Rapporto sui risultati

 BE propone una precisazione della frase introduttiva, così da distinguere tra gestori di infrastrutture critiche, da un lato, e autorità e organizzazioni, dall’altro: «Alle condizioni sotto indicate, sono esclusi dall’obbligo di segnalazione le autorità, le organizzazioni e i gestori di infrastrutture critiche seguenti: ...»

 GE fa notare che all’articolo 16 capoverso 1 lettera b non è chiaro se le due condizioni siano cumulative o alternative.

 GR raccomanda di tenere conto, nel definire la dimensione delle istituzioni, del rischio di diffusione a cascata di un eventuale incidente relativo ai dati.

 SO ritiene che le eccezioni previste all’obbligo di segnalazione siano coerenti e comprensibili.

 VS propone di invertire la sequenza delle lettere c e d all’articolo 16 capoverso 1, in maniera tale da seguire lo stesso ordine della LSIn.

 Swiss Banking e Swiss FS-CSC propongono di evitare rimandi diretti a legislazioni UE (cfr. in merito art. 16 cpv. 1 lett. c n. 1 e 2 della bozza di ordinanza sulla cibersicurezza) che, essendo spesso oggetto di emendamenti, renderebbero inutili tali riferimenti, con conseguente incertezza giuridica.

 CH++ lamenta l’assenza di una regolamentazione sulla gestione dei rischi cumulativi.

3.3.2.17 Articolo 17 (Obbligo di documentazione delle richieste di informazioni sull’assoggettamento all’obbligo di segnalazione)

Art. 17 Obbligo di documentazione delle richieste di informazioni sull’assoggettamento all’obbligo di segnalazione

Le autorità e le organizzazioni interessate devono mettere a disposizione dell’UFCS tutti i documenti necessari per fornire informazioni in merito all’assoggettamento all’obbligo di segnalazione.

Un partecipante alla procedura di consultazione si è espresso in merito a questa disposizione, criticando la poca precisione con cui è formulato l’articolo 17.

 PNR 77 ETHZ UNIL critica la formulazione poco chiara del titolo della disposizione, quanto meno nella versione francese. Propone di utilizzare espressioni alternative, quali «Obligation de mettre à disposition des informations», «Obligation de collaborer» o «Obligation d'information».

3.3.2.18 Articolo 18 (Ciberattacchi da segnalare)

Art. 18 Ciberattacchi da segnalare

¹Il funzionamento di un’infrastruttura critica è considerato compromesso se:

a. i collaboratori o i terzi sono interessati da interruzioni del sistema; o

b. l’organizzazione o l’autorità interessata può mantenere le proprie attività soltanto con l’aiuto di piani d’emergenza.

²Vi è una manipolazione o una fuga di informazioni se:

a. informazioni rilevanti per le attività aziendali vengono modificate o divulgate da persone non autorizzate; o

b. si è verificata una violazione della sicurezza dei dati secondo l’articolo 24 della legge federale del 25 settembre 2020 sulla protezione dei dati (LPD).

³Un ciberattacco è considerato non identificato per un periodo prolungato se l’incidente si è verificato più di 90 giorni prima.