Miglioramento della sicurezza della rete e protezione dalle minacce informatiche (revisione parziale delle ordinanze nel settore delle telecomunicazioni)

Dipartimento federale dell’ambiente, dei trasporti, dell’energia e delle comunicazioni DATEC

Berna, 27 maggio 2026

Aumento della sicurezza delle reti e protezione dalle minacce informatiche (revisione parziale delle ordinanze nel settore delle telecomunicazioni)

Rapporto esplicativo per l’avvio della procedura di consultazione

BK-D-BB8A3401/1090

Compendio Situazione iniziale

Oggi l’infrastruttura di telecomunicazione della Svizzera è un fondamento indispensabile e importante in materia di politica di sicurezza per la società e l’economia. Ciò vale soprattutto per la rete di radiocomunicazione mobile. Mentre in passato l’attenzione si concentrava sulle prestazioni tecniche, come la larghezza di banda e la qualità, ora a causa della crescente digitalizzazione e dell’interconnessione globale, sono in primo piano i rischi per la sicurezza.

Le minacce informatiche, così come altri reati commessi attraverso le infrastrutture di telecomunicazione, le violazioni della protezione dei dati e le dipendenze geopolitiche sono rischi sempre più gravi. Le reti di vecchia generazione che a livello funzionale non sono state progettate per prevenire gli attacchi informatici sono particolarmente problematiche. È quindi necessario intervenire per evitare tempestivamente lacune di sicurezza nelle attuali reti mobili moderne e rafforzare l’esercizio indipendente e la stabilità dell’infrastruttura di comunicazione svizzera.

Tuttavia, non è solo l’infrastruttura a dover essere protetta. A causa della crescente digitalizzazione e dello sviluppo tecnologico, i consumatori sono inoltre sempre più esposti a pericoli che devono essere prevenuti.

Contenuto del progetto

Il contenuto del progetto risulta principalmente dall’adempimento del postulato Pult (20.3984), adottato dal Consiglio federale, «Infrastruttura digitale. Minimizzare i rischi geopolitici». Conformemente al mandato conferito al DATEC dal Consiglio federale in questo contesto, alcune delle misure di sicurezza richieste possono essere attuate a livello di ordinanza sulla base dell’articolo 48a capoverso 2 della legge del 30 aprile

1997 sulle telecomunicazioni (LTC; RS 784.10). Il progetto mira ad aumentare la

sicurezza dell’infrastruttura di telecomunicazione per migliorare la protezione contro le minacce informatiche e altre minacce alla sicurezza. Per raggiungere questo obiettivo, soprattutto l’infrastruttura di telecomunicazione deve essere gestita in modo più resiliente, sicuro e diversificato. A tale scopo, vengono create le disposizioni necessarie a livello di ordinanza. Inoltre, in base all’articolo 28 capoverso 6 lettera a e d LTC, sono previsti adeguamenti specifici nel settore degli elementi d’indirizzo, come una migliore protezione contro lo spoofing e la limitazione delle attribuzioni subordinate dei numeri. Anche queste misure dovrebbero portare, in ultima analisi, a una maggiore sicurezza per la popolazione.

1.3 Rapporto con il programma di legislatura e il piano finanziario, nonché con le 4.3 Ordinanza del 6 ottobre 1997 concernente gli elementi d’indirizzo nel settore 5.2 Ripercussioni per i Cantoni e i Comuni, per le città, gli agglomerati e le regioni

Rapporto esplicativo

1 Situazione iniziale

1.1 Necessità d’intervento e obiettivi

Necessità d’intervento

L’attuale situazione geopolitica è caratterizzata da crescenti tensioni e incertezze e aumenta notevolmente il bisogno di sicurezza in numerose aree politiche ed economiche, soprattutto nel settore della comunicazione. Infrastrutture di telecomunicazione sicure e affidabili, disponibili in qualsiasi momento sono un prerequisito fondamentale per il funzionamento dello Stato, dell’economia e della società. Le dipendenze tecnologiche possono essere strumentalizzate da attori esteri, statali o parastatali per esercitare pressioni politiche o economiche, sabotare infrastrutture critiche o sottrarre informazioni strategiche.

L’infrastruttura di telecomunicazione in Svizzera, in particolare la rete di telecomunicazione mobile, è diventata una componente onnipresente e critica della vita sociale ed economica. Per questo motivo, è necessario ridurre al minimo i rischi che potrebbero mettere a repentaglio la sicurezza della Svizzera. È inoltre nell’interesse della Confederazione evitare il più possibile le interruzioni della rete.

Alla luce di quanto esposto, negli ultimi anni il Parlamento ha trasmesso diversi interventi che presuppongono una chiara necessità d’intervento. Questi mirano ad aumentare la sicurezza delle infrastrutture e dei servizi di telecomunicazione e ad accrescere a lungo termine la loro resilienza a nuove forme di minaccia. L’avanzamento della digitalizzazione e la crescente interconnessione dei sistemi aumentano anche i punti di attacco e quindi la vulnerabilità alle minacce ibride che utilizzano mezzi tecnologici per destabilizzare, ricattare o esercitare un’influenza mirata. In questo contesto, un’infrastruttura di telecomunicazione resiliente, sicura e diversificata è d’importanza fondamentale. È un prerequisito essenziale per la capacità di agire della Svizzera, la stabilità economica e la fiducia della popolazione nel funzionamento delle infrastrutture di base.

Gli sviluppi tecnologici hanno creato nuove opportunità non solo per i professionisti ben intenzionati ma anche per i criminali informatici. Inoltre, a seconda della situazione geopolitica, in particolare Stati, attori statali nell’ambito digitale e servizi d’informazione esteri potrebbero utilizzare il ciberspazio per scopi di potere (sabotaggio). Il settore delle telecomunicazioni è nel mirino di attori informatici statali. Internet, i social network e l’intelligenza artificiale, interconnessi tra loro a livello globale, apportano molti benefici ma celano anche un enorme potenziale di danno. Di conseguenza, l'utilizzo delle tecnologie è ora associato a notevoli rischi della sicurezza derivanti da minacce informatiche. Si tratta, in particolare, di violazioni della protezione e della sicurezza dei dati, nonché di una riduzione della capacità di controllo e di azione su queste infrastrutture critiche. Inoltre, negli ultimi anni le minacce informatiche e le truffe telefoniche sono aumentate e rimangono a un livello costantemente elevato, motivo per cui si verificano sempre più casi con ingenti perdite finanziarie sia per le persone fisiche che per quelle giuridiche.

