Il Parlamento ha deciso di introdurre un obbligo di notifica per i ciberattacchi a infrastrutture critiche. L’attuazione dell’obbligo di notifica sarà definita nell’ordinanza sulla cibersicurezza (OCS). Entrerà in vigore nella prima metà del 2025.
L’obbligo di notifica è sancito nella LSIn
La richiesta di verificare le possibilità di introdurre un obbligo di notifica era già stata formulata nel quadro della «Strategia nazionale per la protezione della Svizzera contro i ciber-rischi (SNPC) per gli anni 2018‒2022». Nel 2021 il Consiglio federale ha deciso di creare le basi legali per l’introduzione di un obbligo di notifica procedendo a una modifica della legge sulla sicurezza delle informazioni (LSIn).
La modifica della LSIn è stata posta in consultazione il 12 gennaio 2022. Durante la procedura di consultazione il progetto è stato accolto in linea di principio favorevolmente dagli ambienti economici, dagli istituti di ricerca e dai Cantoni.
Il messaggio concernente la modifica della legge sulla sicurezza delle informazioni (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche) è stato approvato dal Consiglio federale il 2 dicembre 2022.
Il Parlamento ha approvato la modifica della LSIn il 29 settembre 2023.
Attuazione disciplinata nell'ordinanza sulla cybersicurezza
Le modalità di attuazione del futuro obbligo di notifica e le relative eccezioni per determinati organi sono state definite dal Consiglio federale nell’ordinanza sulla cibersicurezza (OCS). L’atto normativo stabilisce quali autorità e organizzazioni sono esentate dall’obbligo di notifica, quali ciberattacchi vanno obbligatoriamente notificati, i contenuti delle segnalazioni, le procedure da seguire per ottemperare all’obbligo di notifica nonché i termini vincolanti e le modalità di conclusione della procedura di segnalazione.
La procedura di consultazione per l’OCS è stata avviata dal Consiglio federale il 22 maggio 2024. La consultazione a durata fino al 13 settembre 2024.
Prossimi passi:
L'ordinanza sulla cibersicurezza sarà presentata al Consiglio federale nel primo trimestre del 2025. L'obbligo di notifica gli ciberattacchi alle infrastrutture critiche dovrebbe essere introdotto nella prima metà del 2025.
Ulteriori informazioni
Ultima modifica 31.12.2024
