Wortlaut

Le nuove tecnologie sono entrate a far parte della nostra vita quotidiana ormai da molto tempo. Con la crescente interconnessione aumenta anche il rischio di cyberattacchi. Oggi il pericolo maggiore è rappresentato da attori che dispongono di un know-how di livello professionale, quali la criminalità organizzata, i gruppi terroristici e gli Stati. Bersaglio degli attacchi sono ad esempio le autorità, gli organi statali e le infrastrutture critiche, le persone e le aziende esposte (spionaggio economico). In quanto Paese che ospita conferenze internazionali la Svizzera, e in particolar modo Ginevra, è nel mirino del cyberspionaggio. Non meno preoccupanti sono i tentativi di determinati Stati di minare, attraverso la disinformazione, la propaganda e la manipolazione mirate, l'ordinamento liberale dei Paesi occidentali e di influenzare le elezioni (ad es. attraverso la pubblicazione mirata di informazioni hackerate). Anche l'esercito deve affrontare le sfide e i cambiamenti.

Data la situazione, ci si domanda se la Svizzera sia ben preparata in questo ambito. Come illustrato nel Rapporto sulla politica di sicurezza 2016, la gestione dei cyberrischi è un tema trasversale che tocca praticamente tutti gli ambiti dell'amministrazione, dell'economia e della popolazione. All'esercito spetta un ruolo specifico nella protezione dei propri sistemi e per suoi i compiti nell'ambito della difesa nazionale. Tutti i dipartimenti e la Cancelleria federale partecipano all'attuazione della Strategia nazionale per la protezione della Svizzera contro i cyberrischi (SNPC). Nel 2016 questa è stata sottoposta a una verifica dell'efficacia. I risultati dovrebbero essere presentati al Consiglio federale ad aprile 2017 e in seguito pubblicati, per informare anche il mondo economico e la popolazione sui progressi della SNPC. Sulla base di questa analisi il Consiglio federale può decidere come procedere con la SNPC al fine di eliminare i punti deboli rilevati e di rafforzare la collaborazione e il coordinamento tra i servizi e gli uffici interessati. Nel settore della difesa nazionale l'esercito deve adottare alcune misure supplementari.

Il Consiglio federale è invitato a rispondere alle seguenti domande:

1. Qual è l'entità delle risorse della Confederazione nel settore cyber nei vari dipartimenti? Il Consiglio federale ritiene che tali risorse siano sufficienti per il futuro?

2. La ripartizione dei compiti tra DFAE e DDPS è regolata in modo chiaro: le competenze per i sette settori di intervento e le 16 misure della SNPC sono esplicitamente definite nel piano di attuazione (cfr. risposta del Consiglio federale del 15 febbraio 2017 al postulato 16.4073). Questa ripartizione dei compiti ha dato buoni risultati? Per il Consiglio federale sarebbe ipotizzabile un trasferimento presso il DDPS della direzione in ambito cyber? O sarebbe più ragionevole il suo collocamento presso la Cancelleria federale?

3. La Cyber Defence è un'unità organizzativa dalla Base d'aiuto alla condotta (BAC). Nel settore Difesa è responsabile della pianificazione operativa, del monitoraggio della situazione, della gestione degli eventi e della formazione dei collaboratori e dei militari nel cyberspazio. In tempi di guerra ibrida e di cambiamenti/potenziamento presso altri eserciti, in quale misura il Consiglio federale ritiene adeguato un cambiamento di strategia nella protezione nazionale verso un potenziamento della difesa digitale?

4. Qual è la situazione in merito alla creazione di capacità in ambito cyber presso le forze armate? Siamo in grado di stare al passo con le attività di altri Stati moderni?

5. La SNPC non tratta il caso di conflitto (cfr. anche risposta all'interpellanza 15.4073). In ambito cyber, cosa è da intendersi come caso di conflitto secondo il Consiglio federale?

6. Cosa fa la Svizzera per proteggere le conferenze internazionali, ad esempio a Ginevra, dal cyberspionaggio e per garantire l'integrità delle trattative?

7. In quale misura gli organi importanti in ambito cyber collaborano oggi con la ricerca e il mondo economico? Il Consiglio federale ritiene ragionevole un rafforzamento della collaborazione in questo senso?

8. Il DDPS sta mettendo a punto e attuando un piano d'azione per far fronte alle cyberminacce che consiste nel gestire in modo mirato e nell'armonizzare lo sviluppo di ulteriori e nuove competenze - anche offensive - nel settore cyber presso il Servizio delle attività informative e l'esercito. Detto sviluppo va armonizzato anche rispetto alla Strategia nazionale generale per la protezione della Svizzera contro i cyberrischi, che è in fase di rielaborazione. Qual è l'obiettivo concreto di questo piano d'azione, come si concilia con la Strategia nazionale per la protezione della Svizzera contro i cyberrischi e in concreto quali sono le tempistiche?

9. La Svizzera non dovrebbe creare un proprio centro per le cybercompetenze, un laboratorio digitale, analogamente al Laboratorio Spiez per la protezione NBC?

