Rapporto esplicativo

3 Punti essenziali del progetto

3.1 La normativa proposta

L’introduzione dell’obbligo di notifica di ciberattacchi a infrastrutture critiche viene proposto innanzitutto al fine di creare un sistema di preallerta e ottenere una panoramica migliore sulla situazione di minaccia. Dal momento che gli hacker spesso ricorrono a strategie e modalità simili per sferrare attacchi a svariate infrastrutture critiche operanti in settori diversi, l’obbligo di notifica, permettendo la rapida individuazione dei metodi d’attacco e la diffusione di informazioni a riguardo, potrebbe aumentare notevolmente la cibersicurezza delle infrastrutture critiche.

L’obbligo di notifica riguarda soltanto i ciberattacchi che possono arrecare notevoli danni. I ciberattacchi provocati un comportamento errato, ad esempio un’operazione sbagliata compiuta involontariamente da un collaboratore, non sono invece sottoposti a obbligo di notifica. Infine si è rinunciato anche alla possibilità di estendere l’obbligo di notifica alle vulnerabilità riscontrate negli

strumenti informatici. Tuttavia, a prescindere dall’introduzione dell’obbligo di notifica di ciberattacchi, chiunque potrà continuare a segnalare volontariamente ciberincidenti e vulnerabilità. Questa opportunità non è riservata soltanto alle infrastrutture critiche e chiunque può ricorrervi.

Con l’introduzione dell’obbligo di notifica di ciberattacchi vengono inoltre regolamentati a livello di

14 legge i compiti del NCSC, attualmente definiti unicamente nell’ordinanza sui ciber-rischi (OCiber) . Tale regolamentazione è necessaria sia perché il NCSC assumerà la funzione di servizio centrale di notifica, sia per tenere conto della riorganizzazione delle autorità federali preposte alla cibersicurezza, e in particolare dell’istituzione del NCSC, avvenuta soltanto durante il dibattito parlamentare sulla LSIn.

3.2 Compatibilità tra compiti e finanze

Il NCSC gestisce già oggi un servizio di contatto che raccoglie le segnalazioni volontarie di ciberincidenti. Tale servizio basa la sua attività sulla pluriennale esperienza maturata con MELANI, la centrale che dal 2004 ha raccolto le segnalazioni effettuate da infrastrutture critiche e popolazione.

Per la raccolta delle segnalazioni il NCSC utilizza un apposito modulo elettronico che può essere adattato per poter raccogliere anche quelle inviate per assolvere l’obbligo di notifica qui proposto. All’inizio l’armonizzazione necessaria con gli altri servizi che già raccolgono segnalazioni di questo tipo (ad es. IFPDT, FINMA, IFSN) e la configurazione del modulo di notifica richiederanno del lavoro aggiuntivo, che potrà però essere coperto con le risorse già a disposizione del NCSC. Per attuare il progetto, però, il NCSC deve poter garantire che le notifiche inviate in adempimento all’obbligo di notifica vengano registrate, quietanzate e documentate correttamente e che vengano inoltrate al giusto servizio ai fini della preallerta, un impegno ulteriore di cui si dovrà tenere conto in fase di potenziamento del NCSC.

Il Centro nazionale per la cibersicurezza in futuro avrà anche il compito di fornire supporto all’infrastruttura critica interessata per la gestione dell’incidente, un servizio già fornito e ben rodato grazie alla pluriennale esperienza maturata dal NCSC (e prima ancora da MELANI) ma che sicuramente dopo l’introduzione dell’obbligo di notifica richiederà un impegno maggiore. Questo perché, molto probabilmente, il NCSC riceverà più segnalazioni e, in più, sarà anche tenuto a fornire almeno una prima valutazione e raccomandazioni su come contrastare l’attacco. Di conseguenza anche il team del NCSC addetto all’analisi tecnica (GovCERT) dovrà essere potenziato.

3.3 Attuazione

3.3.1 Necessità di una base legale

15

In base al principio di legalità (art. 5 cpv. 1 Cost. ) e alle disposizioni in materia di legislazione di cui all’articolo 164 capoverso 1 Cost., l’obbligo di notifica di ciberattacchi deve essere regolamentato a livello di legge almeno nei suoi elementi fondamentali. Il progetto posto in consultazione,