Rapporto sui risultati
Consultazione 2021/70: Obbligo di notifica di ciberattacchi per i gestori di infrastrutture critiche · 42 pagine
Fedlex · Rapporto sui risultati · Pagina 10Fedlex · Rapporto sui risultati
UZH, UNIL e PNR 77 ritengono che il consenso vada richiesto alla persona che condivide i dati e non alle persone interessate, in quanto ottenere il consenso di tutte le persone interessate potrebbe richiedere sforzi sproporzionati.
• Capoverso 3
Il Partito Pirata apprezza che l’articolo 73b capoverso 3 preveda l’immediata condivisione delle falle di sicurezza con i gestori di infrastrutture critiche e chiede di aggiungere che essi non possono abusarne per cibergiochi offensivi secondo la LAIn. Allo stesso modo, agli hacker deve essere automaticamente concessa l’impunità nell’ambito della «responsible disclosure».
CH++ propone che i produttori che non reagiscono alle notifiche delle vulnerabilità possano essere esclusi dalle commesse pubbliche.
UZH, UNIL e PNR 77 ritengono opportuno completare il capoverso 3 con la possibilità di sanzioni in aggiunta alla pubblicazione, mentre al contrario La Posta è del parere che le sanzioni avrebbero un effetto nefasto sul numero di notifiche.
Il Cantone GE chiede di sostituire «il produttore» con «il produttore e/o l’editore».
Secondo Digitale Gesellschaft, se l’NCSC è a conoscenza di una falla di sicurezza riguardante un prodotto, ma non si può presumere che sia già nota al produttore, l’NCSC deve immediatamente notificarla al produttore interessato nell’ambito di una procedura di «responsible disclosure». Sempre secondo Digitale Gesellschaft, l’NCSC dovrebbe disporre di mezzi che gli consentano di insistere presso le organizzazioni che segnalano una falla di sicurezza affinché venga corretta.
Secondo ISSS e Härting Rechtsanwälte, le notifiche delle vulnerabilità da parte dell’NCSC ai produttori dovrebbero essere escluse dal principio di trasparenza.
Pour Demain e Operation Libero ritengono inoltre necessario fissare dei termini per i gestori al fine di garantire l’effettiva implementazione degli aggiornamenti di sicurezza.
Secondo UCS e VUD, la pubblicazione prematura della vulnerabilità, corredata dall’indicazione del software o dell’hardware interessato, potrebbe esporre a rischi ulteriori l’autore della notifica. Di conseguenza VUD propone di consentire all’NCSC di diffondere informazioni e adottare misure di comunicazione solo a condizione di non incoraggiare o facilitare i ciberattacchi.
3.3.2.7 Articolo 73c Inoltro di informazioni
1 Se dalla notifica di un ciberincidente o dalla sua analisi emergono informazioni rilevanti per individuare tempestivamente e sventare minacce per la sicurezza interna o esterna, valutare la situazione di minaccia o assicurare un servizio di preallerta informativa per la protezione di infrastrutture critiche conformemente all’articolo 6 capoversi 1 lettera a, 2 e 5 della legge federale del 25 settembre 2015 sulle attività informative (LAIn), il NCSC inoltra queste informazioni al SIC.
2 L’obbligo di denuncia di cui all’articolo 22a della legge sul personale federale non si applica ai collaboratori del NCSC che constatano indizi di un possibile reato nell’ambito della notifica di un ciberincidente o delle relative analisi. Il responsabile del NCSC può sporgere denuncia, sempre che ciò appaia opportuno in considerazione della gravità del possibile reato.
3 Le informazioni rese note da una persona nel quadro di una notifica al NCSC possono essere usate in un procedimento penale contro detta persona soltanto con il suo consenso.
4 Il NCSC può inoltrare informazioni che rivelano segreti protetti dalla legislazione penale esclusivamente secondo quanto disposto dall’articolo 320 del Codice penale.
Sono 25 i partecipanti alla consultazione che si sono espressi su questo articolo, che è stato molto discusso e ha suscitato numerose proposte di modifica. Due partecipanti approvano l’articolo 73c capoverso 3, mentre altri tre respingono l’articolo 73c capoverso 2.