Rapporto esplicativo

materia di sicurezza per gli impianti destinati a essere integrati nell’infrastruttura di te- lecomunicazione. Vista la delega di competenze prevista con l’articolo 48a capoverso 4 nel campo delle infrastrutture, il Consiglio federale può applicare o estendere la relativa regolamentazione dell’OIT e dell’OOIT a infrastrutture che non costituiscono impianti di telecomunicazione in senso stretto, ed esempio software, apparecchi elettrici o sistemi operativi e altri sistemi di gestione della sicurezza informatica.

Poiché l’infrastruttura di telecomunicazione di cui all’articolo 48a capoverso 4 com- prende in generale tutti i prodotti con elementi digitali ai sensi del Regolamento (UE) 2024/2847⁶⁷, consente di tenere conto del fatto che le esigenze in materia di sicurezza informatica sono ora strutturate in maniera ampiamente orizzontale e indipendente dai settori interessati. Su tale base, la Svizzera può fare riferimento alle norme tecniche del Comitato europeo di normazione e, tenuto conto dell’Accordo sul reciproco ricono- scimento (MRA) Svizzera–UE⁶⁸, il quale impedisce ostacoli al commercio fra la Sviz- zera e l’UE, armonizzare la propria normativa con il diritto europeo e i sistemi di certifi- cazione nel settore della sicurezza informatica, in particolare per le reti 5G previste dall’Agenzia dell’Unione europea per la sicurezza informatica (European Network and Information Security Agency, ENISA).

Cpv. 1

Il capoverso 1 sancisce nella legge il principio fondamentale della sicurezza attraverso la progettazione tecnica e le impostazioni predefinite (Secured by Design and by De- fault), essenziale nel campo dell’acquisizione, messa in esercizio e gestione delle in- frastrutture di telecomunicazione. Ciò significa che possono essere integrati nelle reti di telecomunicazione soltanto impianti, apparecchi, prodotti e altre componenti a livello di hardware o software concepiti, prodotti e configurati sin dall’inizio in maniera sicura. È così possibile ridurre il rischio di falle nella sicurezza senza previo intervento da parte dei fornitori e tutelare la confidenzialità, l’integrità e la disponibilità di informazioni. Il principio deriva dall’obbligo di sicurezza generale (cfr. art. 48a) e dal segreto delle te- lecomunicazioni (cfr. art. 43, art. 13 cpv. 1 Cost. e art. 321^terCP). Il capoverso 1 sanci- sce la portata del principio. Precisando che le impostazioni di sicurezza non solo de- vono essere attivate, ma anche configurate in modo predefinito, si sottolinea che tali impostazioni non solo devono limitarsi a essere attivate con le impostazioni di fabbrica, ma devono anche essere configurate correttamente nel rispetto delle migliori pratiche (best practice) in materia di sicurezza. È inoltre essenziale che tali impostazioni siano curate regolarmente e tenute aggiornate. Le misure e le tecnologie a livello di hardware e software volte a proteggere la riservatezza, l’integrità e la disponibilità delle informa- zioni di cui al capoverso 1 devono, per quanto possibile, basarsi sulle norme e sugli standard internazionali in materia.

Cpv. 2

Il capoverso 2 obbliga i fornitori di servizi di telecomunicazione ad adottare una strate- gia basata su più fornitori. Nelle loro reti devono quindi acquisire, porre in esercizio e gestire componenti di infrastrutture di telecomunicazione di diversi produttori. Ciascun fornitore deve attuare una simile strategia per la propria rete di telecomunicazione. Questa strategia rafforza la sicurezza: infatti, poiché per la fornitura di servizi di teleco- municazione viene impiegata una vasta gamma di apparecchi, prodotti e altre compo-

⁶⁷V. nota a piè di pagina n. 27.

68 RS 0.946.526.81