Rapporto sui risultati

Privatim auspica una definizione più precisa di ciò che si intende per «grave», poiché, secondo questa conferenza, è qui sottinteso che gli incidenti debbano essere notificati anche se la loro gravità non è ancora valutabile. Pertanto, se l’NCSC stabilisce che l’incidente non è grave e non c’è il consenso della persona o delle persone interessate, le informazioni personali devono essere immediatamente eliminate o trattate in forma anonima.

Scienceindustries chiede di specificare espressamente nell’articolo 74d che l’obbligo di notifica è limitato agli attacchi contro installazioni in Svizzera, escludendo gli attacchi contro gli impianti situati all’estero, mentre UZH, UNIL e PNR 77 desiderano che la disposizione copra anche gli impianti all’estero.

Per Coop, la definizione proposta è troppo generica e non permette di differenziare in modo chiaro tra gli incidenti che influiscono minimamente o per niente sui processi commerciali e quelli che riguardano direttamente la gestione delle infrastrutture critiche o che presentano un rischio elevato. Non permette neppure di sapere quali ciberattacchi notificare, tra quelli riusciti e quelli falliti.

L’aeroporto di Zurigo chiede di assoggettare all’obbligo di notifica solo i ciberattacchi riusciti.

Secondo il Cantone AG, la cernita degli attacchi da notificare dovrebbe essere svolta dall’NCSC, perché possono rivelarsi importanti anche le notifiche degli attacchi considerati irrilevanti.

 Approvazione dell’articolo 74d

L’AES è favorevole alla disposizione.

 Bocciatura dell’articolo 74d

Swiss Banking e Raiffeisen propongono di sopprimere l’articolo 74d e di sostituirlo con una formulazione corrispondente a quella della FINMA: chiedono di rendere obbligatoria la notifica dei ciberattacchi che hanno conseguenze considerevoli per l’attività dell’azienda, in particolare gli attacchi interamente o parzialmente riusciti, così come per le funzioni di importanza cruciale, il cui guasto o malfunzionamento potrebbe compromettere la protezione delle persone o il buon funzionamento dei mercati.

SwissICT chiede l’eliminazione della presente disposizione, in quanto in pratica dovrà essere segnalato qualsiasi attacco.

VUD boccia la soluzione legislativa proposta, che definisce gli eventi da notificare nel modo più ampio possibile (art. 5 lett. d ed e LSIn) per poi limitare l’obbligo di notifica (art. 74d LSIn).

 Richieste di modifica e suggerimenti concernenti l’articolo 74d

• Capoverso 1

Secondo l’ISSS, il fatto che gli indizi di un ciberattacco siano già assoggettati all’obbligo di notifica ai sensi dell’articolo 74d è contrario alla ratio legis. L’ISSS propone quindi di modificare la frase introduttiva in modo che, da un lato, verta anche sui ciberincidenti e, dall’altro, che l’obbligo si applichi in caso di seri timori e non semplici indizi.

• Capoverso 1 lettera a

Swissmem chiede di modificare la condizione di cui alla lett. a specificando che il livello di compromissione deve essere considerevole.

Gli aeroporti di Ginevra e Zurigo, Swissgrid, santésuisse e il Cantone GE propongono di stralciare il passaggio «o di un’altra infrastruttura critica», perché spesso le imprese non sono in grado di valutare una simile minaccia.

• Capoverso 1 lettera b