Perseguimento penale in caso di attacchi DDos (cyber-attacchi). Come sostiene la Confederazione i cantoni a corto di know-how?

Wortlaut

Come reso noto dalla Centrale d'annuncio e di analisi per la sicurezza dell'informazione (Melani) nel suo rapporto di situazione del 28 aprile 2016, l'ultimo semestre è stato caratterizzato da alcuni cyber-attacchi spettacolari, in particolare attacchi Distributed Denial-of-Service (DDos), attacchi phishing e contro sistemi di controllo industriali.

Nel 2013 la giurisprudenza del Tribunale penale federale ha istituito una nuova competenza federale nell'ambito del phishing, la prima nel settore della cibercriminalità.

Nel primo trimestre del 2016 la Svizzera è stata vittima di ampi attacchi DDos, che hanno paralizzato molti negozi digitali e siti (SBB, Interdiscount, LeShop, Digitec, Microspot, ecc.), provocando danni per milioni di franchi e richieste di ricatto. Le società hanno sporto denuncia contro ignoti a livello cantonale, indipendentemente dal fatto che i cantoni disponessero del necessario know-how. Apparentemente non esistono procedure standard per questi casi. Purtroppo la cibercriminalità è un fenomeno internazionale e non cantonale, e le possibilità di indagine dei cantoni sono alquanto limitate. Il know-how per le indagini e le capacità variano considerevolmente da un cantone all'altro. Le esperienze e le capacità non sono riunite per far fronte alla nuova minaccia.

Il Consiglio federale è invitato a rispondere alle seguenti domande sul miglior modo di perseguire la cibercriminalità (tenendo conto del nostro sistema federalistico).

1. Il perseguimento penale di attacchi Distributed Denial-of-Service (DDos) (ed eventuali richieste di ricatto) è una questione internazionale e non nazionale o cantonale. Un centro di competenza intercantonale o l'istituzione di una nuova competenza federale nell'ambito degli attacchi DDos può migliorare il perseguimento penale?

2. In che modo la Confederazione può sostenere e garantire il coordinamento e il perseguimento penale in ogni cantone nell'ambito degli attacchi DDos e delle richieste di ricatto, anche in assenza di know-how cantonale?

3. Esame di altri temi legati alla cibercriminalità: oltre al phishing e agli attacchi DDos vi sarebbero altri temi che sarebbe opportuno trattare nei centri di competenza?

Stellungnahme des Bundesrates

1. La lotta contro la cibercriminalità compete essenzialmente alle autorità di perseguimento penale dei cantoni. L'accertamento di fatti correlati alla cibercriminalità può invece rientrare nella competenza di diverse autorità di perseguimento penale. Il Codice di diritto processuale penale (RS 312.0) prevede norme per risolvere tali conflitti (art. 22 segg.).

Per una lotta efficace contro il fenomeno globale della cibercriminalità, occorre istituire un quadro istituzionale per un coordinamento a livello nazionale e internazionale. La misura 6 della strategia nazionale per la protezione della Svizzera contro i cyberrischi (SNPC) tiene conto di tale aspetto. Tale misura mira a gestire una panoramica per quanto possibile esaustiva dei casi (casi penali) e a coordinare i casi di portata intercantonale. Il DFGP è stato incaricato di elaborare, in collaborazione con la Conferenza delle direttrici e dei direttori dei dipartimenti cantonali di giustizia e polizia, un piano per la misura 6 SNPC e di sottoporlo al Consiglio federale alla fine del 2016.

Da parte sua, la Conferenza dei comandanti delle polizie cantonali della Svizzera (CCPCS) è stata incaricata di creare un dispositivo nazionale sulla cibercriminalità e l'informatica forense. In tale ambito saranno analizzate le esigenze organizzative e infrastrutturali e le questioni relative al perseguimento a livello nazionale della cibercriminalità nel suo complesso. Si tratta altresì di accertare se tramite la creazione di centri concordatari o di un centro di competenza nazionale sarà possibile perseguire in maniera più efficiente i casi di cibercriminalità in Svizzera. Tale analisi costituirà inoltre la base su cui poggeranno le riflessioni concernenti eventuali modifiche di legge.

Inoltre, dal 2003 è a disposizione dei cantoni il Servizio nazionale di coordinazione per la lotta contro la criminalità su Internet (SCOCI), finanziato congiuntamente da Confederazione e cantoni. Lo SCOCI funge da centro di competenza per le questioni legate alla cibercriminalità nonché da punto di contatto per le autorità di perseguimento penale nazionali e internazionali ed elabora analisi concernenti i fenomeni di cibercriminalità.

Il coordinamento a livello internazionale contribuisce in maniera decisiva a una lotta efficace contro la cibercriminalità. Dal 2012 la Svizzera ha aderito alla Convenzione del 23 novembre 2001 del Consiglio d'Europa sulla cibercriminalità. Fedpol collabora inoltre strettamente con le organizzazioni internazionali di polizia quali Interpol ed Europol, di cui fa parte l'European Cybercrime Center (EC3), che svolge un ruolo importante di collegamento in tale contesto.

2. Dal 2015 Fedpol analizza, in collaborazione con le autorità di polizia cantonali incaricate delle indagini e la Centrale d'annuncio e d'analisi per la sicurezza dell'informazione (Melani), il fenomeno specifico degli attacchi DDoS e delle lettere di ricatto a essi correlati e, in tale contesto, garantisce lo scambio internazionale d'informazioni con Europol (Focal Point Cyborg) e Interpol. Nel febbraio 2016, Fedpol ha comunicato le informazioni ottenute a livello nazionale e internazionale in merito agli avvenimenti attuali e ha coordinato con i cantoni coinvolti l'attuazione di ulteriori misure. Nel marzo 2016 Fedpol ha consegnato alle autorità di perseguimento penale dei cantoni un rapporto che analizza i modus operandi e i cibercriminali. I cantoni che non dovessero disporre delle conoscenze necessarie o che dovessero riscontrare difficoltà nelle indagini possono richiedere il sostegno di Fedpol.

3. Le questioni di carattere organizzativo e infrastrutturale legate al perseguimento penale della cibercriminalità in Svizzera sono oggetto, tenendo conto delle strutture federaliste, del dispositivo nazionale sulla cibercriminalità e l'informatica forense, elaborato attualmente dalla CCPCS e da Fedpol.

Risposta del Consiglio federale.