Rapporto sui risultati

Economiesuisse, Coop, IG eHealth, SWITCH, il Cantone TG, ISSS, aeroporto di Zurigo, Axpo, UZH, UNIL e PNR 77, scienceindustries, VUD, UTP e RAILplus esprimono dubbi sulla

pertinenza di questa seconda condizione, in quanto spesso l’individuazione degli attacchi compiuti dagli Stati è troppo complessa e la loro attribuzione implica un processo politico complicato. Per

questi motivi, ISSS, aeroporto di Zurigo, Axpo, UZH, UNIL e PNR 77, scienceindustries, VUD,

UTP e RAILplus propongono di eliminare questa condizione. RAILplus suggerisce di sostituirla con un criterio cumulativo riferito all’impatto (per es. il numero di utenti o di sistemi colpiti).

• Capoverso 1 lettera c

Swissgrid ritiene necessario sviluppare i punti seguenti: dati sensibili, informazioni sui sistemi critici, dati relativi alla gestione della rete elettrica, infrastrutture e sistemi di gestione principale.

• Capoverso 1 lettera d

Economiesuisse, aeroporto di Zurigo, ASA, VUD e Coop ritengono inappropriato il termine di 30 giorni.

IG eHealth propone di esentare dall’obbligo di notifica i ciberattacchi passati inosservati per più di 30 giorni se non sono soddisfatte le condizioni di cui alle lettere a (compromissione del funzionamento) e c (possibile fuga o manipolazione di informazioni), ovvero in caso di attacco di lieve entità o di gravità medio-bassa.

L’ASA ritiene il termine irrealistico, poiché creerebbe un obbligo di reazione a un evento di cui non si è a conoscenza e di cui si potrebbe ignorare quando si è verificato. L’ASA propone di sostituire la lettera d con il testo seguente: «über einen längeren Zeitraum unentdeckt blieb» (non è stato individuato per un lungo periodo).

Il Cantone TG propone di sostituire la lettera d con il testo seguente: «d. die direkt und unmittelbar für das Ziel des Cyberangriffs verwendeten Instrumente länger als 30 Tage unentdeckt blieben» (d. gli strumenti usati direttamente per l’obiettivo del ciberattacco non sono stati individuati per più di 30 giorni).

Secondo Migros, UZH, UNIL e PNR 77, un termine di mancata individuazione non dovrebbe essere l’unico criterio per la notifica.

• Capoverso 2

Secondo scienceindustries, l’obbligo di notifica deve limitarsi all’estorsione, alle minacce o alla coazione, in quanto acquista efficacia solo in presenza di un legame con l’attività commerciale.

L’UVS ritiene che la formulazione esaustiva dell’elenco ponga la questione se l’obbligo di notifica non debba applicarsi anche quando un ciberattacco è legato a estorsione, minaccia o coazione nei confronti dei clienti o dei pazienti di un gestore.

Il Cantone BL suggerisce di completare il testo aggiungendo i reati di danneggiamento dei dati, commessi attraverso crittografia o introduzione di dati (malware).

Il Cantone GE fa presente che le istituzioni che violassero questo articolo si esporrebbero a un rischio di duplice sanzione.

UZH, UNIL e PNR 77 ritengono necessario modificare il testo in modo da prevedere un obbligo di notifica non appena vengono commesse «azioni penalmente rilevanti» e non solo nei «casi di reati contro la libertà».