Rapporto sui risultati

Swico propone la soppressione delle cifre 1–4 della disposizione per sostituirle con la definizione di manutenzione remota, per trattare la problematica delle catene di approvvigionamento.

SwissICT chiede che alla lettera s venga precisato che i fornitori di software-as-a-service (SaaS) non gestiscono infrastrutture critiche.

Swissmem chiede la soppressione dell’articolo 74b lettera s.

3.3.2.11 Articolo 74c Eccezioni all’obbligo di notifica

Il Consiglio federale esenta determinate categorie di gestori di infrastrutture critiche dall’obbligo di notifica se i guasti funzionali o i malfunzionamenti causati alle loro infrastrutture da ciberattacchi: a. sono improbabili, in particolare a seguito di un basso grado di accoppiamento dei mezzi informatici; o b. possono avere soltanto ripercussioni minime sul funzionamento dell’economia o il benessere della popolazione, in particolare perché:

1. riguardano unicamente un numero esiguo di persone,

2. sono neutralizzati dall’intervento di altre infrastrutture critiche, o

3. comporterebbero solo modesti danni potenziali per l’economia.

In totale, sulle eccezioni si sono espressi 20 partecipanti alla consultazione. Principalmente hanno sottoposto commenti generali e numerose proposte di adattamento della formulazione. Solo cinque partecipanti alla consultazione si sono pronunciati contro l’inserimento di questa disposizione nella legge.

 Osservazioni generali sull’articolo 74c

Swiss Banking propone di modificare questa disposizione in modo da prevedere che il Consiglio federale definisca, mediante ordinanza, criteri chiari in base ai quali assoggettare all’obbligo di notifica le infrastrutture critiche. L’obiettivo di tali criteri sarebbe di esentare i gestori dall’obbligo di notifica qualora i guasti funzionali o i malfunzionamenti provocati dai ciberattacchi soddisfino le condizioni elencate alle lettere a e b.

Swico è del parere che i criteri citati in questo articolo saranno difficilmente applicabili e propone di sostituirli con il criterio delle ripercussioni potenziali di un danno.

Inoltre, Swico propone di aggiungere un’ulteriore lettera alla disposizione, per prevedere l’esenzione anche nel caso in cui un attacco venga reso inoffensivo dalle misure di mitigazione.

VUD ritiene che le disposizioni dell’articolo 74c lettera a e b siano contraddittorie o poco chiare e chiede che vengano precisate, in particolare le espressioni «di un basso grado di accoppiamento dei mezzi informatici» e «possono avere soltanto ripercussioni minime sul funzionamento dell’economia o il benessere della popolazione».

Il Cantone BE chiede di aggiungere una disposizione 74c^bis per disciplinare la possibilità dei Cantoni, previa consultazione con l’NCSC e nel rispetto delle condizioni previste all’articolo 74c, di esentare dall’obbligo di notifica le autorità o gli organismi preposti ai compiti pubblici a livello cantonale o comunale. Il Cantone BE auspica che tale articolo 74c^bis preveda inoltre che i Cantoni possano designare i responsabili della notifica presso le autorità preposte ai compiti pubblici a livello cantonale o comunale.

Migros critica l’assenza di una regolamentazione basata sui rischi.

Il Cantone LU e SWITCH chiedono che le piccole organizzazioni siano esentate dall’obbligo di notifica perché, secondo il Cantone LU, il processo sarebbe troppo costoso.

 Approvazione dell’articolo 74c

EGov-Schweiz e i Cantoni AI e NW ritengono questo articolo appropriato.