Rapporto sui risultati
Consultazione 2021/70: Obbligo di notifica di ciberattacchi per i gestori di infrastrutture critiche · 42 pagine
Fedlex · Rapporto sui risultati · Pagina 23Fedlex · Rapporto sui risultati
3.3.2.14 Articolo 74f Trasmissione della notifica
1 Per la notifica elettronica di ciberattacchi, il NCSC mette a disposizione un sistema sicuro con cui trasmettergli le notifiche.
2 Il sistema deve permettere al gestore di un’infrastruttura critica di trasmettere ad altri servizi e altre autorità la notifica del ciberattacco o delle sue ripercussioni sia nella sua totalità sia in parte.
3 Se il servizio o l’autorità in questione necessita di informazioni supplementari rispetto a quelle menzionate all’articolo 74e, il gestore può trasmetterle direttamente a tale servizio o autorità attraverso il sistema.
L’articolo 74f è stato commentato da 34 partecipanti alla consultazione, 4 di questi (RAILplus, santésuisse, UniBE e La Posta) hanno accettato il testo così com’è. Nessun partecipante ha respinto del tutto l’articolo. La grande maggioranza dei pareri riguardano la centralizzazione dei canali di trasmissione delle informazioni all’NCSC e alle autorità autorizzate dalla legge.
Osservazioni generali sull’articolo 74f
CH++ ritiene che l’articolo 74f debba essere adeguato citando esplicitamente la trasmissione dei dati mediante un’interfaccia protetta. Inoltre l’NCSC dovrebbe adottare un approccio basato
sull’API, come accade per le reti dei partner di Meta/Facebook o AT&T. CH++ ritiene che a tale scopo debba essere creata una base legale appropriata.
Pour Demain e Operation Libero ritengono che debba essere attuata anche un’interfaccia informatica (API) per permettere l’invio di messaggi automatizzati all’NCSC.
UCS, swissuniversities, il Cantone ZH e Swico chiedono che la notifica possa essere trasmessa in modo semplice.
Il Cantone GR chiede di chiarire quali informazioni sono trasmesse, a quali autorità e chi può consultarle.
UZH, UNIL e PNR 77 chiedono che le autorità non possano accedere alle informazioni destinate ad altri servizi.
Swico auspica un meccanismo di notifica quanto più libero possibile, per permettere, per esempio, notifiche automatiche mediante RSS feed o AP o mediante scambio di dati attraverso il sistema MISP, di cui dispongono numerose infrastrutture critiche. Inoltre, Swico chiede che per la notifica dei ciberattacchi all’NCSC sia possibile continuare a usare il canale di trasmissione delle informazioni tra GovCERT e le infrastrutture critiche attualmente impiegato.
SwissICT ritiene che la trasmissione di informazioni ad altre autorità oltre all’NCSC sia obbligatoria solo per le autorità e non per le imprese.
Raiffeisen è favorevole alla disposizione e chiede l’aggiunta di un capoverso in cui si precisi che il sistema in questione deve anche essere usato dalle altre autorità federali che impongono obblighi di notifica nell’ambito dei ciberattacchi.
Swissgrid auspica che il sistema permetta un invio simultaneo dei dati di notifica all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT).
SWITCH chiede che le notifiche possano anche essere trasmesse tramite CERT settoriale comune. Dato che la legge non lo esclude espressamente, SWITCH presuppone che le organizzazioni interessate siano libere di organizzarsi di conseguenza.