Rapporto esplicativo

dell’UFCS. Se ad esempio la segnalazione viene effettuata via e-mail, l’UFCS informa eventuali persone di contatto registrate delle autorità e delle organizzazioni assoggettate all’obbligo di segnalazione conformemente all’articolo 13 capoverso 2 lettera b dell’ordinanza in oggetto. Con tale riscontro si intende fare in modo che l’autorità o l’organizzazione assoggettata all’obbligo di segnalazione abbia la possibilità di comunicare all’UFCS se si è in presenza di una falsa segnalazione (ad es. una «segnalazione per scherzo» fatta da terzi).

Art. 21 Termine per registrare la segnalazione

Questa disposizione si basa sull’articolo 74e capoverso 1 e 3 LSIn.

In generale

Le autorità e le organizzazioni assoggettate all’obbligo di segnalazione sono tenute a segnalare immediatamente i ciberattacchi non appena ne vengono a conoscenza, in quanto vige il principio secondo cui la velocità prevale rispetto alla completezza. Questo è dovuto al fatto che l’UFCS ha assoluto bisogno che ciberattacchi assoggettati all’obbligo di segnalazione vengano segnalati immediatamente per poter far fronte al suo mandato legale di preallerta.

Capoverso 1: Completamento o modifica della segnalazione

Dato che in particolare per la preallerta e la prevenzione è determinante che le autorità e le organizzazioni assoggettate all’obbligo di segnalazione segnalino ciberattacchi immediatamente dopo che sono stati scoperti, l’articolo 74e capoverso 1 LSIn stabilisce un termine di 24 ore per procedere alla segnalazione. Il termine decorre a partire dal momento in cui il ciberattacco è stato scoperto. Entro tale termine occorre comunicare tutte le informazioni note in tale momento. Molto spesso quando si verificano ciberattacchi l’effettiva gravità dell’attacco e i contorni precisi dell’accaduto rimangono poco chiari per diverso tempo. Se le indicazioni richieste dall’UFCS conformemente all’articolo 19 dell’ordinanza in oggetto sono incomplete nel momento in cui viene effettuata la segnalazione, gli interessati possono completare la segnalazione con le indicazioni mancanti sulla base di nuovi elementi o conoscenze sufficienti oppure confermare che queste informazioni non sono disponibili. Questa segnalazione successiva deve essere trasmessa all’UFCS entro un termine di 14 giorni dal momento in cui è stata effettuata la segnalazione del ciberattacco. Entrambi i termini non sono prorogabili, in quanto si tratta di termini stabiliti dalla legge (cfr. art. 22 cpv. 1 PA).

Capoverso 2: Richiesta dell’UFCS

Se l’autorità o l’organizzazione assoggettata all’obbligo di segnalazione non comunica le informazioni richieste concernenti il ciberattacco entro il termine previsto di

14 giorni, l’UFCS è tenuto a emanare una richiesta indirizzata all’autorità o all’organizzazione assoggettata all’obbligo di segnalazione. Con questa richiesta l’UFCS invita