Le reti informatiche e di telecomunicazione di vecchia generazione sono difficili da adattare a posteriori per contrastare gli attacchi informatici o lo spionaggio informatico. Spesso vengono protette con soluzioni provvisorie poiché una sostituzione completa a livello mondiale richiederebbe molto tempo e fatica. È quindi 4/32

indispensabile che le moderne reti di radiocomunicazione mobile non ripresentino gli stessi problemi dovuti all’assenza di funzioni di sicurezza delle reti di vecchia generazione.

Il presente progetto da porre in consultazione contribuisce all’attuazione della Strategia in materia di politica di sicurezza e della Strategia nazionale per la protezione delle infrastrutture critiche1 (Strategia PIC) nonché della Ciberstrategia nazionale2 contro le minacce informatiche. Inoltre, in base all’articolo 28 capoverso 6 lettere a e d LTC, vengono introdotte misure per proteggere gli elementi d’indirizzo svizzeri.

Obiettivi

Sulla base del postulato Pult (20.3984) «Infrastruttura digitale. Minimizzare i rischi geopolitici», il Consiglio federale propone di introdurre a livello di ordinanza, conformemente all'articolo 48a capoverso 2 LTC, una parte delle misure di sicurezza richieste per l’infrastruttura di telecomunicazione, in particolare per le reti mobili. Le misure previste devono entrare in vigore prima della prossima procedura di aggiudicazione per l’utilizzo delle frequenze di radiocomunicazione mobile. Si rende pertanto necessaria sin d’ora una revisione, affinché le nuove condizioni quadro siano note agli offerenti nell’asta per l’utilizzo delle frequenze. Una revisione successiva, a seguito di quella attualmente in corso della LTC, risulterebbe quindi troppo tardiva rispetto a tale esigenza.

La sicurezza delle reti in Svizzera è fortemente legata alla rete globale delle infrastrutture di telecomunicazione. Una stretta collaborazione tra gli attori del settore delle telecomunicazioni è essenziale per contrastare efficacemente le minacce informatiche. Il raggruppamento di forze e sinergie consente un’attuazione coerente e rapida delle misure di sicurezza. Lo sviluppo di «buone prassi» e «linee guida» e la creazione di una banca dati comune sulle vulnerabilità, gli attacchi e le relative misure correttive sono passi decisivi per garantire un approccio organizzato.

L’adozione e l’attuazione di regole e norme internazionali è inoltre importante per migliorare la robustezza delle reti esercitate. L’applicazione continua di queste misure deve essere garantita per tutta la durata di vita dei sistemi e in caso di cambiamenti tecnologici. Prima di mettere in funzione le loro infrastrutture, i concessionari di radiocomunicazione mobile e i operatore virtuale di rete mobile completi (full MVNO, – fornitori di servizi di telecomunicazione che offrono, a titolo indipendente, servizi di radiocomunicazione mobile ricorrendo alla rete di accesso radio, Radio Access Network [RAN] di un concessionario di radiocomunicazione mobile) devono garantire che siano fabbricate secondo il principio «secure by design» e configurate secondo il principio «secure by default», ossia che i sistemi siano già costruiti in modo sicuro e funzionino fin dall’inizio con impostazioni predefinite sicure. Ciò include anche l’utilizzo di strumenti per rilevare intrusioni e compromissioni delle reti.

A medio termine, il progetto intende rafforzare la protezione dei dati, la sicurezza dei dati nonché le capacità di controllo e di azione in relazione alle infrastrutture critiche in Svizzera. Tale scopo è raggiunto gestendo centri operativi di rete (network operations centre [NOC]) e di sicurezza (security operation centre [SOC]) nonché funzioni centrali (core network) delle moderne reti mobili in Svizzera.

Consiglio federale (2023b). Consiglio federale (2023a).

L’obiettivo è creare la possibilità di controllare meglio l’utilizzo di impianti di rete classificati come critici nelle reti di telecomunicazione e di introdurre requisiti di sicurezza più severi per l’acquisto di componenti della rete centrale. Questi obiettivi devono essere raggiunti in particolare attraverso definizioni di termini nuovi o adattati, la determinazione di condizioni quadro e l’attuazione di procedure di controllo, di valutazione del rischio e della conformità relative alle impianti di rete critici. Ad esempio, i fabbricanti di impianti di rete devono ora eseguire una valutazione dei rischi e una relativa procedura di valutazione della conformità coinvolgendo un servizio di terzi.

Le disposizioni proposte nell’ambito degli elementi d’indirizzo sono tese a proteggere meglio gli utenti dei moderni mezzi di comunicazione dalle minacce informatiche e da altri reati commessi attraverso le infrastrutture di telecomunicazione. In tale contesto va notato che i problemi riconosciuti nel campo del perseguimento penale e della prevenzione non possono essere risolti tramite il diritto delle telecomunicazioni. Questo dovrebbe però includere, per quanto possibile, regole che supportino le autorità preposte al perseguimento penale e servano a scopi di prevenzione, ma senza impedire il corretto funzionamento delle comunicazioni.

L’introduzione delle relative misure di sicurezza e protezione richiede un adeguamento delle disposizioni di ordinanza in vigore. Innanzitutto è necessaria una revisione parziale dell’ordinanza del 9 marzo 20073 sui servizi di telecomunicazione (OST), nonché una modifica dell’ordinanza del 25 novembre 20154 sugli impianti di telecomunicazione (OIT) e della relativa ordinanza dell’UFCOM del 26 maggio 20165 sugli impianti di telecomunicazione (OOIT). Sono inoltre previste modifiche puntuali all’ordinanza del 6 ottobre 19976 concernente gli elementi d’indirizzo nel settore delle telecomunicazioni (ORAT).

1.2 Alternative esaminate e opzione scelta

Le seguenti alternative d’intervento elencate qui di seguito sono state valutate e scartate.

• Mantenere lo status quo Se non si introducono nuove regole di sicurezza, non sarà possibile tenere il passo con il progresso tecnologico delle telecomunicazioni. Le lacune nella sicurezza continuerebbero a sussistere o addirittura aumenterebbero. Nel caso dell’abuso di numeri di chiamata, i fornitori sarebbero in grado di contrastare lo spoofing solo se ne fossero effettivamente a conoscenza. La protezione contro le chiamate fraudolente rimarrebbe quindi a un livello basso. Inoltre, l’utilizzo di numeri di chiamata svizzeri da parte di una quantità quasi incontrollabile di fornitori continuerebbe a essere possibile e le attribuzioni subordinate difficili da controllare.
• Maggiore autoregolamentazione anziché disposizioni vincolanti Le raccomandazioni o le regole volontarie del settore non sono sufficienti, perché spesso non sono nell’interesse dei fornitori. Inoltre, le implementazioni

3 RS 784.101.1 4 RS 784. 101.2 5 RS 784. 101.21 6 RS 784.104

volontarie sono onerose e costose. Per ottenere miglioramenti efficaci sono quindi necessarie disposizioni giuridicamente vincolanti e applicabili.

