Rapporto esplicativo

gnalazione sono stati selezionati in modo tale da essere il più possibile direttamente individuabili per le autorità e le organizzazioni. Con il presente articolo vengono ulteriormente precisati a livello di ordinanza.

Capoverso 1: Compromissione del funzionamento di un’infrastruttura critica

(art. 74d lett. a LSIn)

Il funzionamento di un’infrastruttura critica può essere compromesso da un ciberattacco se i sistemi informatici, le reti o i sistemi di controllo che sono essenziali per il funzionamento dell’infrastruttura sono compromessi in misura tale da comportare interruzioni del sistema per collaboratori e terzi (art. 18 cpv. 1 lett. a) o l’organizzazione o l’autorità interessata può mantenere le proprie attività soltanto con l’aiuto di piani d’emergenza (art. 18 cpv. 1 lett. b). Si è in presenza di un’interruzione del sistema se collaboratori o terzi non possono più eseguire fasi di lavoro importanti per la loro attività, perché gli strumenti informatici necessari allo scopo non sono più disponibili.

Sono considerate piani d’emergenza tutte le misure di carattere tecnico o organizzativo che devono essere adottate se gli strumenti informatici di solito utilizzati improvvisamente e inaspettatamente non sono più disponibili.

Capoverso 2: Manipolazione o fuga di informazioni (art. 74d lett. b LSIn)

Si presuppone la presenza di un ciberattacco soggetto all’obbligo di segnalazione in seguito a manipolazione o a una fuga di informazioni in particolare se gli aggressori sono in grado di accedere in modo non autorizzato a dati sensibili delle organizzazioni e delle autorità interessate, di criptarle, di sottrarle, di cancellarle, di divulgarle o di renderle accessibili a persone non autorizzate. Tramite un ciberattacco i dati possono essere manipolati da persone non autorizzate in maniera tale da mettere queste ultime in condizione di immettere informazioni rilevanti per le attività aziendali conformemente all’articolo 18 capoverso 2 lettera a dell’ordinanza in oggetto, che in seguito alla loro modifica o divulgazione comportano errori in processi aziendali, decisioni errate o addirittura rischi per la sicurezza. Conformemente all’articolo 18 capoverso 2 lettera b dell’ordinanza in oggetto però è possibile anche che in seguito a una manipolazione o a una fuga di informazioni sia stata violata la sicurezza dei dati personali secondo l’articolo 5 lettera h in combinato disposto con l’articolo 24 LPD.

Capoverso 3: Ciberattacco non identificato per un periodo prolungato

(art. 74d lett. c LSIn)

Sono assoggettati all’obbligo di segnalazione anche i ciberattacchi non identificati per un periodo prolungato e per i quali esistono indizi che siano stati eseguiti per preparare ulteriori attacchi. L’articolo 18 capoverso 3 dell’ordinanza in oggetto stabilisce che si è in presenza di un periodo prolungato ai sensi dell’articolo 74d lettera c LSIn se, dopo che è stato identificato, si constata che il ciberattacco è stato compiuto già più di 90 giorni prima (ad es. mediante l’analisi di dati di log). Ciberattacchi di questo tipo rappresentano una seria minaccia per le infrastrutture critiche. Spesso vengono definiti anche «Advanced Persistent Threats» (APTs). Di norma sono altamente sofisticati, mirati e difficili da individuare. Per questa ragione sono particolarmente rilevanti per poter avvisare gli altri gestori di infrastrutture critiche. Quando si verifica