510.921 — OCDM

Ordinanza sulla ciberdifesa militare (OCDM)

del 30 gennaio 2019 (Stato 1° gennaio 2024)

Il Consiglio federale svizzero,

visto l’articolo 100 capoverso 4 della legge militare del 3 febbraio 1995 ¹ (LM),

ordina:

Art. 1 Oggetto

La presente ordinanza disciplina le misure da adottare nel quadro della ciberdifesa per l’autoprotezione e l’autodifesa dell’esercito e dell’amministrazione militare in caso di attacco alle prestazioni dell’esercito critiche per gli impieghi nel settore delle tecnologie dell’informazione e della comunicazione (prestazioni TIC dell’esercito critiche per gli impieghi). ²

Per ciberdifesa militare si intendono attività su scala globale condotte nel ciberspazio volte a proteggere e a difendere le prestazioni TIC dell’esercito critiche per gli impieghi a livello di condotta strategico-militare e operativa; la ciberdifesa militare comprende le attività seguenti:³

1. ciberdifesa: attività nel ciberspazio volta a identificare attacchi e attività di ciberesplorazione e a proteggere le proprie risorse;
2. ciberesplorazione: attività nel ciberspazio volta ad acquisire informazioni nel ciberspazio;
3. ciberattacco: attività nel ciberspazio volta a disturbare, ostacolare o rallentare, nel ciberspazio o per mezzo del ciberspazio, le risorse e le capacità dell’avversario.

Art. 2 Misure soggette ad autorizzazione e misure non soggette ad autorizzazione

Le misure che, nel quadro di un’attività nel ciberspazio, richiedono l’infiltrazione in reti e sistemi informatici estranei, sono soggette ad autorizzazione.

Le misure che, nel quadro di un’attività nel ciberspazio, non richiedono l’infiltrazione in reti e sistemi informatici estranei, non sono soggette ad autorizzazione.

Art. 3 Domande per misure soggette ad autorizzazione

Le domande per misure soggette ad autorizzazione sono motivate per scritto e contengono le indicazioni seguenti:

1. scopo dell’attività nel ciberspazio;
2. periodo nel quale è prevista l’esecuzione dell’attività nel ciberspazio;
3. reti e sistemi informatici interessati;
4. numero di infiltrazioni nelle reti e nei sistemi informatici interessati;
5. prova della legalità, in particolare della proporzionalità, e valutazione dei rischi dell’attività nel ciberspazio.

Art. 4⁴ Competenze del Comando Ciber

Il Comando Ciber (Cdo Ci) è competente per la ciberdifesa militare.

Il Cdo Ci ha i compiti seguenti:

1. esegue mandati concernenti attività nel ciberspazio;
2. adotta misure preventive volte all’autoprotezione delle prestazioni TIC dell’esercito critiche per gli impieghi;
3. verifica in via preliminare la fondamentale legalità e la fattibilità di nuove attività nel ciberspazio;
4. interrompe l’accesso a prestazioni TIC dell’esercito critiche per gli impieghi;
5. si assicura in maniera autonoma di disporre delle informazioni tecniche necessarie all’assunzione dei compiti;
6. valuta reti e sistemi informatici messi in sicurezza che sono stati utilizzati o sfruttati abusivamente per un attacco;
7. in coordinamento con le autorità della Confederazione responsabili, cura contatti diretti con servizi tecnici specializzati in Svizzera e all’estero;
8. appoggia l’impiego e l’istruzione nel settore della ciberdifesa militare;
9. documenta le misure soggette ad autorizzazione nel quadro di un’attività nel ciberspazio.

Adempie i propri compiti con risorse proprie, con risorse a esso subordinate e con risorse a esso attribuite.

Le misure soggette ad autorizzazione nel quadro di un’attività nel ciberspazio sono eseguite esclusivamente dal Servizio delle attività ciber ed elettromagnetiche.

Art. 5 Competenzedel capo dell’esercito

Il capo dell’esercito assegna i mandati concernenti attività nel ciberspazio.

In via preliminare, il capo dell’esercito sottopone per verifica al capo del Dipartimento federale della difesa, della protezione della popolazione e dello sport (DDPS) le domande per misure soggette ad autorizzazione.

Nel caso di un servizio attivo ai sensi dell’articolo 76 capoverso 1 LM, il capo dell’esercito o il comandante in capo dell’esercito può autorizzare misure soggette ad autorizzazione. Può delegare tale competenza.

Art. 6 Competenzedel capo del DDPS

Il capo del DDPS decide in merito alle domande del capo dell’esercito.

Art. 7 Competenzedel Consiglio federale

Il Consiglio federale autorizza le misure soggette ad autorizzazione.

Art. 8 Vigilanza

La Segreteria generale del DDPS assume la vigilanza interna al dipartimento concernente la ciberdifesa militare, ne riferisce periodicamente al Consiglio federale e ne informa gli organi di alta vigilanza parlamentare.

La vigilanza interna all’esercito concernente la ciberdifesa militare è subordinata al capo dell’esercito ed è disciplinata da quest’ultimo.

Art. 9⁵ Ricerca

D’intesa con le unità amministrative del DDPS responsabili, il Cdo Ci può concludere accordi di collaborazione con istituti di ricerca e università.

Art. 10 Esecuzione

Il capo del DDPS esegue la presente ordinanza ed emana istruzioni sull’impiego e sull’istruzione. Può delegare l’esecuzione al capo dell’esercito.

Art. 11 Entrata in vigore

La presente ordinanza entra in vigore il 1° marzo 2019.