Rapporto sui risultati

❖ Altre osservazioni sull’articolo 18

 BA è favorevole al fatto che l’UFCS segnali automaticamente alle autorità di perseguimento penale i ciberattacchi che potrebbero rappresentare un reato.

 ISSS critica il fatto che i vari capoversi non contengano espressioni quali «in particolare» o formulazioni analoghe indicanti che si tratta di un elenco non esaustivo.

 Il Centro riscontra come la cerchia di destinatari debba essere sufficientemente ampia affinché l’obbligo di segnalazione possa avere piena efficacia.

 SH critica il fatto che l’art. 18 sia troppo breve e che l’obbligo di segnalazione stesso non venga citato esplicitamente.

 UR sostiene che i Comuni più piccoli per numero di abitanti, accorpati in uno dei due raggruppamenti dei centri di calcolo, non dovrebbero essere sollevati dall’obbligo di segnalazione.

 CCS propone di aggiungere un nuovo capoverso 5 che imponga all’UFCS l’obbligo di denunciare alle autorità di perseguimento penale competenti almeno i casi di cui al capoverso 4.

 swissuniversities precisa che le segnalazioni delle scuole universitarie all’attenzione dell’UFCS devono essere coordinate con il CERT di Switch.

3.3.2.19 Articolo 19 (Contenuto della segnalazione)

Art. 19 Contenuto della segnalazione

¹La segnalazione deve contenere le seguenti informazioni sul ciberattacco:

a. data e ora in cui è stato rilevato l’attacco;

b. data e ora in cui è stato compiuto l’attacco;

c. tipo di attacco;

d. metodo di attacco; e

e. indicazioni sull’autore.

²Deve inoltre contenere informazioni che indichino se l’attacco era connesso ai reati di estorsione, minaccia o coazione e se è stata sporta una denuncia penale.

³Deve contenere le seguenti informazioni sulle ripercussioni del ciberattacco:

a. unità dell’organizzazione o dell’autorità interessate;

b. grado di compromissione della disponibilità, dell’integrità e della confidenzialità delle proprie informazioni e delle informazioni di terzi; e

c. ripercussioni del ciberattacco sul funzionamento delle unità dell’organizzazione o dell’autorità interessate.

⁴Se la segnalazione non viene effettuata tramite il sistema di comunicazione dell’UFCS, deve contenere anche le seguenti informazioni sull’autorità o sull’organizzazione assoggettata all’obbligo di segnalazione:

a. ragione sociale, nome o designazione nonché indirizzo; e

b. dati di contatto della persona che effettua la segnalazione.

30 partecipanti alla consultazione si sono espressi sul contenuto della segnalazione e nessuno ha respinto completamente questa disposizione.