stata approvata la direttiva UE volta a garantire una maggiore sicurezza delle reti e dei sistemi informativi (direttiva NIS), tutti i Paesi membri dell’UE sono stati obbligati a implementare un obbligo di notifica di ciberincidenti. Il termine fissato per tale attuazione è scaduto a maggio 2018. L’obbligo di notifica riguarda gli «operatori di servizi essenziali» e, ai sensi dell’articolo 4, rientrano in questa definizione le imprese private e le istituzioni pubbliche che svolgono un ruolo importante per la garanzia della sicurezza in settori quali settore sanitario, trasporti, energia, settore bancario e infrastrutture dei mercati finanziari, infrastrutture digitali e for-

12

nitura e distribuzione di acqua . I destinatari corrispondono quindi in larga parte alle infrastrutture critiche che, in base al progetto posto in consultazione, sarebbero assoggettate all’obbligo di notifica.

Per quanto riguarda la portata dell’obbligo di notifica la direttiva NIS lascia agli Stati membri

dell’EU uno spazio di manovra relativamente ampio. L’obbligo di notifica si applica agli incidenti più gravi e all’articolo 14 viene stabilito che per determinare l’impatto di un incidente dovranno in particolare essere presi in considerazione il numero di utenti interessati, la durata dell’incidente e la diffusione geografica. A differenza del presente progetto posto in consultazione, però, la direttiva NIS non si limita all’introduzione di un obbligo di notifica, ma impone agli operatori di servizi essenziali di adottare anche misure di sicurezza, tra cui rientrano la prevenzione dei rischi, misure a garanzia della sicurezza delle reti e dei sistemi informativi e misure che riducano il più possibile l’impatto degli incidenti che riguardano la sicurezza (art. 14).

Il progetto posto in consultazione, invece, si limita a creare le basi legali per simili requisiti nel settore dell’energia. Uno studio commissionato dall’Ufficio federale dell’energia (UFE) ha constatato che in questo settore, decisivo per l’approvvigionamento economico e la sicurezza del Paese, vi è

13

un forte bisogno di intervenire in materia di cibersicurezza . Nei restanti settori è necessario innanzitutto chiarire se la Confederazione abbia la competenza necessaria per fissare norme giuridicamente vincolanti in materia di cibersicurezza e quali requisiti debbano essere fissati in quali settori.