Rapporto esplicativo

1 Situazione iniziale

L’11 dicembre 2020 il Consiglio federale ha incaricato il Dipartimento federale delle finanze (DFF) di creare le basi legali per introdurre l’obbligo di segnalare ciberattacchi a infrastrutture critiche. Pertanto il 2 dicembre 2022 il Consiglio federale ha adottato il progetto per queste basi legali e ha licenziato il messaggio concernente la modifica della legge federale del 18 dicembre 2020¹ sulla sicurezza delle informazioni in seno alla Confederazione (legge sulla sicurezza delle informazioni, LSIn) all’attenzione del Parlamento. Successivamente, il 29 settembre 2023, il Parlamento ha approvato la modifica della LSIn². Il termine di referendum è scaduto inutilizzato il 18 gen-

naio 2024.

Il progetto di ordinanza sulla cibersicurezza contiene, da un lato, le disposizioni d’esecuzione concernenti il capitolo 5 della modifica della LSIn concernenti l’obbligo di segnalare ciberattacchi a infrastrutture critiche e, dall’altro lato, disciplina aspetti organizzativi in relazione con la cibersicurezza. L’ordinanza dovrà entrare in vigore con effetto dal 1° gennaio 2025 assieme al capitolo 5 riveduto della LSIn.

La legge sulla sicurezza delle informazioni è entrata in vigore già il 1° gennaio 2024, senza il citato capitolo 5 riveduto concernente i compiti del nuovo Ufficio federale della cibersicurezza (UFCS) e l’obbligo di segnalare ciberattacchi a infrastrutture critiche. Per la stessa data è inoltre stata abrogata³ l’ordinanza del 27 maggio 2020⁴ sulla protezione contro i ciber-rischi nell’Amministrazione federale (ordinanza sui ciber-rischi, OCiber). Le disposizioni dell’OCiber sono state in parte integrate nella modifica della LSIn (in particolare le definizioni). Le disposizioni che nell’OCiber disciplinavano la sicurezza informatica della Confederazione sono state riprese nell’ordinanza

dell’8 novembre 2023⁵ sulla sicurezza delle informazioni in seno all’Amministrazione federale e all’esercito (ordinanza sulla sicurezza delle informazioni, OSIn). I compiti del Centro nazionale per la cibersicurezza (NCSC) definiti nell’OCiber, in particolare i suoi compiti nei confronti del settore economico e della popolazione, non sono disciplinati nell’OSIn poiché con la modifica della LSIn sono stati dotati di una nuova base legale. Inoltre il 1° gennaio 2024 il NCSC è stato trasferito nell’UFCS in seno al Dipartimento federale della difesa, della protezione della popolazione e dello sport (DDPS). Per questo motivo si trovano quindi disposizioni organizzative relative all’UFCS nell’articolo 15a capoversi 1 e 2 lettere a–g dell’ordinanza del 7 marzo 2003⁶ sull’organizzazione del Dipartimento federale della difesa, della protezione della popolazione e dello sport (OOrg-DDPS).

I compiti dell’UFCS, unitamente all’obbligo di segnalare ciberattacchi a infrastrutture critiche, vengono precisati e descritti in modo più concreto nell’OCS. La futura ordinanza sulla cibersicurezza (OCS) disciplina pertanto, a complemento dell’OSIn, i compiti dell’UFCS e l’obbligo di segnalare ciberattacchi a infrastrutture critiche. Princi-

¹RS 128

²FF 2023 2296

³RU 2023 735 (all. 2 n. I).

4 RS 120.73

5 RS 128.1