Rapporto sui risultati

 Bocciatura dell’articolo 74c

I Verdi, CH++, Operation Libero e i Cantoni TG e UR chiedono l’eliminazione di questo articolo.

 Richieste di modifica e suggerimenti concernenti l’articolo 74c

• Lettera a

Secondo I Verdi, Operation Libero e Pour Demain, un basso grado di accoppiamento con i mezzi informatici appare sempre meno probabile nel XXI secolo. Pertanto chiedono l’eliminazione della lett. a.

Per il Cantone GE, tale disposizione è in contraddizione con la LPD.

• Lettera b

Secondo VUD è determinante solo sapere se un ciberattacco compromette gravemente la sicurezza nazionale.

Il Cantone GE ritiene questa disposizione in contraddizione con l’obiettivo dell’articolo 74b che elenca le organizzazioni di maggiore importanza.

Migros considera inapplicabile la deroga prevista alla lettera b.

3.3.2.12 Articolo 74d Ciberattacchi da notificare

1 Un ciberattacco a un’infrastruttura critica deve essere notificato se vi sono indizi che: a. il funzionamento dell’infrastruttura critica interessata o di un’altra infrastruttura critica è compromesso; b. è stato eseguito o predisposto da uno Stato estero; c. ha causato o potrebbe causare una fuga di informazioni o la loro manipolazione; o d. non è stato individuato per più di 30 giorni.

2 Un ciberattacco a un’infrastruttura critica deve sempre essere notificato se è connesso al reato di estorsione, minaccia o coazione nei confronti del gestore di un’infrastruttura critica o dei suoi collaboratori.

La definizione dei ciberattacchi da notificare ha generato un gran numero di reazioni, principalmente osservazioni generali o proposte concrete di modifica.

Si sono pronunciati in totale 36 partecipanti; 1 si è espressamente dichiarato favorevole a questa proposta mentre 4 l’hanno esplicitamente respinta.

 Osservazioni generali sull’articolo 74d

Per AEROSUISSE, ai fini della certezza del diritto delle imprese interessate, è importante stabilire chiaramente che l’articolo 74d è il criterio per determinare se un attacco contro un’infrastruttura critica deve essere segnalato.

Secondo economiesuisse, eGov-Schweiz, il Cantone ZH e santésuisse, l’articolo 74d deve necessariamente essere riveduto, in particolare perché i criteri sono troppo ampi e difficilmente comprensibili o applicabili per le imprese. Perciò, secondo economiesuisse, sarebbe più opportuno rendere disponibile un elenco (positivo) più limitato di incidenti da notificare e limitare l’obbligo di notifica ai tentativi riusciti o particolarmente gravi.

Il cantone GR chiede un elenco chiaro dei casi da notificare.

ISSS, Härting Rechtsanwälte così come UZH, UNIL e PNR 77 chiedono che nel titolo dell’articolo 74d siano menzionati anche i ciberincidenti.