Rapporto sui risultati

 BE propone di formulare il capoverso come segue: «¹ L’UFCS assicura la divulgazione coordinata delle vulnerabilità.»

 Con riferimento alle tempistiche di divulgazione, economiesuisse e scienceindustries propongono che le vulnerabilità vengano divulgate soltanto una volta eliminate.

❖ Articolo 9 capoverso 2: termine per l’eliminazione delle vulnerabilità

 Da parte di digitalswitzerland, asut, Salt, economiesuisse, scienceindustries e Swico si richiede una flessibilizzazione del termine. Nello specifico, economiesuisse, scienceindustries e Swico chiedono di utilizzare nel testo dell’ordinanza l’espressione «termine adeguato» anziché un termine fisso di 90 giorni; asut e Salt ritengono tuttavia utile precisare che il termine adeguato dev’essere di almeno 90 giorni.

 Per quanto riguarda la specifica dei destinatari, H+ propone di precisare i produttori dell’hardware o del software di infrastrutture critiche, mentre SwissICT chiede di aggiungere i gestori quali soggetti potenzialmente tenuti all’eliminazione delle vulnerabilità.

❖ Articolo 9 capoverso 3: informazione in caso di ciberminaccia acuta

 Ai fini di una migliore comprensibilità, BE consiglia di formulare l’articolo 9 capoverso 3 come segue: «³ Qualora sia a conoscenza di una vulnerabilità tale da costituire una ciberminaccia acuta per alcune singole infrastrutture critiche, l’UFCS informa prontamente i relativi gestori, prima che detta vulnerabilità venga pubblicata o eliminata».

❖ Articolo 9 capoverso4: accorciamento o prolungamento del termine

 CH++ propone di formulare l’articolo 9 capoverso 4 in maniera più rigorosa, onde evitare che in troppi casi vi sia un prolungamento dei termini.

 Swico suggerisce di consultare il produttore prima di un eventuale accorciamento del termine e chiede di formulare l’articolo 9 capoverso 4 come segue: «Previa consultazione del produttore,

[l’UFCS] può accorciare il termine se una vulnerabilità: …».

 UFDC fa notare una possibile contraddizione tra «accorciare il termine se la vulnerabilità può essere sfruttata in modo particolarmente semplice» e «prolungare il termine se eliminare la vulnerabilità si rivela particolarmente complesso».

❖ Articolo 9 capoverso 5: informazione ai gestori di infrastrutture critiche

 CH++ sollecita a inasprire la formulazione, così da non suscitare l’impressione che, in situazioni di rischio, il DDPS possa trattenere informazioni sulle lacune in materia di sicurezza per poterle eventualmente sfruttare da sé più a lungo in maniera offensiva. CH++ propone di modificare la formulazione potestativa dell’articolo 9 capoverso 5: «In linea di principio, informa i gestori di infrastrutture critiche ancor prima che le vulnerabilità vengano eliminate o divulgate».

 Sia Migros (informazione immediata) che l’aeroporto di ZH (informazione obbligatoria entro 72 ore) richiedono un’informazione più rapida.

 NEDIK suggerisce che l’UFCS debba fondamentalmente informare i gestori prima che la vulnerabilità sia eliminata o divulgata, con la possibilità di attendere in determinati casi.