Rapporto esplicativo

Rapporto esplicativo concernente la

revisione del novembre 2023 dell’ordinanza sulla sicurezza degli impianti di trasporto in condotta

dovrebbero basarsi sullo standard minimo TIC dell’Ufficio federale per l’approvvigionamento economico del Paese (UFAE) e sulle direttive del settore esistenti. Dovrebbero precisare i requisiti operativi e tecnici, tenendo conto delle seguenti condizioni quadro in base alle conoscenze attuali:

1. definizione di vari profili di protezione, ognuno dei quali includa misure tecniche e organizzative a un diverso livello di protezione (p. es. profilo di protezione A per requisiti elevati, B per requisiti medi e C per requisiti bassi);

2. criteri per l’assegnazione di un profilo di protezione a ogni esercente. Spesso questi criteri, che permettono di raggruppare gli esercenti in base alla loro criticità, vengono definiti «profili aziendali»;

3. definizione dei singoli requisiti tratti dagli standard esistenti. Da un’analisi condotta con il settore è emersa la necessità di precisare alcuni dei requisiti previsti dallo standard minimo TIC o dalla direttiva del settore.

Nell’elaborazione dei punti menzionati il settore deve lavorare a stretto contatto con l’UFE quale autorità di vigilanza o autorità di alta vigilanza per gli impianti di trasporto in condotta. L’UFE assicura il coordinamento con i servizi competenti dell’Amministrazione federale centrale (UFAE, Ufficio federale della protezione della popolazione [UFPP], Centro nazionale per la cibersicurezza [NCSC]) e con l’Ispettorato federale degli oleo- e gasdotti (IFO).

3. Ripercussioni finanziarie, sull’effettivo del personale e di altro genere per Confederazione, Cantoni e Comuni

Per attuare le modifiche perseguite, la Confederazione, i Cantoni e i Comuni non devono sostenere costi finanziari o di personale di rilievo. Il presente adeguamento comporta solo un moderato ampliamento del mansionario dell’UFE, che può essere coperto con le risorse umane e finanziarie disponibili.

L’avamprogetto mira ad aumentare il livello di cibersicurezza degli impianti di trasporto in condotta, così da migliorare a medio e lungo termine la protezione contro le ciberminacce a tutto vantaggio, in ultima analisi, di Confederazione, Cantoni e Comuni. Eventuali disservizi dovuti ad attacchi informatici porterebbero con sé costi ingenti.

4. Ripercussioni sull’economia, l’ambiente e la società

I contraccolpi economici, ambientali e sociali di un ciberattacco possono essere molto gravi per la Svizzera e la società. Le conseguenze di un ciberattacco, infatti, possono rivelarsi estremamente serie, come dimostra il caso «Colonial Pipeline»⁷ negli Stati Uniti d’America. Ad esempio, il dispendio provocato da un attacco ransomware (riscatto, perdita di dati, tempo necessario per ripristinare l’esercizio ecc.) può essere maggiore dei costi richiesti dalla protezione dell’infrastruttura di un’impresa. I costi evitati grazie all’adozione di un adeguato livello di protezione informatica e quindi i vantaggi della revisione auspicata sono, perciò, elevati.

L’attuazione di appositi provvedimenti sul piano informatico comporta per le imprese determinati costi in termini di personale e risorse finanziarie. Tuttavia, dato che già la normativa vigente prevede l’obbligo di adottare precauzioni, non dovrebbero risultare cospicui oneri aggiuntivi. Solo le imprese che finora, contrariamente alle prescrizioni, sono rimaste inattive al riguardo possono aspettarsi ripercussioni sostanziali. Le imprese attente ai rischi che, di fronte alle minacce attuali, hanno già adottato misure di sicurezza conformemente alla direttiva del settore, dovranno sostenere costi aggiuntivi minimi o nulli.