Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di revisione di maggio 2024 dell’ordinanza sull’approvvigionamento elettrico (protezione dai ciberattacchi)

I fornitori esterni di servizi cui un’impresa affida la gestione dei propri sistemi TIC e che hanno accesso permanente ai sistemi di comando della stessa (sistemi di controllo operativi) devono rispettare le medesime regole valide per l’impresa committente.

3. Conseguenze finanziarie, a livello di personale e di altro tipo per Confederazione, Cantoni e Comuni

L’attuazione delle modifiche previste non comporterà costi finanziari o a livello di personale significativi per Confederazione, Cantoni e Comuni . Il progetto di revisione mira ad aumentare il livello di cibersicurezza nel settore energetico, offrendo una migliore protezione dalle ciberminacce a medio e lungo termine, di cui beneficeranno in ultima analisi la Confederazione, i Cantoni e i Comuni. Eventuali interruzioni dell’approvvigionamento dovuti a ciberattacchi comporterebbero conseguenze economiche di vasta portata.

4. Conseguenze su economia, ambiente e società

Un ciberattacco può avere conseguenze economiche, ambientali e sociali molto gravi. Ad esempio, i costi causati da un attacco ransomware (riscatto, perdita di dati, tempo di ripristino dell’esercizio, ecc.) possono superare gli investimenti necessari per la protezione dell’infrastruttura aziendale. Le spese che si possono evitare grazie a un adeguato livello di protezione informatica e quindi i benefici della presente proposta di revisione sono pertanto elevati.

Poiché la normativa vigente richiede già l’adozione di misure adeguate per garantire un esercizio sicuro della rete (art. 8 della legge del 23 marzo 2007 sull’approvvigionamento elettrico [LAEl; RS 734.7] e art. 5 OAEl), non dovrebbero intervenire costi aggiuntivi rilevanti. Le imprese più attente ai rischi,

che hanno già attuato misure di sicurezza, dovranno sostenere costi aggiuntivi minimi o addirittura nulli. Devono aspettarsi pesanti contraccolpi solo le imprese che finora, contrariamente alle prescrizioni in vigore, sono rimaste inattive a questo riguardo.

In generale si stima che i costi che un’impresa deve sostenere per la cibersicurezza si aggirino attorno al 6-14 % delle spese IT o allo 0,3-0,5 % circa del fatturato annuo. Tuttavia questi costi devono essere comparati con quelli di un’eventuale ciberattacco, come ad esempio di un’estorsione operata da un hacker dopo un attacco ransomware, che secondo le stime costa a una PMI in media 1,4 milioni di franchi¹⁰ e alle grandi imprese molto di più.

5. Rapporto con il diritto europeo

L’Unione europea è impegnata a migliorare la cibersicurezza in tutto il suo territorio e ad aumentare la resilienza delle sue infrastrutture critiche. Si considerino in particolare a questo riguardo la cosiddetta direttiva NIS¹¹ e la successiva NIS 2¹². In queste norme l’UE stabilisce in particolare che gli Stati membri prevedano apposite misure per la protezione delle imprese energetiche importanti¹³. L’UE ha già inasprito i requisiti generali di sicurezza e punta a renderli ancora più severi. A tal fine l’UE sta attualmente sviluppando i cosiddetti Network Codes on Cybersecurity, che conterranno regole riguardanti vari aspetti della cibersicurezza nel settore elettrico.