Rapporto esplicativo

Rapporto esplicativo concernente la

revisione del novembre 2023 dell’ordinanza sulla sicurezza degli impianti di trasporto in condotta

1. Situazione iniziale

Le tecnologie dell’informazione e della comunicazione (TIC) sostengono lo sviluppo di un approvvigionamento energetico flessibile ed efficiente. A tal fine, sono sempre più utilizzate per sorvegliare e gestire le reti di approvvigionamento. Se da un lato è vero che ne risulta un’ottimizzazione del sistema, dall’altro aumenta l’esposizione agli attacchi ad opera di cibercriminali e nascono nuove fonti di rischio.

La sicurezza dell’approvvigionamento energetico è di importanza strategica. L’esercizio sicuro dei sistemi che lo forniscono garantisce la protezione di beni giuridici rilevanti. La dipendenza del nostro sistema socioeconomico dalle fonti energetiche è tale che un’avaria di ampia portata produrrebbe effetti devastanti. Al giorno d’oggi la minaccia di un ciberattacco alle reti energetiche è alquanto realistica.

La Strategia nazionale per la protezione delle infrastrutture critiche 2018–2022 (PIC)¹ e la Strategia nazionale per la protezione della Svizzera contro i ciber-rischi (SNPC) 2018–2022² stabiliscono misure per aumentare la resilienza complessiva delle infrastrutture critiche. A tal fine, la SNPC³ prevede l’elaborazione e l’introduzione di standard minimi facoltativi per la sicurezza delle TIC, che hanno trovato attuazione con il cosiddetto standard minimo TIC⁴. Si tratta di una serie di misure che rappresentano un importante ausilio per garantire la protezione contro gli attacchi informatici. Su questa base il settore ha elaborato delle raccomandazioni⁵ che per la prima volta gettano le indispensabili basi della cibersicurezza nel sistema di approvvigionamento del gas. Tuttavia, questi standard di settore hanno natura essenzialmente facoltativa e non sono ancora applicati con sistematicità. Il crescente stato di minaccia⁶ rende perciò improcrastinabile un’affermazione a medio termine del carattere obbligatorio di tali raccomandazioni per quelle imprese in cui un’avaria produrrebbe le conseguenze più gravi. Le raccomandazioni non potranno essere dichiarate vincolanti se i loro contenuti non saranno sufficientemente precisi e chiari. A tal fine è necessaria una revisione mirata e celere delle basi esistenti, come pure una chiara attribuzione delle responsabilità.

2. Punti essenziali del progetto

Già oggi l’articolo 39 capoverso 3 dell’ordinanza del 4 giugno 2021 sulla sicurezza degli impianti di trasporto in condotta (OSITC; RS 746.12) prevede che gli esercenti proteggano i loro impianti dalle interferenze esterne – e quindi anche dalle ciberminacce. Il nuovo articolo 39a introduce l’obbligo di protezione dalle ciberminacce come norma specifica, e stabilisce una procedura per l’elaborazione delle misure necessarie a tal fine. A causa dell’interconnessione tecnica dei sistemi TIC e dei relativi rischi, la prescrizione si rivolge a tutti gli esercenti, vale a dire anche a quelli che operano infrastrutture con una pressione pari o inferiore a 5 bar (art. 1 cpv. 2).

Il Consiglio federale chiarisce così la responsabilità relativa alla protezione dalle ciberminacce. In vista di un rimando a standard di settore che in futuro siano direttamente vincolanti, è necessario che questi siano redatti o rielaborati in modo mirato e con la partecipazione dell’Ufficio federale dell’energia (UFE). La presente regolamentazione affida questo compito agli esercenti. Le direttive da elaborare