Wortlaut

La Svizzera è un Paese particolarmente ben connesso e si situa nella parte alta della classifica internazionale ed europea. Le tecnologie dell'informazione offrono grandi opportunità, ma nel contempo anche sfide. Non possiamo ignorare né i cyberrischi né la cybercriminalità, il cyberspionaggio o il cyberterrorismo. L'insieme degli attori pubblici e privati è interessato (Stato, infrastrutture critiche, imprese, cittadini).

L'esercito non può accontentarsi di essere un osservatore passivo. Secondo il Consiglio federale, lo Stato Maggiore di condotta dell'esercito possiede i mezzi per fare il punto della situazione e trasmettere l'informazione così come per analizzare le cyberminacce rivolte contro i sistemi militari e farvi fronte.

Invito il Consiglio federale a rispondere alle domande seguenti:

1. Il Consiglio federale condivide il parere secondo cui la protezione del cyberspazio rappresenta una priorità e deve essere trattata con la medesima sollecitudine con cui è trattata, ad esempio, la protezione dello spazio aereo?

2. I media hanno evidenziato come gli alberghi che hanno ospitato in Svizzera i negoziati sul nucleare iraniano sono stati bersaglio di cyberattacchi (hacking delle telecamere di sicurezza e dei microfoni).

a. Qual è stato l'impegno dell'esercito sul piano cibernetico per proteggere questo evento?

b. Alla luce di queste rivelazioni, quali sono le misure previste per proteggere realmente i prossimi incontri internazionali?

3. Come spesso accade, questo attacco è stato rivelato da un'impresa privata di cybersicurezza.

a. Il Consiglio federale non condivide il parere secondo cui l'esercito dovrebbe rafforzare la cooperazione con l'economia privata e gli istituti di ricerca per disporre di reali capacità di prevenzione e reazione?

b. Il Consiglio federale non è del parere che la Svizzera dovrebbe ispirarsi ai modelli sviluppati negli Stati Uniti (DARPA) o in Israele (Unit 8200), che sono riconosciuti internazionalmente nell'ambito della prevenzione, dell'azione e dell'innovazione?

4. Nella sua strategia nazionale per la protezione delle infrastrutture critiche il Consiglio federale raccomanda di "creare mezzi ufficiali sufficienti per il sostegno sussidiario dei gestori delle infrastrutture critiche nella lotta contro le minacce cibernetiche di grande entità".

a. Quali sono le misure adottate dalla pubblicazione di questa strategia?

b. Quali sono le altre misure in fase di realizzazione?

Stellungnahme des Bundesrates

1. Il Consiglio federale è consapevole delle sfide concernenti il cyberspazio. Nel 2012 ha pertanto adottato la strategia nazionale per la protezione della Svizzera contro i cyberrischi (SNPC) e nel 2013 il piano di attuazione con le relative risorse. Il tema sarà trattato in maniera approfondita anche nel nuovo rapporto sulla politica di sicurezza. Del resto, un paragone con la protezione dello spazio aereo non è molto sensato, poiché l'ambito cyber è un tema completamente diverso ed implica problemi e sfide di tutt'altro genere. La SNPC non assegna all'esercito alcuna responsabilità generale di protezione in ambito cyber in tempo di pace. In primo luogo deve proteggere le proprie infrastrutture e i propri sistemi TIC. In via sussidiaria può essere impiegato per fornire appoggio a organi civili. La SNPC persegue un approccio decentralizzato e assegna la responsabilità principale ai singoli utenti. La SNPC esclude però esplicitamente il caso di guerra e di conflitto e affida all'esercito il compito di prepararsi in vista di questi casi speciali.

2. Nel caso menzionato l'esercito non era coinvolto nelle misure di sicurezza in ambito cyber. In linea di principio non rientra tra i suoi compiti garantire la sicurezza pubblica, di cui fa parte anche la cybersicurezza. Questo compito spetta in primo luogo alle sedi delle manifestazioni, che possono ottenere l'appoggio delle autorità di sicurezza competenti (polizia, servizio informazioni). Nel quadro dell'attuazione della SNPC sono state stanziate, tra l'altro anche a favore del Servizio delle attività informative della Confederazione (SIC), risorse supplementari in ambito cyber. Esse serviranno a sviluppare nel SIC capacità per la gestione e l'ulteriore elaborazione di eventi di carattere cibernetico rilevanti per la protezione dello Stato. Queste capacità possono essere impiegate anche per appoggiare le misure di sicurezza in vista di simili manifestazioni.

3. Nel quadro dello sviluppo delle proprie capacità nell'ambito della cyberdifesa l'esercito collabora già con diversi organi di ricerca, in particolare tramite Armasuisse. Dal 2004 esiste una cooperazione dei gestori civili di infrastrutture critiche e di esperti di sicurezza con la Centrale d'annuncio e d'analisi per la sicurezza dell'informazione (Melani). In questa rete vengono reciprocamente scambiate informazioni relative a minacce, incidenti ed eventi tecnici. Per iniziativa dell'Organo direzione informatica della Confederazione (ODIC) anche l'industria partecipa, con l'associazione "Swiss Cyber Experts", alla protezione della Svizzera dagli incidenti cibernetici. Gli sviluppi e i mezzi negli Stati Uniti e in Israele sono seguiti con interesse, tuttavia un'attuazione paragonabile non viene presa in considerazione in Svizzera.

4. L'attuazione della strategia nazionale per la protezione delle infrastrutture critiche (PIC) sta procedendo come previsto. La tematica cibernetica è già stata individuata come parte integrante di questa strategia. Secondo la strategia PIC un resoconto circostanziato sarà presentato entro la fine del 2016. Le misure volte a minimizzare i cyberrischi si trovano nella SNPC, adottata contemporaneamente, la cui attuazione si concluderà entro la fine del 2017. Una verifica dell'efficacia sarà presentata al Consiglio federale nella primavera del 2017 e la necessità di ulteriori interventi sarà oggetto di una nuova valutazione.

L'esercito effettua importanti investimenti per l'acquisto di infrastrutture resistenti ai guasti (in particolare centri di calcolo, rete di condotta Svizzera). La nuova legge sulle attività informative consentirà inoltre al SIC di adottare contromisure per respingere attacchi informatici contro infrastrutture critiche.

Risposta del Consiglio federale.