• Obbligo di omologazione delle componenti della rete centrale da parte dell’UFCOM L’obbligo di omologazione per le componenti della rete centrale e per i servizi di controllo esterni è correlato a un elevato onere amministrativo e a costi eccessivi.
• Gestione delle funzioni critiche indipendentemente da altri ordinamenti giuridici Soltanto con un obbligo è difficile verificare se i fornitori di servizi di radiocomunicazione mobile garantiscano le funzioni centrali come NOC, SOC e la gestione delle moderne reti per i servizi svizzeri in modo indipendente dagli ordinamenti giuridici esteri.
• Difesa cibernetica statale centralizzata per i fornitori privati Attualmente mancano le risorse finanziarie per una difesa cibernetica statale centralizzata per le imprese private.
• Obbligo di avere una sede legale in Svizzera L’obbligo per i fornitori di radiocomunicazione mobile di avere una sede legale in Svizzera non comporterebbe alcun vantaggio aggiuntivo rilevante per la sicurezza rispetto a un indirizzo di corrispondenza o all’iscrizione nel registro di commercio.
• Ampliamento delle competenze della ComCom nell’attribuzione delle frequenze L’idea di accordare alla ComCom un maggiore margine di manovra per stabilire condizioni rilevanti per la sicurezza nell’attribuzione delle frequenze dovrebbe essere disciplinata a livello di legge.
• Adesione obbligatoria alla GSMA Sebbene la GSM Association (GSMA) fornisca ai suoi membri risorse utili per migliorare la sicurezza e le quote di adesione dipendano dal fatturato generato, si è rinunciato a introdurre l’obbligo di adesione a causa di una possibile violazione della libertà di adesione.
• Opzioni di sgravio per le imprese Gli MVNO sono esentati da gran parte delle disposizioni di sicurezza. Non sono possibili ulteriori opzioni di sgravio ai sensi dell’articolo 4 capoverso 1 lettera a della legge del 29 settembre 20237 sullo sgravio delle imprese (LSgrI). Altrimenti sarebbe troppo grande il rischio che vengano individuate rapidamente vulnerabilità e che si verifichino gravi conseguenze. La soluzione scelta consiste nei seguenti elementi ed è descritta in dettaglio al numero 3 seg.:

• Requisiti di sicurezza più severi per gli impianti di rete critici Introduzione di procedure obbligatorie di controllo, valutazione del rischio e conformità per gli impianti di rete critici.

7 RS 930.31

• Valutazione della conformità degli impianti di rete critici I fabbricanti devono garantire che i loro impianti di rete critici siano conformi sul piano della sicurezza e devono dimostrare la loro conformità alle esigenze specifiche di sicurezza tramite una procedura adeguata.
• Obbligo di adottare una struttura «secure by design» e utilizzare funzioni «secure by default» I concessionari di radiocomunicazione mobile e i full MVNO devono gestire reti che sono progettate fin dall’inizio per essere sicure, e attivare tutte le funzioni di sicurezza fornite dai fabbricanti.
• Collaborazione obbligatoria e banca dati nazionale delle vulnerabilità I concessionari di radiocomunicazione mobile e i full MVNO devono collaborare attivamente, anche con la Confederazione, e scambiare regolarmente informazioni sulle vulnerabilità e sugli attacchi informatici nelle loro reti.
• Obbligo di individuare attacchi e compromissioni I concessionari di radiocomunicazione mobile e i full MVNO devono introdurre metodi e strumenti per riconoscere attacchi e manipolazioni nelle reti mobili.
• Obbligo di gestire NOC e SOC in Svizzera I centri operativi di rete e di sicurezza (NOC e SOC) devono essere gestiti in Svizzera. Anche le funzioni operative e di sicurezza essenziali devono essere ubicate in Svizzera; sono ammesse sedi estere come ridondanza temporanea.
• Combattere più facilmente l’abuso di numeri di chiamata (spoofing) I fornitori devono poter intervenire già in caso di semplici indizi di spoofing al fine di proteggere meglio i consumatori.
• Limitazione delle attribuzioni subordinate a un solo livello I numeri telefonici possono essere attribuiti una sola volta al fine di garantirne la tracciabilità, ridurre l’onere di vigilanza e renderne più difficile l’abuso.
• Limitazione dell’abuso degli elementi d’indirizzo Le modifiche relative all’uso di mobile network code (MNC), serie di numeri e Global titles (GT) hanno lo scopo di impedire che nella rete di segnalazione questi elementi vengano utilizzati in modo abusivo per attacchi digitali o per la localizzazione.
• Obbligo di rispettare gli standard di sicurezza internazionali Gli operatori di rete mobile e i full MVNO devono rispettare gli standard di sicurezza internazionali. Gli obblighi previsti riguardano settori del mercato delle telecomunicazioni che

attualmente sono in parte privi di regolamentazione. Come descritto nella sezione 1.1, risultano necessari a causa degli sviluppi tecnologici e delle possibilità di utilizzo (abusivo) che ne derivano. Tali sviluppi non implicano che la regolamentazione in altri settori del diritto delle telecomunicazioni non sia più necessaria. Pertanto non è possibile ai sensi dell’articolo 4 capoverso 1 lettera d LSgrI sgravare le imprese interessate abrogando regolamentazioni nel settore.

1.3 Rapporto con il programma di legislatura e il piano finanziario, nonché con

le strategie del Consiglio federale Il progetto non è annunciato né nel messaggio del 24 gennaio 20248 sul programma di legislatura né nel decreto federale del 6 giugno 20249 sul programma di legislatura 2023–2027.

La revisione parziale delle suddette ordinanze è tuttavia opportuna in quanto le misure proposte contribuiscono alla realizzazione dell’obiettivo 20 del Decreto federale sulla pianificazione legislativa 2023-202710. In base a questo obiettivo, la Confederazione deve anticipare i rischi informatici e adottare misure efficaci per proteggere la popolazione, l’economia e le infrastrutture critiche. Le misure di sicurezza proposte possono dare un importante contributo in questo senso.

