Rapporto sui risultati

 Per quanto riguarda le eccezioni per le scuole universitarie e altre istituzioni, Switch propone di

esentare, in determinati casi, scuole universitarie e registrar dall’obbligo di segnalazione, essendo un obbligo di segnalazione completo sproporzionato per tali categorie. swissuniversities suggerisce per le scuole universitarie l’introduzione di valori soglia basati su diversi criteri, quali dimensioni, infrastrutture e sistemi di ricerca.

 Swiss Banking e Swiss FS-CSC propongono di esentare dall’obbligo di segnalazione i ciberattacchi

aventi effetti soltanto minimi sull’attività degli istituti finanziari. Lo si potrebbe formulare come capoverso 1 lettera d^bisnella maniera seguente: «d^bisle imprese di cui all’articolo 74b capoverso 1 lettera e LSIn, a condizione che i ciberattacchi abbiano effetti soltanto minimi sull’attività dell'impresa, in particolare che non siano attacchi andati interamente o parzialmente a buon fine ai danni di funzioni critiche che, se bloccate o perturbate, comprometterebbero fortemente la protezione dei clienti o il funzionamento dei mercati. Questa disposizione può essere concretizzata con un’ordinanza della FINMA o un’autoregolamentazione delle associazioni di competenza».

 Le FFS chiedono di rivedere le eccezioni previste per le imprese ferroviarie minori, gli esercenti di

gasdotti e le centrali elettriche, essendo anch’essi potenzialmente esposti ad attacchi rilevanti per la sicurezza.

 CH++ e H+ sostengono che gli ospedali dovrebbero essere soggetti all’obbligo di segnalazione a

prescindere dalle loro dimensioni.

 ASIP chiede di estendere l’esenzione dall’obbligo di segnalazione a tutti gli istituti di previdenza regi-

strati e non registrati (con e senza prestazioni regolamentari) aventi fino a 30 000 assicurati. ASIP sostiene che la responsabilità in materia di cibersicurezza deve essere di competenza dell’organo supremo dell’istituto di previdenza e che non debba essere inutilmente limitata da disposizioni di legge.

 Swissgrid chiede di includere anche i fornitori di servizi che si occupano dei sistemi di misurazione e

gestione intelligenti, purché soddisfino determinati valori limite.

❖ Articolo 16 capoverso 2: eccezioni per piccole strutture

 UFDC mette in dubbio l’adeguatezza dell’espressione «piccole strutture» per l’esonero dall’obbligo

di segnalazione e invita a considerare altri criteri, come le dimensioni dei clienti interessanti.

 economiesuisse, scienceindustries e Swico propongono di esentare dall’obbligo di segnalazione le

imprese e altre organizzazioni di diritto privato aventi meno di 250 collaboratori. Per l’articolo 16 capoverso 2 dell’ordinanza viene proposto il seguente testo: «² Le imprese di cui all’articolo 74b capoverso 1 lettere f, g, h, l e p LSIn alle quali il capoverso 1 non è applicabile sono esentate dall’obbligo di segnalazione se nel settore interessato occupano meno di 50 persone e se la loro cifra d’affari annua o il loro totale di bilancio annuo non supera i 10 milioni di franchi al 1° gennaio dell’anno impiegano meno di 250 collaboratori.»

 SwissICT suggerisce di eliminare le eccezioni basate sul numero di collaboratori e sulla cifra d’affari

di un’impresa, dal momento che potrebbero pregiudicare il senso e lo scopo dell’obbligo di segnalazione.

❖ Altre proposte e osservazioni

 UCS chiede se sia prevista un’integrazione delle «condizioni generali per le prestazioni TIC» e fa no-

tare che il rapporto esplicativo non è molto chiaro relativamente a questo articolo.