Rapporto sui risultati

1 Situazione iniziale

Il 12 gennaio 2022 il Consiglio federale ha adottato l’avamprogetto di modifica della legge federale del 18 dicembre 2020 sulla sicurezza delle informazioni (LSIn) e il rispettivo rapporto esplicativo, incaricando il Dipartimento federale delle finanze (DFF) di svolgere una procedura di consultazione, che ha avuto luogo dal 12 gennaio al 14 aprile 2022. In allegato è disponibile l’elenco dei partecipanti alla consultazione, con le abbreviazioni utilizzate nel presente rapporto.

Sono pervenuti complessivamente 102 pareri.

102 Totale dei pareri pervenuti

25 Governi cantonali

5 Conferenze cantonali

8 Partiti

1 Associazione mantello nazionale dei Comuni, delle città e delle regioni di montagna

4 Associazioni mantello nazionali dell’economia

21 Imprese interessate

37 Altri ambienti interessati

I pareri sono consultabili sulla piattaforma di pubblicazione del diritto federale Fedlex¹.

2 Oggetto dell’avamprogetto posto in consultazione

L’avamprogetto mira a introdurre nella legge sulla sicurezza delle informazioni (LSIn), adottata dal Parlamento il 18 dicembre 2020, la base legale necessaria per l’obbligo di notifica dei ciberattacchi contro le infrastrutture critiche.

L’obbligo di notifica riguarderebbe soltanto i ciberattacchi che potenzialmente possono arrecare notevoli danni. I ciberincidenti provocati da un comportamento errato, ad esempio un’operazione sbagliata compiuta involontariamente da un collaboratore, non sarebbero invece sottoposti a obbligo di notifica. Si è rinunciato anche alla possibilità di estendere l’obbligo di notifica alle vulnerabilità riscontrate negli strumenti informatici. L’obbligo di notifica si applicherebbe ai gestori di infrastrutture critiche nei sottosettori critici. La funzione di servizio centrale di notifica verrebbe assunta dal Centro nazionale per la cibersicurezza (NCSC), che raccoglie anche le segnalazioni volontarie di ciberincidenti e vulnerabilità riscontrate negli strumenti informatici.

Le basi legali dell’obbligo di notifica di ciberattacchi, fatti salvi alcuni adeguamenti al capitolo 1,

verrebbero introdotte nel capitolo 5 della LSIn. Il capitolo 5 è stato completamente rielaborato in modo da integrare anche i compiti dell’NCSC, che attualmente sono definiti solo nell’ordinanza sui

2

ciber-rischi (Ociber), oltre alla funzione di centrale di notifica dei ciberattacchi che sarebbe assunta dall’NCSC.

L’introduzione di tale obbligo di notifica permetterebbe di individuare precocemente i ciberattacchi, analizzare le modalità con cui vengono sferrati e avvisare tempestivamente gli altri gestori di infrastrutture critiche. L’obbligo di notifica permetterebbe dunque di aumentare notevolmente la cibersicurezza in Svizzera.

L’avamprogetto non verte né sull’introduzione di norme minime vincolanti in materia di cibersicurezza per i gestori di infrastrutture critiche né sulle esigenze in materia di sicurezza dei prodotti informatici.

2 RS 120.73