Rapporto sui risultati

1 Situazione iniziale

Il 22 maggio 2024 il Consiglio federale ha approvato il progetto dell’ordinanza sulla cibersicurezza (OCS) e il rapporto esplicativo e ha incaricato il Dipartimento federale della difesa, della protezione della popolazione e dello sport (DDPS) di eseguire una procedura di consultazione, che si è svolta tra il 22 maggio 2024 e il 13 settembre 2024. La lista di tutti i partecipanti alla consultazione con le abbreviazioni utilizzate di seguito si trova in allegato.

Sono pervenuti 69 pareri:

69 Totale pareri

23 Governi cantonali

3 Conferenze cantonali e commissioni federali

4 Partiti

2 Associazioni mantello nazionali dei Comuni e delle città

19 Associazioni nazionali

12 Aziende interessate

7 Altri gruppi di interesse

I pareri sono pubblicati sulla piattaforma di pubblicazione del diritto federale «Fedlex».¹

2 Oggetto del progetto in consultazione

L’11 dicembre 2020 il Consiglio federale ha incaricato il Dipartimento federale delle finanze (DFF) di elaborare le basi legali per l’introduzione di un obbligo di segnalare ciberattacchi a infrastrutture critiche. Il 2 dicembre 2022 il Consiglio federale ha poi approvato all’attenzione del Parlamento il disegno di queste basi legali e il messaggio concernente la modifica della legge federale sulla sicurezza delle informazioni in seno alla Confederazione (legge sulla sicurezza delle informazioni, LSIn) del 18 dicembre 2020². Successivamente il 29 settembre 2023 il Parlamento ha approvato le modifiche della LSIn;³ il termine di referendum è scaduto inutilizzato il 18 gennaio 2024.

Il progetto di ordinanza contiene, da un lato, le disposizioni d’esecuzione in merito al capitolo 5 della LSIn sottoposto a revisione relativo all’obbligo di segnalare ciberattacchi a infrastrutture critiche. Dall’altro lato,

vengono disciplinati anche aspetti organizzativi legati alla cibersicurezza. L’ordinanza entrerà in vigore il 1° aprile 2025 insieme al capitolo 5 della LSIn sottoposto a revisione.

La LSIn è già entrata in vigore il 1° gennaio 2024, senza il capitolo 5 summenzionato, sottoposto a revisione, relativo ai compiti del nuovo Ufficio federale della cibersicurezza (UFCS) e all’obbligo di segnalare ciberattacchi a infrastrutture critiche. Inoltre in tale momento è stata abrogata l’ordinanza sulla protezione contro i ciber-rischi nell’Amministrazione federale (ordinanza sui ciber-rischi, OCiber) del 27 maggio 2020⁴.⁵ Le disposizioni ivi contenute, in particolare le definizioni dei termini, sono in parte state trasferite nella LSIn sottoposta a revisione. Le disposizioni che nell’OCiber disciplinavano la sicurezza informatica della Confederazione sono state riprese nell’ordinanza sulla sicurezza delle informazioni in seno all’Amministrazione

federale e all’esercito (ordinanza sulla sicurezza delle informazioni, OSIn)⁶. I compiti del Centro nazionale per la cibersicurezza (NCSC) definiti nell’OCiber, in particolare i compiti nei confronti dell’economia e della popolazione, non sono disciplinati nell’OSIn, in quanto con la revisione della LSIn hanno ricevuto una nuova

²RS 128

³FF 2023 2296

4 RS 120.73

⁵RU 2023 735 (allegato 2 numero I).

6 RS 128.1