Rapporto sui risultati

3.3.2.9 Articolo 9 (Divulgazione coordinata delle vulnerabilità)

Art. 9 Divulgazione coordinata delle vulnerabilità

¹L’UFCS assicura la divulgazione coordinata delle vulnerabilità secondo gli standard riconosciuti a livello internazionale.

²Fissa al produttore dell’hardware o del software interessato un termine di 90 giorni per eliminare le vulnerabilità.

³Può accorciare questo termine se una vulnerabilità:

a. mette a rischio il corretto funzionamento di infrastrutture critiche;

b. può essere sfruttata in modo particolarmente semplice per un ciberattacco; o

c. riguarda sistemi molto diffusi.

⁴Può prolungare il termine fissato se eliminare la vulnerabilità si rivela particolarmente complesso.

⁵Può già informare i gestori di infrastrutture critiche prima che le vulnerabilità vengano eliminate o divulgate.

⁶I capoversi da 1 a 4 non si applicano alle vulnerabilità riscontrate dall’Ufficio federale della comunicazione (UFCOM) nell’ambito dei propri controlli di vigilanza (art. 36 segg. dell’ordinanza del 25 novembre 2015 sugli impianti di telecomunicazione). In questi casi l’UFCOM provvede a informare l’UFCS.

⁷L’UFCS informa tempestivamente l’UFCOM in merito alle vulnerabilità riscontrate sugli impianti di telecomunicazione di cui all’articolo 3 lettera d della legge del 30 aprile 1997 sulle telecomunicazioni.

Questo articolo ha dato adito a numerose reazioni. 25 partecipanti alla procedura di consultazione si sono espressi in merito alla divulgazione coordinata delle vulnerabilità.

❖ Osservazioni generali in merito all’articolo 9

 Per quanto riguarda la definizione e la gestione delle vulnerabilità, SH segnala a titolo generale la necessità di lasciare ai produttori un periodo di tempo sufficiente per eliminare le vulnerabilità prima che esse vengano divulgate. Swiss Banking, Swiss FS-CSC e le FFS chiedono una definizione del termine «vulnerabilità». Le FFS chiedono inoltre chiarimenti in merito ai termini per l’eliminazione delle vulnerabilità, alla comunicazione tra l’UFCS e l’Ufficio federale dei trasporti (UFT), alla delimitazione tra l’obbligo di segnalazione dei produttori e quello dei gestori e all’interconnessione tra produttori e gestori.

 Per quanto riguarda il ruolo e i compiti dell’UFCS, Il Centro li ritiene adeguati e necessari.

 PNR 77 ETHZ UNIL raccomanda di concretizzare nell’ordinanza le conseguenze in caso di mancata eliminazione.

 SwissICT esprime preoccupazioni in merito all’ulteriore onere per i produttori e ai rischi legati alla riservatezza.

❖ Articolo 9 capoverso 1: principio della divulgazione coordinata

 SP approva espressamente la regolamentazione, intravedendo un chiaro miglioramento rispetto alla situazione odierna.

 asut, Salt, digitalswitzerland e ZG propongono di tenere conto, nel testo dell’ordinanza, delle «best practice», oltre che degli standard internazionali. asut, Salt e digitalswitzerland suggeriscono per l’articolo 9 capoverso 1 la seguente formulazione: «¹ L’UFCS assicura la divulgazione coordinata delle vulnerabilità, successivamente alla loro eliminazione, secondo gli standard riconosciuti a livello internazionale e le best practice». ZG chiede inoltre di estendere il campo d’applicazione a gestori e servizi.