Rapporto sui risultati

3.3.2.23 Modifica di altri atti normativi

Gli atti normativi qui appresso sono modificati come segue:

1. Legge del 23 marzo 2007 sull’approvvigionamento elettrico8 Art. 8a Protezione contro i ciber-rischi

1 I gestori di rete, i produttori e i gestori di impianti di stoccaggio adottano misure per proteggere adeguatamente i loro impianti dai ciber-rischi.

2 Il Consiglio federale può estendere tale obbligo ad altri partecipanti.

2. Legge federale del 25 settembre 2020 sulla protezione dei dati9 Art. 24 cpv. 5bis 5bis L’IFPDT può inoltrare la notifica al Centro nazionale per la cibersicurezza con il consenso del titolare del trattamento soggetto all’obbligo di notifica, per un’analisi dell’incidente. La comunicazione può contenere dati personali, ivi compresi dati personali degni di particolare protezione concernenti sanzioni e procedimenti amministrativi o penali riguardanti il titolare del trattamento soggetto all’obbligo di notifica.

Solo sei partecipanti alla consultazione hanno preso posizione in merito alla modifica della legge sull’approvvigionamento elettrico (LAEl) e della LPD. Nessuno ha richiesto la soppressione dell’articolo8a LAEI. ISSS e Härting Rechtsanwälte auspicano la soppressione dell’articolo 24 capoverso 5^bis LPD.

 Osservazioni generali sull’articolo 24 capoverso 5bis LPD

L’UTP chiede di modificare l’articolo 24 capoverso 5^bis LPD in modo che l’IFPDT possa trasmettere la notifica unicamente con il consenso del titolare del trattamento.

Il Cantone GE ritiene necessario prevedere una comunicazione vincolante da parte dell’NCSC all’IFPDT; la comunicazione dell’IFPDT non necessita dell’autorizzazione della persona responsabile della notifica, se questa soddisfa le condizioni della presente legge.

UZH, UNIL e PNR 77 propongono la seguente riformulazione: «… inoltrare [la notifica] al Centro nazionale… con il consenso [della persona tenuta a notificare]…».

Inoltre, UZH, UNIL e PNR 77 sottolineano che deve essere possibile inoltrare tutti i dati sensibili, non solo alcuni di essi.

 Bocciatura dell’articolo 24 capoverso 5bis LPD

ISSS e Härting Rechtsanwälte chiedono l’abrogazione di questa disposizione perché, se viene creato un servizio centrale per registrare tutte le notifiche, questa aggiunta non è più necessaria.

3.4 Ulteriori richieste e suggerimenti concernenti l’avamprogetto

Swiss Banking chiede che l’attuale testo di legge sia armonizzato con la Comunicazione FINMA sulla vigilanza 05/20 – Obbligo di notificare i ciberattacchi secondo l’articolo 29 capoverso 2 LFINMA.

IG eHealth chiede che il Consiglio federale e il Parlamento garantiscano all’NCSC risorse sufficienti in termini di personale.

8 RS 734.7