Rapporto esplicativo

dell’energia (petrolio, calore a distanza ecc.) possono avvalersi di una regolamentazione speciale solo se il ciberattacco o le conseguenze di quest’ultimo si limitano a questo settore energetico.

Ai sensi dell’articolo 74b capoverso 1 lettera d LSIn sono già esentati dall’obbligo di segnalazione i titolari di licenze conformemente alla legge federale del

21 marzo 2003²⁵ sull’energia nucleare. Di conseguenza una regolamentazione a livello di ordinanza è superflua.

Lett. c: Imprese di cui all’articolo 74b capoverso 1 lettera n LSIn

Le imprese che sono definite secondo l’articolo 74b capoverso 1 lettera n LSIn e che non sono tenute ad adempiere requisiti specifici in materia di gestione della sicurezza o di programmi di sicurezza secondo i regolamenti UE indicati, sono esentate dall’obbligo di segnalare all’UFCS ciberattacchi rivolti contro i loro sistemi informatici. Questo si applica alle imprese che:

 non sono obbligate a realizzare un sistema di gestione della sicurezza delle informazioni (ISMS) conformemente agli articoli 2 e 4 e all’allegato II del regolamento (UE) 2023/203 del 5 ottobre 2023 o all’articolo 2 e all’allegato del regolamento (UE) 2022/1645 del 14 luglio 2022. Sono esentate anche dall’obbligo di segnalazione nei confronti dell’UFCS in caso di ciberattacchi. Un ISMS è un approccio sistematico per l’amministrazione di informazioni aziendali sensibili finalizzato a garantirne la sicurezza. Comprende persone, processi e sistemi informatici applicando un processo di gestione dei rischi. I regolamenti UE indicati stabiliscono standard e requisiti per la realizzazione di un tale sistema;

 non sono tenute ad attuare le direttive di cui al punto 1.7 dell’allegato del regolamento (UE) 2015/1998: tale regolamento riguarda norme per la sicurezza dell’aviazione civile. Il punto 1.7 dell’allegato potrebbe contenere misure o standard di sicurezza specifici che devono essere realizzati all’interno di un programma di sicurezza. Se l’impresa interessata non è tenuta ad attuare queste direttive nel suo programma di sicurezza – cosa che avviene sulla base degli articoli 2, 12, 13 o 14 del regolamento (CE) 300/2008 – è esentata anche dall’obbligo di segnalazione in caso di ciberattacchi.

Lett. d: Imprese ferroviarie di cui all’articolo 74b capoverso 1 lettera m LSIn

L’obbligo di segnalazione si limita alle imprese di trasporto con compiti sistemici di interesse pubblico sottoposte alla vigilanza dell’UFT, la cui attività sicura e affidabile è indispensabile per il benessere della popolazione e il funzionamento dell’economia. Di conseguenza le altre imprese sono escluse dall’obbligo di segnalazione.

Lett. e: Fornitori e gestori secondo l’articolo 74b capoverso 1 lettera t LSIn

I fornitori e i gestori di servizi di «cloud computing» e motori di ricerca come pure centri di calcolo che hanno sede in Svizzera sono assoggettati all’obbligo di segnalazione