La Ciberstrategia nazionale CSN11 contro le minacce informatiche e la Strategia nazionale per la protezione delle infrastrutture critiche12, in particolare l’obiettivo «Servizi e infrastrutture digitali sicuri»13, riprendono questo approccio preventivo, ma allo stesso tempo incaricano il Consiglio federale di analizzare i rischi e le vulnerabilità informatiche e di proporre norme necessarie, tenendo conto delle esigenze e delle lacune legislative. Il presente progetto di consultazione non solo è in linea con queste strategie ma contribuisce anche alla loro attuazione.

1.4 Adempimento di interventi parlamentari

Il presente progetto di consultazione risponde, a livello di ordinanza, alle richieste in materia di sicurezza conformemente al mandato del postulato Pult (20.3984) «Infrastruttura digitale. Minimizzare i rischi geopolitici». Il progetto contribuisce inoltre a dare seguito alle richieste del postulato Maret (24.3632) «Chiamate indesiderate. Occorrono nuove misure?», della mozione Seiler-Graf (24.4392) «Servono misure efficaci contro l’abuso dei numeri di chiamata svizzeri» e della mozione Candinas (24.4391) «È necessaria una protezione efficace contro lo spoofing dell’ID di chiamata dei numeri di telefono svizzeri!»

2 Diritto comparato, in particolare rapporto con il diritto europeo

L’Unione europea (UE) è molto preoccupata per la sicurezza delle sue reti e sistemi d’informazione digitali in quanto infrastrutture vitali per la sua economia e società. Il diritto dell’UE cerca quindi di creare un ecosistema informatico sicuro e resiliente imponendo obblighi di sicurezza agli attori chiave, favorendo la cooperazione tra gli Stati membri e creando meccanismi di certificazione, supervisione e sanzione. Si tratta di proteggere i cittadini, le imprese e le istituzioni dagli attacchi informatici e di garantire il corretto funzionamento del mercato unico digitale.

Le basi legali del diritto dell’UE formano un quadro giuridico completo in materia di sicurezza delle infrastrutture digitali e si dividono in tre categorie: quelle interamente dedicate alla sicurezza informatica, quelle che contengono disposizioni relative alla sicurezza informatica e quelle che vi fanno riferimento. Le disposizioni determinanti che 8 FF 2024 525 9 FF 2024 1440 Consiglio federale (2023a). Consiglio federale (2023b). CSN (2023).

regolano la sicurezza delle infrastrutture, dei servizi e degli apparecchi terminali sono contenute essenzialmente nel regolamento sulla cibersicurezza (Cybersecurity Act, CSA)14, nel Regolamento sulla ciberresilienza (Cyber Resilience Act, CRA)15, nella direttiva «NIS 2» sulla sicurezza delle reti e dei sistemi informativi16 e nel toolbox per il 5G e l’alta velocità («5G toolbox») della Commissione europea17.

L’Accordo tra la Confederazione Svizzera e l’UE sul reciproco riconoscimento in materia di valutazione della conformità (MRA CH-UE)18 è uno strumento volto a ridurre gli ostacoli tecnici al commercio di molti prodotti industriali tra la Svizzera e l’UE, in particolare nel settore delle apparecchiature radio e dei terminali di telecomunicazione (cap. 7). L’MRA CH-UE include un certo numero di prescrizioni in materia di cibersicurezza conformi alla legislazione europea. La direttiva 2014/53/UE sulle apparecchiature radio (RED)19, in base a cui la Svizzera ha adeguato la propria legislazione conformemente agli obblighi internazionali derivanti dall’MRA, crea un quadro normativo per l’immissione sul mercato di impianti radio che include requisiti tecnici per la protezione della sfera privata, la protezione dei dati personali e la protezione dalle truffe. Le disposizioni integrate nell’OOIT nel 2022 in quanto requisiti fondamentali aggiuntivi (cfr. art. 1 e all. 1 OOIT) aumentano la sicurezza informatica di alcuni dispositivi senza filo (ad es. smartphones, smartwatches, fitness tracker e giocattoli senza filo) disponibili sul mercato svizzero. Tali dispositivi interconnessi devono disporre di funzioni che impediscano pregiudizi alla rete di comunicazione al fine di rafforzarne la resilienza. Le disposizioni dell’OOIT si applicano anche agli impianti 5G.

3 Punti essenziali del progetto

3.1 La nuova regolamentazione proposta

La nuova regolamentazione prevede inoltre requisiti di sicurezza più severi per l’acquisto e l’esercizio di impianti di telecomunicazione, come antenne di radiocomunicazione mobile e software. Interessa sia i concessionari di radiocomunicazione mobile che gli operatori virtuali di rete mobile completi (full mobile virtual network operator, Full MVNO; ad es. iWay AG o Nexphone AG). E questo perché con la definizione del termine «impianti di rete critici» e i requisiti di sicurezza che ne conseguono, si introducono nell’OOIT procedure di controllo, di valutazione del rischio e della conformità che riguardano apparecchi/impianti di rete mobili/fissi. I fabbricanti hanno l’obbligo di inviare una copia della documentazione tecnica che attesti la conformità degli impianti di rete critici ai requisiti di sicurezza più severi. Le nuove misure di sicurezza introdotte da questa revisione riguardano soltanto le reti di

Regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio, del 17 aprile 2019, relativo all’ENISA (Agenzia dell’Unione europea per la cibersicurezza) e alla certificazione della cibersicurezza per le tecnologie dell’informazione e della comunicazione, e che abroga il regolamento (UE) n. 526/2013 (regolamento sulla cibersicurezza), GU L 151 del 7.6.2019, pag. 15; modificato dal regolamento (UE) 2025/37, GU L, 2025/37, 15.1.2025). Regolamento (UE) 2024/1351 del Parlamento europeo e del Consiglio, del 23 ottobre 2024, relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali e che modifica i regolamenti (UE) n. 168/2013 e (UE) 2019/1020 e la direttiva (UE) 2020/1828 (regolamento sulla ciberresilienza), GU L, 2024/2847, 20.11.2024. Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio del 14 dicembre 2022 relativa a misure per un livello comune elevato di cibersicurezza nell’Unione, recante modifica del regolamento (UE) n. 910/2014 e della direttiva (UE) 2018/1972 e che abroga la direttiva (UE) 2016/1148 (direttiva NIS 2), GU L 333 del 26.12.2022, pag. 80. UE (2020). 18 RS 0.946.526.81 Direttiva 2014/53/EU del Parlamento europeo e del Consiglio del 16 aprile 2014 concernente l’armonizzazione delle legi­ slazioni degli Stati membri relative alla messa a disposizione sul mercato di apparecchiature radio e che abroga la diret­ tiva 1999/5/CE, GU L 153, del 22.5.2014, pag. 62.

telecomunicazione che forniscono servizi a clienti pubblici finali (art. 2 e art. 28b e 28c OIT).

