Rapporto sui risultati

sia burocratica e che gli oneri amministrativi siano contenuti. Tuttavia, tutti i partecipanti desiderano precisazioni ed esprimono riserve su alcune disposizioni.

Le richieste di precisazioni riguardano soprattutto le definizioni (art. 5), l’elenco dei settori soggetti all’obbligo di notifica (art. 74b) e i criteri di eccezione (art. 74c), la definizione dei ciberattacchi da notificare (art. 74d) e le modalità di trasmissione della notifica (art. 74f).

Le riserve concernono in particolare le sanzioni in caso di violazione dell’obbligo di notifica

(art. 74h e 74i). 24 partecipanti alla consultazione respingono qualsiasi possibilità di sanzione, sostenendo che le multe non sono il mezzo adeguato a far rispettare l’obbligo di notifica. Secondo loro, l’attuazione dell’obbligo di notifica dovrebbe invece essere incoraggiata mediante incentivi, come servizi di supporto

Dalla consultazione è emersa anche la grande importanza attribuita alla protezione delle informazioni ottenute con le notifiche, in particolare i dati personali. Lo dimostra la preoccupazione

espressa da più parti in merito alla trasmissione dei dati personali ai servizi informativi e alle autorità di perseguimento penale.

Inoltre, alcuni partecipanti alla consultazione desiderano che il progetto non resti limitato all’introduzione di un obbligo di notifica, bensì venga esteso. L’NCSC dovrebbe altresì attuare un servizio centrale di notifica, poter imporre standard minimi ai gestori di infrastrutture critiche ed esigere l’attuazione di misure come l’installazione degli aggiornamenti di sicurezza. In tale contesto è stato anche proposto di assoggettare i gestori di infrastrutture critiche agli articoli 6–10 LSIn.

I partecipanti approvano la possibilità di notificare le vulnerabilità anche all’NCSC, che dovrà informare in primo luogo i produttori dei prodotti interessati secondo i principi della «coordinated vulnerability disclosure», imponendo loro un termine per eliminare la vulnerabilità. È auspicato che i soggetti che notificano le vulnerabilità non possano essere perseguiti penalmente e che i produttori che non eliminano tali vulnerabilità entro il termine fissato dall’NCSC possano essere esclusi dalle commesse pubbliche.

L’avamprogetto, nella versione presentata, è respinto da UDC, USAM, scienceindustries, swissuniversities, Coop, SWISS e da una singola persona. Il MPC non ha preso espressamente posizione né a favore né contro l’avamprogetto.

3.3 Richieste e osservazioni concernenti l’avamprogetto

3.3.1 Osservazione preliminare

Di seguito sono illustrate le osservazioni, le proposte di modifica e le critiche concernenti le varie disposizioni. Sono citate unicamente le argomentazioni principali espresse nelle prese di posizione. I pareri particolarmente dettagliati sono trascritti soltanto se vengono formulate richieste di modifiche materiali concrete. Per maggiori dettagli si rimanda alle prese di posizione pubblicate su Internet.

Il presente rapporto non dà conto del tacito consenso o dell’assenza di commenti agli articoli. Pertanto, nonostante le numerose osservazioni riguardanti le disposizioni riferite nel presente rapporto, si osserva che la maggioranza dei partecipanti alla consultazione approva sostanzialmente ampie parti della legge. Nessun partecipante si è espresso sulla sistematica della legge.