Rapporto sui risultati

 NEDIK afferma che la segnalazione dovrebbe contenere anche l’indicazione dell’autorità presso cui

è stata sporta una denuncia penale.

 SwissICT raccomanda di stralciare senza sostituzione l’articolo 19 capoverso 2 OCS, o di richiedere

su base facoltativa tali informazioni nel modulo di segnalazione.

❖ Articolo 19 capoverso 3: ripercussioni del ciberattacco

 UCS chiede quale sia la differenza tra «elevata» e «grave» nel rapporto esplicativo e propone for-

mulazioni alternative.

 L’aeroporto di Zurigo propone di includere nel contenuto della segnalazione la funzione dele unità in-

teressate.

 Swiss Banking e Swiss FS-CSC propongono di definire il grado di gravità dell’attacco in modo gene-

rico come leggero, medio o grave.

 economiesuisse e scienceindustries chiedono di stralciare l’articolo 19 capoverso 3 poiché ritengono

che vada oltre le disposizioni legali e sia troppo rigido.

 AES afferma, in merito all’articolo 19 capoverso 3, che quest’ultimo si riferisce alle «unità dell’orga-

nizzazione o dell’autorità interessate» e che, pertanto, la segnalazione di cui all’articolo 19 capoverso deve contenere anche l’indicazione dei sistemi attaccati («angegriffene Systeme»).

 Migros raccomanda a sua volta di stralciare questo capoverso, poiché in caso di evento reale le in-

formazioni rilevanti dipendono fortemente dal contesto.

❖ Articolo 19 capoverso 4: canale di segnalazione

 L’aeroporto di Zurigo propone che, per le organizzazioni assoggettate all’obbligo di segnalazione,

quest’ultima debba avvenire esclusivamente tramite il sistema di comunicazione dell’UFCS e che anche le imprese non assoggettate all’obbligo di segnalazione possano segnalare un ciberattacco all’UFCS.

 GE raccomanda di aggiungere nel capoverso 4 una lettera c relativa all’indicazione dei dati di con-

tatto dell’unità competente per la cibersicurezza in seno all’organizzazione o all’autorità.

❖ Osservazioni generali sull’articolo 19

 LU raccomanda di introdurre categorie di segnalazione in base alle ripercussioni dell’evento: inci-

dente minore (nessuna segnalazione o segnalazione facoltativa), incidente medio (segnalazione obbligatoria entro una settimana) e incidente grave (segnalazione obbligatoria entro 24 ore). L’obiettivo è garantire che vengano segnalati all’UFCS solo gli incidenti rilevanti.

 VS propone di centralizzare le segnalazioni di ciberattacchi indirizzate all’UFCS per evitare segnala-

zioni multiple a diversi servizi federali.

 FER osserva che la valutazione delle conseguenze dei ciberattacchi può essere soggettiva e variare

da organizzazione a organizzazione.