Rapporto esplicativo

Rapporto esplicativo concernente la modifica di maggio 2027 dell’ordinanza sull’energia nucleare

1° aprile 2025, dell’obbligo di segnalare i ciberattacchi a infrastrutture critiche, l’IFSN è tenuto a notificare all’Ufficio federale della cibersicurezza (UFCS) i ciberattacchi agli impianti nucleari che soddisfano i requisiti dell’articolo 74d della legge federale del 18 dicembre 2020 sulla sicurezza delle informazioni (LSIn; RS 128). Continua tuttavia a mancare una norma esplicita che disciplini la competenza generale in materia di sicurezza informatica negli impianti nucleari.

L’articolo 5 capoverso 3 della legge federale del 21 marzo 2003 sull’energia nucleare (LENu;

RS 732.1) prevede che vengano presi provvedimenti di sicurezza esterna, in particolare per impedire che la sicurezza interna di impianti nucleari e materiali nucleari sia ridotta da effetti non autorizzati. Tra questi rientrano anche gli effetti non autorizzati su sistemi computerizzati o su sistemi informatici di un impianto nucleare, qualora possano pregiudicare la sicurezza nucleare interna. Ciò significa che la sicurezza informatica di un impianto nucleare è parte integrante della sua sicurezza esterna e, di conseguenza, anche della sua sicurezza interna ai sensi della LENu.

L’articolo 9 dell’ordinanza del 10 dicembre 2004 sull’energia nucleare (OENu; RS 732.11) viene pertanto integrato con un capoverso 1^bis, che ora menziona espressamente la sicurezza informatica negli impianti nucleari come parte della sicurezza interna ed esterna. Poiché secondo l’articolo 6 lettera a OENu l’IFSN è l’autorità di vigilanza per quanto concerne la sicurezza nucleare e la sicurezza esterna, è anche chiaramente definita la sua competenza in materia di sicurezza informatica.

Art. 9a

Per quanto riguarda le disposizioni in materia di sicurezza informatica, il team internazionale di esperti ha constatato che, nella direttiva IFSN-G22³ che si basa in particolare sui principi per la progettazione di centrali nucleari (art. 10 cpv. 2 OENu) e altri impianti nucleari (art. 12 cpv. 3 OENu), l’IFSN ha definito principi fondamentali essenziali per la sicurezza informatica negli impianti nucleari. Ha tuttavia anche riconosciuto che in Svizzera non esistono attualmente basi legali esplicite e vincolanti in questo settore.

Il nuovo articolo 9a introduce una disposizione che obbliga gli esercenti di impianti nucleari a prevedere adeguati provvedimenti di protezione contro le ciberminacce. A tal proposito, l’IFSN è incaricato di precisare i relativi requisiti in direttive. La direttiva IFSN-G22 trova così una base esplicita nell’ordinanza.

Il nuovo articolo si basa sull’articolo 5 capoversi 3 e 4 LENu, che stabilisce che vanno presi provvedimenti di sicurezza esterna per impedire che la sicurezza interna di impianti nucleari e materiali nucleari sia ridotta da effetti non autorizzati, demandando al Consiglio federale la determinazione dei provvedimenti di protezione necessari.

Art. 9b

L’AIEA rimanda nei propri documenti all’interfaccia tra la sicurezza nucleare interna e la sicurezza nucleare esterna. In tutti i documenti più recenti dell’AIEA (ad es. Safety Standards e IAEA Nuclear Security Series) è infatti contenuta una clausola generale secondo cui i provvedimenti di sicurezza interna («safety») e i provvedimenti di sicurezza esterna («security») devono essere concepiti e attuati in modo integrato, affinché i provvedimenti di sicurezza esterna non pregiudichino la sicurezza interna (cfr. International Atomic Energy Agency, Fundamental Safety Principles, No. SF‑1, Vienna 2006, paragraph 1.10).

In questo contesto il team internazionale di esperti ha constatato che la distinzione degli aspetti della sicurezza interna e della sicurezza esterna viene applicata correttamente dall’IFSN nella pratica, ma che manca un disciplinamento esplicito a livello di legge o di ordinanza. I provvedimenti di protezione sono descritti nell’articolo 5 del capitolo 2 «Principi della sicurezza nucleare» della LENu. I provvedimenti relativi alla sicurezza interna e quelli relativi alla sicurezza esterna sono descritti in capoversi separati, rispettivamente nel cpv. 1 e 2 e nel cpv. 3, ma non viene stabilito alcun collegamento tra questi