Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di revisione di maggio 2024 dell’ordinanza sull’approvvigionamento elettrico (protezione dai ciberattacchi)

1. Situazione iniziale

Le tecnologie dell’informazione e della comunicazione (TIC) supportano lo sviluppo di un approvvigionamento energetico flessibile ed efficiente. In particolare, esse vengono sempre più impiegate per il monitoraggio e il controllo delle reti di approvvigionamento e per la produzione energetica. Se da un lato esse contribuiscono così all’ottimizzazione dei processi, dall’altro aumentano le possibilità di attacco per i criminali informatici e rappresentano quindi nuovi rischi.

La sicurezza dell’approvvigionamento energetico è di importanza strategica. Un esercizio sicuro garantisce la tutela di importanti beni giuridici. Il nostro sistema socio-economico è così fortemente dipendente dall’energia che un’interruzione grave della produzione o della distribuzione avrebbe conseguenze pesanti. La minaccia di un ciberattacco alle reti energetiche è aumentata in modo significativo e oggi è estremamente reale.

La Strategia nazionale per la protezione delle infrastrutture critiche 2018–2022 (Strategia PIC)¹ e la nuova ciberstrategia nazionale (CSN)² prevedono misure adeguate per accrescere la capacità di resistenza generale delle infrastrutture critiche. A questo riguardo la CSN sostiene l’attuazione dello Standard minimo sviluppato dall'Ufficio federale per l'approvvigionamento economico del Paese (UFAE) per migliorare la resilienza delle TIC³ (Standard minimo TIC) e non esclude di renderlo obbligatorio laddove necessario⁴. L’attuazione di questo documento è volontaria e le misure in esso contenute non sono ancora state implementate sistematicamente dall’industria energetica svizzera.

A causa delle crescenti minacce e della criticità della situazione è imperativo poter garantire un elevato livello di cibersicurezza. Sebbene gli sforzi compiuti finora dagli attori del settore siano apprezzabili, non sono ancora sufficienti né abbastanza diffusi, dati il grado di professionalizzazione e l’organizzazione dei gruppi criminali. Il rapporto di base dell’Ufficio federale dell’energia (UFE) sulla cibersicurezza⁵, pubblicato nel 2021, mostra che attualmente non esiste un livello di protezione sufficientemente elevato nel settore delle fornitura di energia elettrica e che è quindi necessario un intervento normativo da parte dello Stato. Inoltre gli attuali sviluppi nel campo dell'intelligenza artificiale (ad es. ChatGPT) faciliteranno ulteriormente il lavoro dei cibercriminali. La resilienza della cibersicurezza nel settore elettrico devono essere migliorate per poter affrontare adeguatamente non solo le sfide attuali ma anche quelle future.

2. Punti essenziali del progetto

La revisione dell’ordinanza del 14 marzo 2008 sull’approvvigionamento elettrico (OAEl; RS 734.71) ha lo scopo di rendere lo Standard minimo TIC vincolante per i principali fornitori di energia elettrica.

Nell’attuare le misure in esso previste, gli attori tenuti al suo rispetto devono raggiungere un determinato livello di protezione. Per garantire una certa proporzionalità sono previsti vari livelli (profili) di protezione, ciascuno con un differente livello di requisiti.

2.1 Standard minimo TIC

Lo Standard minimo TIC definisce una serie di misure e costituisce uno strumento importante per garantire la protezione dai ciberattacchi. Lo Standard si basa sul Cybersecurity Framework dell’istituto