Rapporto sui risultati

 Alcuni partecipanti alla procedura di consultazione chiedono che si tenga conto della gravità. digital-

switzerland, SUVA e La Posta Svizzera SA, ad esempio, suggeriscono di considerare nell’obbligo di segnalazione la gravità di un ciberattacco, così da evitare inutili incombenze amministrative.

 Da alcuni partecipanti viene chiesto anche di specificare vari concetti:

o NEDIK sostiene che l’ordinanza dovrebbe definire e circoscrivere con maggiore precisione cosa si intenda per «guasto al sistema».

o GE propone di precisare nel rapporto esplicativo cosa si intenda per «part importante».

o GL raccomanda di indicare più chiaramente nel rapporto esplicativo che all’UFCS vanno segnalate soltanto le interruzioni del sistema correlate a un ciberattacco.

❖ Articolo 18 capoverso 2: manipolazione o fuga di informazioni

 UFDC segnala che una fuga di informazioni può essere individuata prima che queste ultime ven-

gano pubblicate da persone non autorizzate.

 PNR 77 ETHZ UNIL critica il fatto che il rimando alla LPD non sia ideale, dal momento che tale

legge prevede obblighi di segnalazione anche per violazioni non intenzionali della protezione dei dati.

 In merito all’articolo 18 capoverso 1 lettera a ASA sostiene che si devono segnalare soltanto le inter-

ruzioni di sistema provocate intenzionalmente e che all’articolo 18 capoverso 2 va aggiunto quanto segue: vi è una manipolazione o una fuga d’informazioni se informazioni rilevanti per le attività aziendali vengono modificate o divulgate da persone non autorizzate e quindi «sottratte, distrutte, disattivate o trattate in altro modo da ripercuotersi a medio o lungo termine su applicazioni o sistemi fondamentali». L’articolo 18 capoverso 2 lettera c, inoltre, dev’essere integrato con l’aggiunta di un’ultima porzione di frase: «che si presume comporti un rischio elevato per la personalità o i diritti fondamentali della persona interessata».

 Per coerenza, Swiss Banking e Swiss FS-CSC propongono di precisare le formulazioni al fine di re-

stringere il campo d’interesse ai ciberattacchi e tralasciare altri aspetti come la protezione dei dati.

❖ Articolo 18 capoverso 3: termine di 90 giorni

 ZH suggerisce che sarebbe auspicabile una regolamentazione di base che specifichi quali dati di log

possono essere conservati e per quanto tempo.

❖ Articolo 18 capoverso 4: obbligo di segnalazione in caso di estorsione, minaccia o coazione

 BE propone di ampliare l’obbligo di segnalazione in caso di estorsione, minaccia o coazione diretta-

mente agli ex responsabili o collaboratori dell’ente assoggettato all’obbligo di segnalazione oppure di omettere del tutto questo gruppo di persone.

 Le FFS chiedono di limitare la portata dell’articolo 18 capoverso 4 sancendo l’obbligo di segnala-

zione soltanto per i ciberattacchi credibili e penalmente rilevanti.