Per i concessionari di radiocomunicazione mobile e i full MVNO sarà introdotto l’obbligo di verificare regolarmente la conformità della loro rete centrale e di altri impianti di rete critici in conformità con le prescrizioni tecniche e amministrative (PTA) per la sicurezza delle reti di telecomunicazione nonché di fornire la prova che sono conformi ai vari standard internazionali armonizzati (art. 96fbis OST). All’UFCOM viene data la possibilità di effettuare controlli della documentazione tecnica in possesso degli

I concessionari di radiocomunicazione mobile e i full MVNO sono inoltre obbligati a esercitare reti di telecomunicazione dette «secure by design» e a implementare tutte le opzioni e le funzioni di sicurezza fornite dai fabbricanti degli impianti di rete «secure by default» (art. 96fbis OST).

Il progetto mira anche a obbligare i concessionari di radiocomunicazione mobile e i full MVNO a collaborare attivamente tra loro e con i servizi interessati della Confederazione sulla questione della sicurezza delle reti e dei servizi di telecomunicazione, e a incoraggiarli a creare e mantenere una banca dati nazionale delle vulnerabilità e delle intrusioni nei sistemi di telecomunicazione mobile. Gli operatori sono chiamati a realizzare e utilizzare metodi e strumenti per rilevare intrusioni e compromissioni nelle reti di telecomunicazione mobile (art. 96fbis OST).

Il progetto crea le condizioni affinché i concessionari di radiocomunicazione mobile e i full MVNO debbano gestire i loro centri operativi di rete (NOC) e i centri operativi di sicurezza (SOC) in Svizzera. Inoltre, i concessionari di radiocomunicazione mobile e i full MVNO devono ora garantire che le funzioni essenziali per la sicurezza e l’esercizio delle loro reti siano gestite in Svizzera, anche se, in caso di guasto, è possibile esercitare sistemi ridondanti all’estero per un periodo di tempo limitato (art. 96f OST).

A causa del potenziale di pericolo in merito all’abuso dei numeri di chiamata svizzeri descritto sopra, i fornitori possono o devono agire in modo preventivo. Di norma, i fornitori dispongono di informazioni e indizi che lasciano presumere lo spoofing di un numero, pur senza disporre di una prova in tal senso. In questo modo è più facile proteggere i consumatori. La grande fiducia della popolazione nei numeri svizzeri viene deliberatamente sfruttata dai truffatori. Il diritto svizzero delle telecomunicazioni conosce condizioni liberali per l’utilizzo e l’attribuzione di numeri di telefono. Queste condizioni erano appropriate e necessarie nel periodo della liberalizzazione del mercato per promuovere la concorrenza. Tuttavia, con la crescente digitalizzazione e globalizzazione delle telecomunicazioni, le condizioni normative in vigore rendono più difficile sia la vigilanza prevista dal diritto delle telecomunicazioni sia il lavoro delle autorità di perseguimento penale. Diversi Paesi europei (ad es. Germania, Francia, Austria, Finlandia) hanno già adottato misure per proteggere i loro gruppi di numeri. Anche se gli adeguamenti delle disposizioni del diritto delle telecomunicazioni non bastano a risolvere il problema, contribuiscono comunque a contenere e perseguire in modo più efficace le minacce informatiche e altri reati commessi attraverso le infrastrutture di telecomunicazione (art. 26a cpv. 6 OST).

In base all’attuale quadro normativo, un titolare di una serie di numeri può attribuire a sua volta numeri della serie a fornitori registrati in base all’articolo 4 LTC al fine di offrire servizi di telecomunicazione. Sebbene tali attribuzioni subordinate debbano essere comunicate all'UFCOM nel quadro dei rilevamenti, nell'ambito della vigilanza in

materia di telecomunicazioni o anche del perseguimento penale si è constatato che, in caso di cessioni multiple (a cascata), è talvolta difficile o impossibile risalire al proprietario, soprattutto in caso di più fasi di attribuzione subordinata verso o all’estero. Spesso le autorità devono sostenere un grande onere di lavoro per rintracciare e monitorare queste cessioni a cascata e attribuzioni subordinate o assoggettare i fornitori al diritto in vigore. La corrispondenza con imprese estere è spesso assai dispendiosa in termini di tempo e raramente conduce ai risultati sperati. È praticamente impossibile far rispettare le prescrizioni svizzere di diritto delle telecomunicazioni a imprese che possono trovarsi ovunque nel mondo, anche se in teoria vi sarebbero assoggettate. Si prevede quindi di sostenere la lotta contro l’abuso dei numeri svizzeri mediante direttive specifiche a livello di ordinanza. Pertanto in futuro sarà possibile solo un’attribuzione subordinata a un unico altro fornitore (con sede in Svizzera o all’estero) da parte del titolare della serie di numeri, in modo da garantire in ogni momento l’identificazione dell’attuale titolare. Limitando le attribuzioni subordinate a un solo livello, dovrebbero ridursi gli oneri amministrativi e di vigilanza nonché i relativi costi, aumentando al contempo il controllo sull’utilizzo dei numeri svizzeri. Questo serve anche a combattere gli abusi, considerato che i numeri di telefono svizzeri appaiono spesso in relazione a casi di truffa, in particolare a falsi account utente su piattaforme online (social media, app di messaggistica come WhatsApp), o sono utilizzati per la registrazione presso banche e servizi di pagamento come Twint (art. 23 cpv. 2 lett. a e b ORAT).

Un altro adeguamento proposto riguarda gli elementi d’indirizzo utilizzati nelle reti mobili, prevede una modifica dell’articolo 47 ORAT al fine di limitare la relazione tra l’attribuzione di elementi d’indirizzo (Mobile Network Code [MNC] e le serie di numeri E.164) e la possibilità di generare da essi uno o più GT (global title) necessari all’istradamento di chiamate verso questi elementi tramite il sistema di segnalazione delle reti mobili.

Si tratta di misure volte a limitare l’utilizzo fraudolento degli elementi d’indirizzo attribuiti in combinazione con un GT sulla rete di segnalazione delle reti mobili (ad es. il monitoraggio della localizzazione dei clienti della rete mobile).

Infine, l’introduzione dell’obbligo per i concessionari di radiocomunicazione mobile e i full MVNO di rispettare gli standard di sicurezza internazionali mira anche a contribuire a rafforzare la sicurezza e quindi la piazza economica svizzera (art. 96fbis OST).

