Wortlaut

Le minacce nell'ambito dei cyber-rischi sono molto elevate e in continuo aumento, come confermano gli incidenti quotidiani, a volte anche gravi. Per questo motivo, la decisione del Consiglio federale di elaborare una nuova strategia nazionale contro i cyber-rischi viene accolta molto favorevolmente. Tuttavia, una strategia può prevedere solo obiettivi e modalità di intervento, ma non può stabilire prescrizioni vincolanti come l'obbligo di notifica di incidenti o il rispetto di prescrizioni minime. La Germania, ad esempio, applica una legge che disciplina tali prescrizioni (legge sulla sicurezza informatica).

Il Consiglio federale è invitato a rispondere alle seguenti domande:

1. L'Esecutivo condivide l'idea che la nuova Strategia nazionale 2.0 contro i cyber-rischi, in fase di pianificazione, dovrebbe essere emanata sulla base di una legge nazionale sulla sicurezza informatica o di una legge nazionale sui cyber-rischi che preveda delle norme comportamentali obbligatorie / vincolanti?

2. Il Consiglio federale ha già intenzione di elaborare e presentare al Parlamento una legge nazionale sulla sicurezza informatica o una legge nazionale contro i cyber-rischi?

3. In caso affermativo, quali sono gli eventuali tempi programmati?

4. Come si terrebbe conto della tutela dei cittadini e degli imprenditori?

Stellungnahme des Bundesrates

Le esperienze acquisite nel corso dell'attuazione della prima Strategia nazionale per la protezione della Svizzera contro i cyber-rischi (SNPC) hanno mostrato che le attuali basi legali permettono di ottenere risultati importanti. Grazie alla Centrale d'annuncio e d'analisi per la sicurezza dell'informazione (Melani) esiste già oggi un'ottima collaborazione con l'economia privata e le scuole universitarie, soprattutto nel settore delle infrastrutture critiche. Tale collaborazione costituirà anche la base per la seconda SNPC per il periodo 2018-2022. Nel quadro dell'elaborazione della nuova strategia e dello scambio con specialisti dell'economia privata e delle scuole universitarie è però emerso che in determinati ambiti sarà necessario rafforzare o completare le misure vigenti con l'emanazione di disposizioni vincolanti. Si tratta ad esempio degli standard minimi o dell'obbligo di notifica degli incidenti informatici citati dall'autrice dell'interpellanza.

Tuttavia, solo l'attuazione delle misure previste nella nuova strategia permetterà di determinare cosa modificare o completare e in quali leggi. Occorrerà ad esempio prima esaminare con attenzione se, per chi e in quali casi introdurre gli obblighi di notifica. Prima dell'approvazione della nuova strategia e della definizione del relativo piano di azione è ancora prematuro fornire informazioni su quando e in che forma il Consiglio federale sottoporrà al Parlamento i corrispondenti progetti di legge.

La legge sulla sicurezza delle informazioni (LSIn), già sottoposta al Parlamento, mostra però che il Consiglio federale è intenzionato a elaborare e a presentare al Legislativo i progetti di legge necessari per affrontare i cyber-rischi. La LSIn crea disposizioni vincolanti per le autorità federali ai fini della sicurezza delle informazioni e contribuisce in tal modo all'attuazione della SNPC, come richiesto dall'autrice dell'interpellanza.

Risposta del Consiglio federale.