Rapporto esplicativo

nenti a livello di hardware o di software, si può impedire un ambiente tecnologico uni- forme che favorisce gli attacchi informatici. L’obiettivo è anche quello di limitare il rischio di forte dipendenza da un fabbricante e assicurare maggiore flessibilità e resilienza per quanto concerne le catene di approvvigionamento delle infrastrutture di telecomunica- zione. Ciò anche perché nel nostro Paese non vi sono grossi produttori di apparecchi. Con fabbricante si intende ogni persona fisica o giuridica che produce un impianto di telecomunicazione, o che lo fa progettare o produrre, e immette in commercio tale im- pianto con il proprio nome o il proprio marchio (cfr. in tal senso art. 2 lett. l OIT).

La maggior parte dei fornitori, soprattutto nel campo della radiocomunicazione mobile, persegue già di propria iniziativa una strategia basata su più fornitori. L’obbligo di at- tuare una tale strategia ai sensi del capoverso 2 concerne esclusivamente le compo- nenti critiche dell’infrastruttura di telecomunicazione di un fornitore, in particolare le componenti le cui interferenze o i cui guasti influiscono sulla disponibilità, l’integrità, l’autenticità o la confidenzialità delle informazioni trasmesse e quindi possono generare un’interruzione del servizio o ostacolare in maniera notevole l’esercizio di infrastrutture di telecomunicazione o mettere a repentaglio la sicurezza pubblica. In linea di principio, il Consiglio federale dovrebbe intervenire unicamente e fare uso della sua competenza per stabilire categorie, parti, quote o percentuali minime delle infrastrutture critiche in- teressate quando constata una particolare mancanza di pluralità in parti essenziali dei sistemi di telecomunicazione, ad esempio in elementi della rete centrale di telefonia mobile (core network) o di reti di accesso radio (Radio Access Network, RAN).

In ogni caso, almeno uno dei produttori scelto dal fornitore deve essere domiciliato in uno Stato la cui legislazione garantisce un livello adeguato di protezione dei dati (cfr. art. 8 e 16 LPD nonché allegato 1 dell’ordinanza del 31 agosto 2022⁶⁹ sulla prote- zione dei dati, OPDa). Si ritiene che tali produttori soddisfino i requisiti di riservatezza, integrità e disponibilità delle informazioni relative ai loro prodotti, impianti e altre appa- recchiature destinati all’infrastruttura di telecomunicazione, in conformità con gli obbli- ghi in materia di tutela della privacy previsti dallo Stato in cui hanno sede. Ciò limita notevolmente il rischio che un tale produttore ricada nel campo di applicazione dell’ar- ticolo 48c, in quanto sarebbe considerato problematico per la sicurezza del nostro Paese o si troverebbe in possesso o sotto il controllo o l’influenza di uno Stato estero che rappresenta un rischio geopolitico per il Paese. Quale produttore ai sensi della disposizione in questione è intesa la società madre o la persona fisica o giuridica che controlla, indipendentemente dai marchi utilizzati o dalle società affiliate.

Cpv. 3

Considerata l’importanza delle infrastrutture di telecomunicazione per il funzionamento del nostro Paese e le minacce informatiche a cui sono esposte, la regolamentazione in tale ambito deve essere rafforzata in base al modello della «5G-Toolbox» dell’UE⁷⁰ e della maggioranza delle legislazioni nazionali degli Stati membri dell’UE. In base all’ar- ticolo 3, l’UFCOM può obbligare i fornitori di servizi di telecomunicazione a non mettere in servizio elementi critici di infrastrutture, oppure a rimuoverli dalle loro reti laddove esistono fondati sospetti di rischio particolarmente grande per la sicurezza delle reti di telecomunicazione. Il particolare rischio per la sicurezza si riferisce alle componenti critiche o alla trasmissione integra e confidenziale delle informazioni nonché alla loro disponibilità. L’obbligo concerne soprattutto le parti essenziali delle reti di telecomuni- cazione come gli elementi della rete centrale di telefonia mobile (core network) o delle