3.2 Questioni di attuazione

Le misure previste per quanto riguarda i rischi per la sicurezza si basano principalmente dal toolbox per il 5G dell’UE. Pertanto devono comunque essere prese in considerazione per i fornitori attivi a livello internazionale. Inoltre si basano su norme e standard tecnici internazionali. Si può quindi presumere che l’attuazione sarà semplice e che si evitino requisiti normativi più elevati rispetto a quelli di normative analoghe all’estero (cfr. art. 4 cpv. 1 lett. b LSgrI).

Non è possibile valutare in modo definitivo in che misura l’esecuzione dei regolamenti ai sensi dell’articolo 4 capoverso 1 lettera c LSgrl possa essere semplificata tramite mezzi elettronici. L’interazione con le autorità avviene solo in misura limitata. Le misure riguardano innanzitutto l’organizzazione operativa di circa 15 fornitori di radiocomunicazione mobile e un numero imprecisato, al massimo a due cifre, di fabbricanti (internazionali) di impianti per le reti mobili. Le imprese interessate sono libere di scegliere i mezzi con cui raggiungere gli obiettivi specificati.

4 Commento ai singoli articoli

4.1 Ordinanza del 9 marzo 2007 sui servizi di telecomunicazione

Art. 1 lett. e Definizioni

All’articolo 1 lettera e si definisce ora cosa si intende con full MVNO, ossia un fornitore di servizi di telecomunicazione che offre, a titolo indipendente, servizi di radiocomuni­ cazione mobile ricorrendo alla rete di accesso radio (Radio Access Network [RAN]) di un concessionario di radiocomunicazione mobile. In altre parole, si tratta di un fornitore di servizi di radiocomunicazione mobile a tutti gli effetti, salvo per il fatto che prende in affitto la rete RAN di un concessionario di radiocomunicazione mobile. I criteri che de­ finiscono con precisione un full MVNO sono i seguenti:

• registrato come fornitore di servizi di telecomunicazione (FST) presso l’UFCOM;
• detiene, senza limitazioni, un codice MNC (Mobile Network Code) presso l’UFCOM;
• detiene elementi d’indirizzo E.164 presso l’UFCOM;
• beneficia di un accordo sul roaming nazionale (NRA: National Roaming Agreement) con un FST concessionario di radiofrequenze attribuite dall’UFCOM;
• Detiene e gestisce, in parte o del tutto, la o le propria/e rete/i centrale/i (Core Network) di radiocomunicazione mobile.

Art. 26a cpv. 6 Indicazione del numero chiamante

Le chiamate fraudolente con numeri svizzeri (Calling Line Identification [CLI]) falsificati sono un problema molto diffuso con il potenziale di causare notevoli danni. Suscitano una fiducia ingiustificata che viene sfruttata per truffare nei modi più disparati, sul piano finanziario, le persone che ricevono chiamate in Svizzera. Occorre poter lottare in ma­ niera rapida, preventiva ed efficace contro il pericolo che queste truffe rappresentano. Deve quindi essere possibile adottare già oggi le misure che gli operatori sono obbligati ad adottare contro tali chiamate a scopo di «spoofing», e non solo dal momento in cui vi è una certezza, ma già quando c’è un sospetto fondato. I fornitori non hanno alcuna possibilità di venire effettivamente a conoscenza di tali chiamate fraudolente poiché in particolare il controllo dei contenuti – che in tal caso sarebbe necessario – in linea di principio è loro vietato. Spesso se ne viene a conoscenza solo a posteriori, quando il danno è già stato causato.

Ora è già sufficiente che i fornitori abbiano il sospetto fondato che un numero trasmesso non sia valido o sia usato da chi non ne ha il diritto e quindi a scopo di «spoofing». I requisiti per la soppressione di un numero o per il blocco di una chiamata vengono quindi allentati, in modo da consentire un intervento più rapido.

In base all’articolo 26a capoverso 6 OST, i fornitori hanno la possibilità di impedire la trasmissione di un numero (soppressione della CLI) oppure di bloccare completamente la connessione. Il legislatore concede questo margine di manovra perché, nella pratica, è quasi impossibile per i fornitori stabilire in anticipo, per ciascuna delle possibili confi­ gurazioni in cui vengono utilizzati i numeri svizzeri, se un numero visualizzato sia inva­ lido perché «spoofato» o a causa di un errore tecnico di trasmissione. D’altra parte, gli operatori hanno la possibilità di determinare con certezza se un numero sia utilizzato con diritto d’uso solo in relazione al proprio ambito di numeri e ai propri clienti. Non esiste, ad esempio, una banca dati che consentirebbe una verifica trasversale tra 13/32

operatori. Ciò viene sfruttato in modo mirato da chi effettua le chiamate (falsifica un numero di un cliente dell’operatore A per raggiungere potenziali vittime che sono clienti dell’operatore B). Le circostanze concrete variano notevolmente da chiamata a chia­ mata e a seconda della situazione e dell’operatore (delle sue dimensioni, della tecno­ logia di rete ecc.), motivo per cui agli operatori deve essere concessa la libera scelta tra le due possibilità.

Di norma, gli operatori dovrebbero quindi limitarsi a nascondere la CLI, poiché questa costituisce la misura meno restrittiva. Un blocco più esteso della chiamata può essere preso in considerazione solo se l’operatore dispone di informazioni che non lasciano praticamente altra conclusione se non quella che si tratti di una chiamata fraudolenta. Ciò può verificarsi, ad esempio, con i propri gruppi di numeri, poiché il fornitore può constatare, in relazione a questi, che il cliente in questione, o il numero a lui assegnato, non può trovarsi all’estero, ad esempio perché il numero o il dispositivo è contempora­ neamente attivo sulla propria rete in Svizzera e sussiste quindi un’evidente incon­ gruenza geografica. Lo stesso vale per le sequenze di cifre che non possono esistere come numeri di telefono, poiché non soddisfano i requisiti delle disposizioni sulle serie di numeri E.164, e ad esempio per i numeri di emergenza come il 117, 118. Anche determinati modelli di chiamata possono indicare che i numeri visualizzati sono «spoo­ fati», come ad esempio una frequenza estremamente elevata di chiamate identiche nell’arco di pochi secondi («carattere ondulatorio»), della stessa origine e con numeri che cambiano sistematicamente. In casi così evidenti, i fornitori bloccherebbero la chia­ mata. Tuttavia, poiché non dispongono mai di tutte le informazioni rilevanti e la valuta­ zione deve avvenire in modo continuo e in tempo reale, nella maggior parte dei casi rimarrà comunque un margine di incertezza. Per questo motivo, i fornitori sono liberi di ricorrere al mezzo più blando: la soppressione della CLI.

