Rapporto sui risultati

di cui all’articolo 13 capoverso 2 lettera b di un’organizzazione registrata e interessata dalla segnalazione di aver ricevuto la segnalazione e del suo contenuto, tuttavia senza indicare i dati di contatto dell’organizzazione o della persona che ha effettuato la segnalazione, a meno che anche i dati di contatto non siano necessari per la protezione della cibersicurezza).

3.3.2.21 Articolo 21 (Termine per registrare la segnalazione)

Art. 21 Termine per registrare la segnalazione

¹Se entro il termine di segnalazione di 24 ore non sono note tutte le informazioni necessarie, l’UFCS concede all’autorità o all’organizzazione interessata un termine di 14 giorni per completare la segnalazione.

²Se entro la scadenza del termine non sono disponibili tutte le informazioni necessarie, l’UFCS chiede all’autorità o all’organizzazione interessata di completarle immediatamente o di confermare che le informazioni non sono disponibili.

Dieci partecipanti alla consultazione si sono espressi in merito al termine e alla registrazione della segnalazione. Nessuno dei partecipanti alla consultazione ha respinto l’articolo 21. I pareri contengono proposte di integrazione e precisazione dell’articolo.

❖ Termine di 24 ore per la prima segnalazione

 PNR 77, PFZ e UNIL raccomandano di utilizzare la formulazione più precisa «innerhalb von 24 Stunden nach der Entdeckung des Cyberangriffs» (entro le 24 ore successive all’individuazione del ciberattacco) per facilitare la comprensione da parte delle autorità e delle organizzazioni soggette all’obbligo di segnalazione.

 Switch ritiene che il termine di 24 ore costituisca un onere sproporzionato soprattutto per le organizzazioni più piccole. Propone quindi che il termine di 24 ore venga riferito alle settimane lavorative e agli orari d’ufficio.

 Swissgrid suggerisce di precisare nell’ordinanza che la segnalazione deve avvenire entro le 24 ore successive all’individuazione del ciberattacco oppure di inserire un rimando diretto all’articolo 74e capoverso 1 LSIn.

 swissuniversities sottolinea che i requisiti relativi al termine di segnalazione di 24 ore rappresentano una notevole sfida per le piccole scuole universitarie, sia in termini di maturità dei processi esistenti che di personale impiegato o richiesto.

❖ Termine di 14 giorni per le segnalazioni successive

 LU suggerisce di precisare se il termine di 14 giorni indicato per il completamento della segnalazione si riferisce a giorni lavorativi o a giorni della settimana in generale.

 SwissICT suggerisce di fissare un termine inferiore a 14 giorni per le segnalazioni successive e di specificare cosa fa l’UFCS con le informazioni ricevute.

❖ Adeguamento dei termini agli standard internazionali

 economiesuisse e scienceindustries sono favorevoli all’allineamento degli obblighi di segnalazione agli standard internazionali e, di conseguenza, all’adeguamento dei termini a quelli della direttiva NIS2 dell’UE (24 ore per la pre-notifica e 72 ore per la notifica di un incidente).