Nel 2019 Consiglio federale e DDPS attribuiscono massima priorità alla cibersicurezza

Testo depositato

Il Consiglio federale è incaricato di avviare immediatamente la creazione di un centro di competenza interdipartimentale per la sicurezza informatica e di insediarlo presso il Dipartimento federale della difesa, della protezione della popolazione e dello sport (DDPS). I costi saranno ripartiti tra i dipartimenti. Le organizzazioni e le persone interessate devono inoltre poter accedere rapidamente a un servizio di sostegno professionale e coordinato dallo Stato (Confederazione e Cantoni), per delimitare i danni economici o alla sfera personale.

Motivazione

La Svizzera è oggetto di diversi ciberattacchi e viene utilizzata indebitamente come base operativa per effettuare ciberattacchi mirati, in parte di livello globale, che colpiscono imprese, autorità, Stati e persone. La tipologia dei soggetti spazia da gruppi e individui spinti da motivazioni criminali ad attori statali, includendo quindi svariati autori e motivi. La gamma degli attacchi passa dall'acquisizione illegale di informazioni (spionaggio) o da semplici tentativi di truffa o di ricatto, fino alla manipolazione di persone, macchinari e processi.

Ad oggi la Svizzera non dispone di una piattaforma di gestione nazionale in grado di impiegare in maniera mirata e coordinata le diverse risorse dei singoli dipartimenti (Servizio delle attività informative, Dipartimento federale degli affari esteri, Corpo delle guardie di confine e formazioni militari speciali, ecc.) d'intesa con i gruppi di esperti cantonali e locali. In particolar modo nell'ambito di ciberattacchi complessi, il fattore "tempo" è un elemento cruciale per il contenimento dei danni. Lo Stato deve ridurre gli ostacoli federalistici e burocratici tramite misure e fondi intercantonali adeguati, ricorrendo a risorse federali.

La mancanza di adeguate misure analitiche e di difesa a livello nazionale contro attacchi importanti nel settore ciber, unitamente alla mancanza di personale specializzato in questo ambito all'interno del Servizio delle attività informative e in altre organizzazioni a livello federale influiscono sul rapporto costi-benefici di potenziali aggressori a svantaggio della Svizzera, non da ultimo anche nella sua funzione di piazza economica globale.

La Svizzera, che per i servizi d'informazione utilizza ancora metodi tradizionali, senza la capacità di raccogliere informazioni (dark net, ecc.) autonomamente e di valutare i relativi rischi per la popolazione e le imprese viene a trovarsi in un'ulteriore situazione di dipendenza internazionale con conseguenze e rischi imprevedibili.

Proposta del Consiglio federale

Il Consiglio federale propone di respingere la mozione.

Parere del Consiglio federale

Con l'adozione della mozione Eder 17.3508, il Parlamento ha incaricato il Consiglio federale di creare un Centro di competenza per la sicurezza informatica. Il 30 gennaio 2019 il Consiglio federale ha deciso di aggregare la struttura al Dipartimento federale delle finanze (DFF). Nella lotta contro i ciberrischi, il suddetto centro assumerà il coordinamento dei compiti all'interno dell'Amministrazione federale, promuoverà misure di prevenzione e fungerà da interlocutore centrale per rispondere alle esigenze del settore economico e dei Cantoni.

Il Centro di competenza verrà ampliato sulla base della Centrale d'annuncio e d'analisi per la sicurezza dell'informazione (MELANI). Quest'ultima esiste fin dal 2004 sotto forma di cooperazione tra il Servizio delle attività informative della Confederazione (SIC) presso il Dipartimento federale della difesa, della protezione della popolazione e dello sport (DDPS) e l'Organo direzione informatica della Confederazione (ODIC) presso il DFF. MELANI lavora già oggi in stretta collaborazione con i gestori delle infrastrutture critiche, li mette in guardia e li informa sulle nuove ciberminacce e fornisce loro supporto in via sussidiaria nella gestione degli incidenti. A tale proposito, esiste già da anni una piattaforma di scambio e di cooperazione alla quale partecipano i principali attori (Confederazione, Cantoni e gestori di infrastrutture critiche). In futuro, il nuovo Centro di competenza fornirà il proprio supporto anche alle PMI interessate e alla popolazione, offrendo un primo aiuto in caso di incidenti; inoltre pubblicherà segnalazioni ad hoc riguardo a minacce attuali nonché istruzioni concernenti misure preventive da adottare.

Il coordinamento e la collaborazione non sono tuttavia garantiti soltanto nel settore della sicurezza informatica:

• il settore della ciberdifesa è insediato presso il DDPS, il cui compito è quello di supportare le autorità civili nella gestione dei ciberattacchi, adottare all'occorrenza misure attive nel ciberspazio nei limiti legali e proteggere le infrastrutture e sistemi del Dipartimento contro i ciberattacchi. Il piano d'azione per la ciberdifesa, in atto dal 2017, ha come obiettivo di potenziare le capacità del DDPS nell'assumere questi compiti e di aumentare le risorse di personale;

• al fine di migliorare la collaborazione federale nel perseguimento penale della criminalità informatica è inoltre stato costituito un "cyberboard", grazie al quale le autorità di perseguimento penale dei Cantoni e della Confederazione (Ministero pubblico della Confederazione, Fedpol) coordinano le loro attività per combattere la criminalità informatica e scambiano informazioni con gli altri importanti attori federali e cantonali.

Il coordinamento di tutti i settori sarà garantito dal nuovo Comitato per la cibersicurezza istituito dal Consiglio federale, in seno al quale i capi del DFF, del DDPS e del Dipartimento federale di giustizia e polizia (DFGP) esamineranno a scadenze regolari la situazione in materia di ciberrischi.

Il Consiglio federale ritiene pertanto che le strutture predisposte e, in particolare, la creazione del centro di competenza rispondano a quanto richiesto nella mozione. Si pone quindi la base per un uso mirato delle risorse e delle capacità al fine di proteggere la Confederazione, i Cantoni e l'economia dai ciberrischi. Le nuove strutture con il centro di competenza sono il risultato di analisi approfondite e devono ora essere comprovate nella pratica. Ulteriori riorganizzazioni rischierebbero di ritardare eccessivamente lo sviluppo delle necessarie capacità operative.

Il Consiglio federale propone di respingere la mozione.