Art. 96d Applicazione

La revisione dell’ordinanza sui servizi di telecomunicazione, avvenuta nel 2022 sulla scia dei lavori in corso nell’UE per quanto concerne la sicurezza delle reti di telecomu­ nicazione, concerneva unicamente le reti mobili di quinta generazione (5G). Oggi, se­ guendo l’esempio di alcuni Paesi membri dell’UE, la legislazione emergente in materia di sicurezza delle reti si estende a tutte le generazioni di comunicazione mobile e ad­ dirittura alle reti di comunicazione fissa.

In effetti, fintanto che reti di vecchia generazione saranno attive nel mondo, gli operatori svizzeri dovranno adeguarsi alle esigenze di interconnessione e continuare a gestire alcuni nodi e determinate funzionalità di vecchie tecnologie (reti analogiche) che non si prevedeva evolvessero in un contesto di sicurezza tanto esteso e all’avanguardia.

Nella stessa ottica, i soggetti giuridici interessati dagli articoli legati alla sicurezza (art. 96e, 96f, 96fbis e 96g), non possono più limitarsi ai soli concessionari di radiocomuni­ cazione mobile (MNO). Gli operatori detti «full MVNO» sottostanno anch’essi all’ob­ bligo, poiché gestiscono alcuni nodi e determinate funzionalità di rete critiche in ma­ niera indipendente rispetto al loro MNO (art. 96d cpv. 2 lett. b).

In generale, le nuove misure di sicurezza imposte ai concessionari di radiocomunica­ zione mobile e ai full MVNO riguardano solo le imprese che gestiscono una o più reti pubblici di telecomunicazione utilizzate per fornire servizi ai clienti finali.

Art. 96e Sistema di gestione della sicurezza

Il capoverso 1 di tale disposizione viene completato in modo tale che non solo i con­ cessionari di radiocomunicazione mobile sviluppino, implementino e verifichino in ma­ niera continuativa un sistema di gestione della sicurezza delle informazioni sulla base di un’analisi dei rischi e degli obiettivi in materia di sicurezza che ne derivano, ma che anche i full MVNO sottostiano a un tale obbligo. Poiché i full MVNO gestiscono loro stessi una grossa porzione dell’infrastruttura di rete, per essi devono valere le stesse regole che si applicano ai concessionari di radiocomunicazione mobile.

Art. 96f Esercizio degli impianti di telecomunicazione critici

Capoverso 1:

Al capoverso 1 anche i full MVNO vengono ora esplicitamente obbligati ad assicurare che gli impianti di rete critici da loro esercitati siano conformi allo stato della tecnica. Per la definizione di quali impianti siano considerati impianti di rete critici ai sensi di tale disposizione, è determinante la definizione legale di cui all’articolo 2 capoverso 1 let­ tera cbis OIT. Capoverso 2: La disposizione in materia geografica legata alla gestione di impianti di telecomunica­ zione critici per la sicurezza in Svizzera deve comprendere gli impianti di telecomuni­ cazione essenziali per l’esercizio, la gestione e l’amministrazione. Interessata dalla di­ sposizione è ad esempio la cosiddetta rete centrale 5G (5G core network). È concepita in maniera cloud native: ciò significa che le sue funzioni o istanze possono in linea di principio essere esercitate in un’area geografica diversa rispetto a quella in cui si tro­ vano le antenne per la telefonia mobile (radio access network [RAN]). Mentre, grazie alla distribuzione virtualizzata, le prime sono indipendenti dal luogo, le ultime devono trovarsi fisicamente nel posto in cui i servizi di radiocomunicazione mobile vengono forniti. Per la parte RAN di una rete di radiocomunicazione mobile non sono quindi necessarie prescrizioni geografiche. L’area geografica per l’esercizio di impianti di te­ lecomunicazione critici per la sicurezza, in particolare i centri operativi di rete e i centri operativi di sicurezza, è in linea di principio limitata alla Svizzera. Ciò vale d’ora in poi sia per i concessionari di radiocomunicazione mobile che per i full MVNO. L’obbligo di localizzare in Svizzera alcune infrastrutture critiche o centri operativi a fini di sicurezza è ammissibile in virtù degli articoli XIV lett. a (protezione dell’ordine pub­ blico), XIV lett. c iii e XIVbis (sicurezza) dell’allegato 1B all’Accordo che istituisce l’Or­ ganizzazione mondiale del commercio OMC20 (Accordo generale sul commercio dei servizi AGCS). L’obbligo mira a garantire la conformità che il diritto dell’OMC esige nell’ambito delle leggi e regolamentazioni svizzere in materia di sicurezza delle teleco­ municazioni (art. 48a LTC). Adempie inoltre l’esigenza di necessità del diritto dell’OMC, nella misura in cui l’importanza di rendere sicura l’infrastruttura svizzera di telecomuni­

cazione, localizzandola, si impone tanto dal punto di vista delle necessità tecniche e operative quanto in relazione al contesto di sicurezza e geopolitico attuale. Tale messa in sicurezza passa così anche dalla localizzazione di infrastrutture critiche di telecomu­ nicazione e dall’obbligo di sfruttare centri operativi essenziali per le telecomunicazioni in Svizzera, il tutto al fine di garantire la continuità operativa e la sicurezza in materia di telecomunicazioni dal nostro Paese. Si tiene conto del principio di proporzionalità in

20 RS 0.632.20

quanto il capoverso 3 offre la possibilità agli operatori di disporre, a determinate condi­ zioni, di sistemi ridondanti in Paesi che garantiscono una protezione dei dati adeguata. Capoverso 3: Ai sensi della lettera a, i sistemi ridondanti possono essere esercitati esclusivamente in Stati la cui legislazione garantisce un livello di protezione dei dati adeguato. La lista degli Stati in cui può essere gestito un sistema ridondante si trova all’allegato 1 dell’or­ dinanza del 31 agosto 202221 sulla protezione dei dati.

