Rapporto sui risultati

3.3.2.6 Articolo 73b Trattamento delle notifiche di ciberincidenti e vulnerabilità

1 Se gli sono notificati ciberincidenti o vulnerabilità nei mezzi informatici, il NCSC analizza la loro rilevanza ai fini della protezione della Svizzera contro i ciber-rischi. Su richiesta della persona che presenta la notifica, il NCSC fornisce raccomandazioni su come procedere, sempre che a tal fine non siano necessari ulteriori analisi e chiarimenti.

2 Il NCSC può pubblicare o inoltrare alle autorità e alle organizzazioni interessate informazioni sui ciberincidenti, sempre che ciò serva a prevenire o a contrastare eventuali ciberattacchi. Tali informazioni possono contenere dati personali o dati di persone giuridiche, a condizione che si tratti di caratteristiche identificative ed elementi di indirizzo utilizzati abusivamente e la persona interessata vi acconsenta.

3 Se gli viene segnalata una vulnerabilità, il NCSC informa immediatamente il produttore e gli impartisce un congruo termine per eliminarla. Se il produttore non la elimina entro il termine impartito, il NCSC pubblica la vulnerabilità indicando i software o gli hardware interessati, sempre che ciò contribuisca alla protezione contro i ciber-rischi.

Si sono espressi 21 partecipanti alla consultazione. In generale, il capoverso 3 è quello che ha suscitato le reazioni più intense.

 Osservazioni generali sull’articolo 73b

Scienceindustries è del parere che l’attuazione dell’obbligo di notifica dovrebbe rappresentare un valore aggiunto per le imprese interessate, seguire un approccio proporzionato e sussidiario così come funzionare su base cooperativa, senza generare costi aggiuntivi per l’economia svizzera.

I Verdi, Digitale Gesellschaft e il Partito Pirata sono favorevoli all’articolo 73b e ritengono che, per poter svolgere i compiti in esso indicati, l’NCSC debba soddisfare determinate esigenze minime, vale a dire disporre di competenze più ampie in caso di incidenti gravi e attuare una procedura di «responsible disclosure» per le infrastrutture critiche.

I Verdi e CH++ auspicano che l’NCSC possa emanare direttive con termini vincolanti che obblighino le organizzazioni dei produttori e dei gestori a eliminare celermente le vulnerabilità e a ridurre i danni.

Il Cantone VD chiede che l’articolo 73b sia coordinato con l’ordinanza relativa ai dispositivi medici (ODmed).

 Richieste di modifica e suggerimenti

• Capoverso 1

Secondo UZH, UNIL e PNR 77, la formulazione «sempre che a tal fine non siano necessari ulteriori analisi e chiarimenti» non è chiara. Raccomandano di sostituirla con «qualora ciberincidenti o vulnerabilità siano resi noti all’NCSC» onde evitare di limitarsi a una notifica che potrebbe essere confusa con la notifica di ciberattacchi da parte della persona interessata.

• Capoverso 2

Secondo I Verdi e CH++, salvo eccezioni giustificate l’NCSC dovrebbe attuare un obbligo del principio di pubblicazione al fine di rispettare il principio della trasparenza. Al contrario, ISSS, Härting Rechtsanwälte, AES, UTP, Swissgrid, il Cantone GE e RAILplus sottolineano che i dati personali e quelli delle persone giuridiche dovrebbero essere pubblicati solo previo esplicito consenso. Ritengono inoltre opportuno regolamentare con maggiore precisione le circostanze in cui occorre pubblicare un ciberincidente e quali informazioni vadano menzionate, sulla base dei principi di protezione dei dati e di segretezza delle informazioni riservate.