Ciberattacchi, chi dovrà segnalare e chi no

Come dovrà essere attuato l'obbligo di segnalare ciberattacchi, come sarà disciplinata la ciberstrategia nazionale e quali saranno i compiti del nuovo Ufficio federale della cibersicurezza (UFSC)? Per rispondere a tutti questi interrogativi il Consiglio federale ha avviato oggi una procedura di consultazione, che si concluderà il 13 settembre, relativa all'ordinanza sulla cibersicurezza (OCS). L'ordinanza stabilisce inoltre quali autorità e imprese sono esentate dall'obbligo di segnalazione, indica una nota governativa odierna.

Il 29 settembre scorso il Parlamento ha approvato le modifiche della legge sulla sicurezza delle informazioni (LSIn) con le quali è stato introdotto un obbligo di segnalare ciberattacchi a infrastrutture critiche. La LSIn stabilisce quali autorità e organizzazioni in futuro saranno obbligate a notificare ciberincidenti. Inoltre la legge precisa che l'UFCS funge da servizio di segnalazione.

Le disposizioni relative alle eccezioni all'obbligo di segnalazione costituiscono l'elemento centrale della nuova ordinanza. Sono esentate tutte le autorità e le imprese per le quali un ciberattacco non ha ripercussioni dirette sul funzionamento dell'economia o sul benessere della popolazione. In diversi settori, quali l'approvvigionamento energetico, i trasporti e le autorità, sono stati fissati valori soglia specifici per definire tali eccezioni. Tutte le autorità o le organizzazioni che non raggiungono tali valori soglia non sono soggette all'obbligo di segnalazione. Inoltre, un'eccezione generale è applicata alle imprese che occupano meno di 50 persone e se il loro giro d'affari annuo o il loro totale di bilancio annuo non supera i 10 milioni di franchi, come pure alle autorità responsabili di meno di 1'000 abitanti.

L’OCS disciplina inoltre la gestione strategica della cibersicurezza in Svizzera e stabilisce i compiti, il mandato e la composizione del Comitato direttivo della Ciberstrategia nazionale. Specifica inoltre i compiti dell'UFCS e disciplina lo scambio di informazioni tra i gestori di infrastrutture critiche. Attuando l'obbligo di segnalare ciberattacchi, la Svizzera rafforza la propria cibersicurezza ed è più resiliente nei confronti delle ciberminacce, precisa ancora la nota.