Rapporto esplicativo

Capoversi 2–4: Termine per eliminare la vulnerabilità

L’UFCS richiede ai produttori dell’hardware o del software interessato da vulnerabilità che una vulnerabilità venga eliminata in linea di massima entro un termine di 90 giorni. Si tratta di una prassi comune nel settore della cibersicurezza.¹⁵ Questo termine, da un lato, concede ai produttori tempo sufficiente per analizzare le vulnerabilità e per sviluppare e attuare contromisure, mentre, dall’altro lato, garantisce anche che le vulnerabilità non persistano troppo a lungo.

A seconda della criticità e della complessità di una vulnerabilità il relativo termine può essere accorciato. Tuttavia in caso di necessità è anche possibile prolungare il termine fissato (p. es. a seguito di un onere elevato per le contromisure o di un’esigenza di coordinamento elevata).

Capoverso 5: Comunicazione della vulnerabilità prima che venga eliminata o

pubblicata

Se è a conoscenza di una vulnerabilità che rappresenta una ciberminaccia acuta per altre infrastrutture critiche, l’UFCS informa i relativi gestori prima che la vulnerabilità venga pubblicata oppure eliminata dal produttore dell’hardware o del software interessato. Questa prassi è importante per informare tempestivamente i gestori di infrastrutture critiche riguardo a potenziali rischi per la sicurezza e dare loro la possibilità di adottare opportune misure per proteggere i propri sistemi. Grazie allo scambio di informazioni sulle vulnerabilità i gestori di infrastrutture critiche possono adottare in modo proattivo misure per ridurre i rischi prima che le vulnerabilità siano note pubblicamente. Ciò può contribuire a impedire o ad attenuare potenziali attacchi alle infrastrutture critiche.

Capoverso 6: Regolamentazione speciale per l’UFCOM

Questa disposizione è intesa a evitare conflitti di competenza e doppioni tra l’UFCS e l’UFCOM. L’UFCOM esercita la vigilanza sul mercato per quanto riguarda l’offerta, la messa a disposizione sul mercato, la messa in servizio, l’installazione e l’esercizio degli impianti di telecomunicazione. Inoltre svolge controlli del mercato presso attori economici, in primo luogo presso il produttore svizzero oppure, in assenza di quest’ultimo, presso l’importatore di tali impianti, verifica gli impianti interessati e adotta le misure necessarie se gli impianti controllati non sono conformi alle prescrizioni vigenti (art. 33 legge del 30 aprile 1997¹⁶ sulle telecomunicazioni [LTC]). Tra queste prescrizioni rientrano anche i requisiti in materia di cibersicurezza per determinati impianti di radiocomunicazione conformemente all’articolo 7 capoverso 3 lettere d, e ed f dell’ordinanza del 25 novembre 2015¹⁷ sugli impianti di telecomunicazione (OIT)¹⁸.

¹⁵Cfr. Linee guida dell’Ufficio federale tedesco della sicurezza informatica sul processo di divulgazione coordinata delle vulnerabilità (CVD), n. 3.3., pag.10.

¹⁶RS 784.10

17 RS 784.101.2