Stellungnahme des Bundesrates

1. Durante l'elaborazione del progetto della legge sulla sicurezza della informazioni sono state censite le risorse dell'amministrazione federale e dell'esercito: alla fine del 2014 risultavano circa 145 posti per la sicurezza informatica. Le necessità supplementari menzionate nel progetto sopracitato dovrebbero essere soddisfatte principalmente attraverso ridistribuzioni interne. La Confederazione investe però risorse anche nel quadro della Strategia nazionale per la protezione della Svizzera contro i cyberrischi (SNPC), per la quale dispone di circa 86 posti (50 al DDPS, 20 al DFGP, 10 al DFF, 2 al DFAE, 2 al DEFR e 2 al DATEC), di cui 30 erano a tempo determinato prima di essere confermati dal Consiglio federale il 26 aprile 2017. Questi posti permettono di far fronte agli incidenti quotidiani. L'aumento in termini di intensità e conseguenze delle cyberminacce descritto nel Rapporto sulla politica di sicurezza 2016 impone tuttavia una rivalutazione, che è prevista nell'ambito della revisione della SNPC. Nel quadro del suo piano d'azione cyber defence il DDPS ha già annunciato di voler aumentare in modo significativo gli effettivi entro il 2020. Gli effettivi delle autorità del settore responsabili della regolamentazione e della sorveglianza (es. l'UFCOM) non sono inclusi in queste cifre.

2. L'analisi dell'efficacia della SNPC giunge alla conclusione che la ripartizione dei compiti è corretta e che in generale gli obiettivi fissati sono stati raggiunti. È tuttavia necessario rivalutare il dispositivo a causa dell'evolversi della situazione citata in precedenza. Dal momento che l'aspetto cyber coinvolge tutti i dipartimenti e che i ruoli sono molti diversi, il Consiglio federale considera inopportuna una centralizzazione integrale delle capacità cyber e ritiene che si debba procedere a un'analisi delle responsabilità che tenga conto delle differenze.

3. Nel quadro dell'ulteriore sviluppo dell'esercito la dottrina è stata adeguata alle nuove minacce e il cyberspazio è diventato un settore operativo a pieno titolo. Non è tuttavia necessario cambiare la strategia dell'esercito solo per l'importanza acquisita dal cyberspazio.

4. Il DDPS segue gli sviluppi attuati da altri Stati. Valutare le loro soluzioni tenendo conto soltanto dell'effettivo previsto non è ragionevole; occorre optare per un approccio qualitativo. Molti indicatori mostrano infatti che dal punto di vista qualitativo il nostro esercito è sulla buona strada, ma il ritardo a livello quantitativo richiede investimenti supplementari adeguati.

5. Nel suo rapporto sulla politica di sicurezza 2016 il Consiglio federale ha definito il termine "difesa", che si applica anche al cyberspazio. Una situazione di conflitto che richieda un impiego di difesa è determinata da una minaccia di intensità ed estensione tali da minacciare l'integrità territoriale, l'intera popolazione o l'esercizio del potere statale e da poter essere combattuta soltanto con mezzi militari. Un cyberattacco può dunque essere considerato un'aggressione armata solo se è "della massima entità".

6. In quanto Paese che ospita manifestazioni internazionali la Svizzera deve garantirne il buon svolgimento e la sicurezza, anche in materia di informazione. Grazie alle risorse supplementari assegnate alle unità amministrative, la SNCP ha permesso al SIC di sviluppare la sua capacità di lottare in particolare contro il fenomeno dello spionaggio ad opera di alcuni Stati. Questo ha consentito ad esempio al SIC di attirare l'attenzione su tentativi di intrusione che avevano come obiettivo i colloqui tra P5+1 e Iran in merito al programma nucleare iraniano e di adottare provvedimenti volti a identificare gli autori.

7. Tra tutti gli operatori della cybersicurezza vi è un continuo scambio di informazioni, in particolare tra Melani e l'Approvvigionamento economico del Paese. Diverse iniziative coinvolgono soprattutto la ricerca e le scuole universitarie ed è stato creato un comitato direttivo nel quadro della SNPC. Armasuisse mantiene una rete di contatti con le scuole universitarie e gli istituti di ricerca dell'industria e sviluppa il progetto "Base tecnologica e industriale rilevante in materia di sicurezza" (STIB). Anche il piano del DDPS (v. domanda 8) prevede un rafforzamento di questi rapporti. Si intrattengono inoltre collaborazioni in ambito tecnico e accademico con istituzioni internazionali quali il Centro di competenza per la cyberdifesa di Tallin (Estonia), in questo caso attraverso una stretta collaborazione tra DFAE e DDPS.

8. Il piano d'azione cyber defence del DDPS è un piano interno al dipartimento che persegue i seguenti obiettivi: consentire al DDPS di affrontare meglio il continuo aumento delle cyberminacce, attuare gli aspetti cyber della legge militare e della legge sulle attività informative nonché dotare l'esercito dei mezzi necessari per fornire le prestazioni sussidiarie richieste dalla SNPC. Il piano viene attuato nel quadro dei mezzi e delle competenze proprie del DDPS. È stato concepito secondo i principi della SNPC e contribuisce a rafforzarla.

9. Nel quadro della revisione della SNPC verranno valutate tutte le opzioni, tra cui anche la creazione di un centro di competenza. In ogni caso tutti gli sviluppi possibili (ad es. la creazione di un pool di esperti) dovranno essere valutati tenendo conto del contesto generale e nell'ottica di non creare doppioni.

Risposta del Consiglio federale.