Rapporto esplicativo

Lett. d: Obbligo di segnalare ciberattacchi

In occasione della procedura di consultazione relativa alla revisione complementare della LSIn è stato più volte ribadito che le disposizioni sull’obbligo di segnalare ciberattacchi a infrastrutture critiche debbano essere concretizzate a livello di ordinanza. Gli articoli 16–21 dell’ordinanza intendono concretizzare questa richiesta, cui si era già ripetutamente accennato nel messaggio concernente la modifica della legge sulla sicurezza delle informazioni⁷. Pertanto sono disciplinati i dettagli sull’obbligo di segnalazione, vale a dire le autorità e organizzazioni esentate dall’obbligo di segnalazione, i ciberattacchi che devono essere segnalati, il contenuto e il volume della segnalazione e lo svolgimento del processo di segnalazione.

Occorre precisare che, in considerazione dell’elencazione esaustiva dell’oggetto della regolamentazione contenuto in questo articolo, tutte le direttive in materia cibersicurezza dell’Amministrazione federale, le competenze e i compiti del Servizio specializzato della Confederazione per la sicurezza delle informazioni e le relative interfacce con i compiti dell’UFCS sono disciplinati nell’OSIn.

Anche le misure della ciberdifesa non sono disciplinate nell’OCS. Queste misure si riferiscono alle misure relative alle attività informative e militari e comprendono in particolare le misure attive previste all’articolo 37 della legge del 25 settembre 2015⁸ sulle attività informative (LAIn) per perturbare o rallentare i ciberattacchi. Inoltre concernono anche le misure dell’esercito volte a garantire la prontezza all’impiego in ogni situazione e a mettere a disposizione le competenze per fornire un supporto sussidiario alle autorità civili. Queste misure sono disciplinate nella LAIn e nella legge militare nonché nelle relative ordinanze.

Sezione 2: Ciberstrategia nazionale e Comitato direttivo

Art. 2 Ciberstrategia nazionale

Sino alla fine del 2023 le disposizioni concernenti la Ciberstrategia nazionale erano contenute nell’articolo 5 dell’OCiber ora abrogata. Questo articolo si rifà alla regolamentazione di allora e obbliga il Consiglio federale a definire obiettivi e misure

nell’ambito della protezione contro i ciber-rischi nella Ciberstrategia nazionale (CSN). All’interno dell’Amministrazione federale, in base all’articolo 15a capoverso 2 lettera g OOrg-DDPS, l’UFCS è competente per l’elaborazione della CSN all’attenzione del Consiglio federale e per il coordinamento della sua attuazione.

Secondo il capoverso 1 la CSN costituisce il quadro strategico per la prevenzione nell’ambito della cibersicurezza, l’individuazione tempestiva delle ciberminacce, le possibilità di reazione e la resilienza in caso di incidenti al fine di proteggere la Svizzera dai ciberincidenti e dalle ciberminacce. Questo significa che la CSN persegue un