Rapporto sui risultati

⁴Un ciberattacco è considerato connesso ai reati di estorsione, minaccia o coazione se suddetti reati sono rivolti contro le autorità o le organizzazioni assoggettate all’obbligo di segnalazione, o contro i loro responsabili o i loro collaboratori, compresi gli ex responsabili o gli ex collaboratori, oppure contro persone che lavorano per le autorità o le organizzazioni assoggettate all’obbligo di segnalazione.

33 partecipanti alla procedura di consultazione si sono espressi in merito ai ciberattacchi da segnalare. Nessuno ha respinto l’articolo 18, i pareri contengono prevalentemente proposte di precisazione, ampliamento o adeguamento dell’articolo.

❖ Articolo 18 capoverso 1: definizione di attacchi soggetti ad obbligo di segnalazione

 Numerosi partecipanti hanno chiesto di precisare l’obbligo di segnalazione:

o asut e Salt propongono di limitare l’obbligo di segnalazione agli incidenti che hanno ripercussioni dirette sull’esercizio dell’infrastruttura critica.

o L’aeroporto di ZH chiede che si debbano segnalare soltanto i ciberattacchi con conseguenze funzionali andati a buon fine.

o economiesuisse e scienceindustries sottolineano che si dovrebbero segnalare soltanto gli attacchi con conseguenze funzionali andati a buon fine.

o In merito all’articolo 18 capoverso 1 lettera a BL fa notare la necessità di precisare «interruzioni del sistema», visto che un’interruzione al sistema di contabilità dovuta all’utilizzo

dell’IA, ad esempio, non ha praticamente alcuna ripercussione sulla competenza chiave del sistema.

o H+ sostiene che la formulazione è troppo generica e dovrebbe essere meglio specificata.

o GR chiede di definire con maggiore precisione l’istante di inizio di un ciberattacco e di citare espressamente i principali segnali di un attacco preparatorio.

o SGV chiede precisazioni in merito alla definizione di ciberattacchi soggetti a obbligo di segnalazione.

o Le FFS criticano le formulazioni troppo ampie e generiche e chiedono di precisare e circoscrivere i concetti.

o ASA sostiene che devono essere segnalate soltanto le interruzioni del sistema provocate intenzionalmente.

o Swico propone alcune precisazioni per chiarire che si deve trattare di eventi che compromettano direttamente l’esercizio dell’infrastruttura.

o SwissICT critica la definizione di compromissione della funzionalità perché troppo articolata e suggerisce una ponderazione.

o Migros sostiene che non tutte le interruzioni di sistema compromettono la funzionalità di un’infrastruttura critica e propone di considerare come soggette a obbligo di segnalazione soltanto le interruzioni di un «sistema critico per l’operatività aziendale».