Rapporto sui risultati

vengano definiti criteri di distinzione più pertinenti in merito a chi ha diritto o meno al sostegno dell’NCSC e propone di sopprimere la seconda parte della frase («Il NCSC consiglia e sostiene i gestori di infrastrutture critiche nella gestione di ciberincidenti e nell’eliminazione di vulnerabilità se per l’infrastruttura critica sussiste il rischio imminente di conseguenze gravi»).

UZH, UNIL e PNR 77 ritengono che la disposizione dovrebbe estendere le conseguenze dannose ai collaboratori, ai beneficiari e alle prestazioni dell’infrastruttura critica così come alla società o a parte di essa.

La Posta e il Cantone GE chiedono precisazioni sui termini «rischio imminente» e anche La Posta chiede che sia precisato il termine «conseguenze gravi».

• Capoverso 4

Digitalswitzerland chiede spiegazioni più chiare sul modo in cui l’NCSC protegge gli obblighi di tutela del segreto.

ISSS e Härting Rechtsanwälte chiedono una modifica del secondo periodo di questo capoverso, per precisare che l’accesso può essere concesso senza violare eventuali obblighi di tutela del segreto.

UZH, UNIL e PNR 77 ritengono necessario riformulare questa disposizione per prevedere che l’NCSC garantisca la riservatezza e che il gestore non violi alcun segreto trasmettendo le informazioni e fornendo l’accesso ai propri strumenti informatici per analizzare un incidente.

3.3.2.9 Articolo 74a Obbligo di notifica

I gestori di infrastrutture critiche che scoprono eventuali ciberattacchi devono notificarli il prima possibile al NCSC affinché quest’ultimo riconosca tempestivamente i modelli di attacco, avverta i potenziali interessati e possa raccomandare loro opportune misure di prevenzione e difesa.

Su questo articolo si sono espressi 27 partecipanti alla consultazione, 14 dei quali hanno sottolineato l’importanza della definizione di un termine di notifica.

 Richieste di modifica e suggerimenti concernenti l’articolo 74a

I Verdi, AEROSUISSE ed economiesuisse chiedono espressamente che l’obbligo di notifica non generi costi supplementari né per l’economia nazionale né per i soggetti notificanti. Inoltre desiderano che l’onere amministrativo del processo di notifica sia ridotto al minimo.

I Verdi, PVL, ISSS, Härting Rechtsanwälte e Pour Demain ritengono che l’obbligo di notifica dovrebbe essere applicato anche ai ciberattacchi e ai ciberincidenti generali così come alle vulnerabilità.

Sunrise e SWITCH sostengono che l’obbligo di notifica dovrebbe applicarsi soltanto alle imprese che hanno subito ciberattacchi alla propria infrastruttura (nessuna dichiarazione di terzi).

Digitale Gesellschaft propone l’estensione dell’obbligo di notifica a tutti i settori dell’economia svizzera, alle autorità statali e alle ONG, mentre il Partito Pirata auspica che l’obbligo sia esteso quanto meno alle organizzazioni che eseguono compiti per conto dello Stato, così come a tutte le imprese che sono tenute a svolgere un controllo ordinario o a dichiarare una collezione di dati ai sensi dell’articolo 11a LPD.

eAVS/AI ritiene necessario specificare che una notifica può comprendere anche tutte le organizzazioni interessate e che può essere fatta esplicitamente da terzi.

Il Partito Pirata e I Verdi sono del parere che il testo della legge dovrebbe trattare anche il tema dell’intelligenza artificiale.