Rapporto sui risultati

❖ Articolo 19 capoverso 1: contenuto della segnalazione

 Numerosi partecipanti alla consultazione hanno chiesto di introdurre nell’ordinanza precisazioni in

merito all’entità e al tipo delle informazioni da segnalare:

o BE e PNR 77, PFZ e UNIL propongono di sostituire «indicazioni sull’autore» con «indicazioni sull’aggressore»;

o GE raccomanda di aggiungere nell’articolo 19 capoverso 1 lettera e, «lorsqu’elles sont disponibles» (qualora disponibili) alla fine del capoverso;

o ZH raccomanda di integrare il contenuto della segnalazione con «involvierte Dienstleister oder andere Dritte» (fornitori di servizi coinvolti o altri terzi) per tenere conto degli attacchi alla catena di fornitura e consentire all’UFCS di valutare in modo adeguato la situazione di minaccia nazionale;

o Migros propone di unire le lettere «tipo di attacco» e «metodo di attacco»;

o AES propone di aggiungere «angegriffene Systeme» (sistemi attaccati) all’elenco delle informazioni da segnalare;

o il PLR critica l’elenco dettagliato delle informazioni, ritenendolo troppo ampio e difficile da comprendere;

o Swiss Banking e Swiss FS-CSC raccomandano di integrare l’articolo per rendere più flessibili i requisiti relativi al contenuto della segnalazione e basarli sulle conoscenze che, ragionevolmente, possono essere disponibili;

o La Posta Svizzera SA e digitalswitzerland considerano problematiche le indicazioni sull’autore del ciberattacco e propongono di richiederle solo se possono essere determinate senza onerose procedure forensi;

o NEDIK sottolinea che nella segnalazione manca la classificazione per la trasmissione dell’informazione e raccomanda di stabilirla in modo chiaro sin dall’inizio;

o Primeo propone di aggiungere come ulteriore punto relativo all’obbligo di segnalazione l’indicazione dell’ambito OT (tecnologia operativa) colpito dall’attacco;

o Swissgrid propone che le indicazioni sull’autore vengano richieste solo se note («sofern bekannt») e che nella segnalazione siano incluse anche informazioni sui sistemi attaccati.

 In merito agli aspetti della protezione dei dati e dei dati personali, l’asut, Salt, Switch e Sunrise os-

servano che la segnalazione può includere anche dati personali e raccomandano di definire le procedure in modo tale che sia obbligatorio trasmettere i dati personali solo in caso di incidenti accertati.

❖ Articolo 19 capoverso 2: ulteriori informazioni

 GE propone una nuova formulazione per facilitare la comprensione: «…des informations sur l’éven-

tualité ou la réalité d’un chantage, ainsi que d’une dénonciation pénale» (informazioni sull’eventualità o sull’effettiva esistenza di un’estorsione, nonché di una denuncia penale).