Lo scopo della condizione di cui alla lettera b è che gli impianti di telecomunicazione di importanza critica per la sicurezza continuino a funzionare anche se i collegamenti ne­ gli altri Stati subiscono interferenze, ad esempio a causa di decisioni diplomatiche o sviluppi politici che portano a un blocco delle comunicazioni internazionali. Inoltre, va impedito che chiavi crittografiche possano finire nelle mani di altri Stati tramite l’eserci­ zio di pressione a livello politico o giuridico. La lettera c mira a garantire che i servizi di telefonia vocale e gli accessi Internet messi a disposizione dai concessionari di radiocomunicazione mobile funzionino anche quando i collegamenti ai sistemi ridondanti subiscono interferenze o non sono più pos­ sibili. Occorre inoltre impedire che la garanzia dei servizi sopra citati possa essere li­ mitata da sistemi corrotti, il cui luogo di esercizio è soggetto a una legislazione stra­ niera. A tal fine, la localizzazione geografica del controllo e quindi della gestione delle chiavi digitali e dei certificati necessari per il funzionamento contribuisce in modo deci­ sivo. Stabilire una sovranità amministrativa in Svizzera ne è una conseguenza logica. Poiché per garantire la sicurezza delle connessioni è necessario che entrambe le parti dispongano di chiavi private, è consentito che le chiavi gestite dalla Svizzera possano essere memorizzate anche in altri Stati. Il controllo delle chiavi digitali comprende pertanto sia la produzione, la distribuzione, l’uso e la disattivazione nonché la definizione di linee guida per il salvataggio. Occorre garantire che le chiavi possano essere disattivate in qualsiasi momento dalla Svizzera. In linea di principio, lo stesso vale per il rilascio di certificati digitali firmati, necessari per l’esercizio. A tale proposito occorre garantire che la cosiddetta autorità di certifica­ zione radice (root certification authority), in quanto istanza superiore e più affidabile, sia localizzata in Svizzera e che sia possibile in qualsiasi momento revocare (revoca­ tion) i certificati emessi dalla Svizzera. Nelle linee guida relative al salvataggio occorre prevedere che le chiavi e i certificati crittografici che servono a codificare i dati salvati possano essere salvati unicamente in Svizzera. La loro gestione deve avvenire utiliz­

zando moduli di sicurezza a livello di hardware gestiti in Svizzera e certificati in base alle norme riconosciute. Sono quindi esclusi sistemi di gestione delle chiavi (Key Ma­ nagement Systems, KMS) completamente basati sul cloud. Di conseguenza, occorre garantire che un’interruzione delle comunicazioni internazio­ nali non comprometta la garanzia del servizio telefonico pubblico e dell’accesso a In­ ternet in Svizzera. Le reti di telecomunicazione non devono essere ostacolate nelle loro funzioni di base e i fornitori di servizi di telecomunicazione devono garantire i servizi di loro competenza nonostante l’interruzione. Non vengono affrontate le dipendenze dai servizi forniti tramite Internet e la cui disponibilità dipende da server situati all’estero, poiché questi ultimi non rientrano nella sfera di competenza dei fornitori di servizi di telecomunicazione (lett. d).

21 RS 235.11

Capoversi 4 e 5: L’UFCOM deve essere informato entro e non oltre 48 ore dall’inizio della modalità di emergenza. A seconda del tipo e della gravità dell’interruzione, l’UFCOM stabilisce il tempo massimo durante il quale è consentito il funzionamento tramite i sistemi ridon­ danti situati all’estero. Esso può prorogare tale durata, senza tuttavia che ciò dia diritto a tale proroga. Capoverso 6: Le chiavi crittografiche e i certificati derivati si contraddistinguono per il fatto che, in qualsiasi momento, esiste un’altra chiave o un altro certificato che può limitare o impe­ dire l’utilizzo della chiave o del certificato derivato. Inoltre, le chiavi e i certificati tempo­ ranei hanno una validità limitata e scadono dopo un periodo di tempo definito. L’UFCOM fisserà un termine adeguato nelle prescrizioni tecniche e amministrative. Capoverso 7: Devono essere protocollati in particolare la data e l’ora dell’accesso, l’indirizzo IP di origine e di destinazione, il nome utente e la procedura con cui avviene l’accesso, non­ ché i messaggi rilevanti relativi all’evento.

Art. 96fbis Misure di sicurezza

Capoverso 1:

Questa misura di sicurezza si articola in diversi aspetti, tutti ugualmente importanti. Dal punto di vista tecnico, i concessionari di servizi di radiocomunicazione mobile e i full MVNO si assicurano di acquistare dispositivi e software da fornitori affidabili. Le loro infrastrutture presentano un livello di ridondanza sufficiente. Inoltre, applicano costan­ temente i principi dello «zero trust» (fiducia zero), di segmentazione delle diverse entità (nodi di rete) o funzionalità (network function), di crittografia e di difesa (firewall) a tutte le loro infrastrutture.

Poiché la sicurezza non è solo una questione di macchine ma anche di persone, i con­ cessionari di radiocomunicazione mobile e i full MVNO applicano restrizioni di accesso ai tecnici, sia propri che in subappalto, ai locali e alle infrastrutture delle loro reti infor­ matiche e di telecomunicazione. Redigono e distribuiscono a tutto il personale interes­ sato manuali che spiegano nei minimi dettagli le procedure da seguire in caso di mi­ nacce informatiche o attacchi informatici.

Il mondo informatico non conosce né confini né tregua, pertanto è imperativa una vigi­ lanza 24 ore su 24. I concessionari di radiocomunicazione mobile e i full MVNO garan­ tiscono in modo continuo, nelle loro reti, non solo l’individuazione di anomalie e vulne­ rabilità, ma anche la lotta contro lo spionaggio, il sabotaggio e la fuga di dati sensibili dei loro clienti. Si impegnano a mantenere aggiornati i propri impianti e applicano senza indugio tutte le soluzioni di correzione delle vulnerabilità disponibili.

Capoverso 2:

Le infrastrutture di rete possono essere definite come segue:

L’insieme delle apparecchiature hardware e software che consentono di fornire servizi di comunicazione wireless (voce, Internet) agli utenti di telefoni cellulari. Si tratta, infatti,

di tutte le apparecchiature delle reti di accesso (Radio Access Network), delle reti cen­ trali (Core Network) e delle reti di trasporto (Transport Network) di tutte le generazioni di reti di radiocomunicazione mobile (2G, 3G, 4G, 5G e successive).

È fondamentale che le infrastrutture di rete siano testate nel modo più accurato possi­ bile per individuare, prima della loro messa in servizio, qualsiasi malfunzionamento ri­ spetto alle specifiche dei costruttori/fornitori e agli standard riconosciuti a livello inter­ nazionale.

Occorre fare in modo che non vi siano «backdoor», al fine di evitare la manipolazione di elementi di rete e la fuga di dati legati ai clienti abbonati o a qualsiasi altra informa­ zione che potrebbe nuocere all’integrità e alla sicurezza degli individui, delle imprese, dell’economia o dello Stato. Nessuna infrastruttura di rete dev’essere messa in servizio se vi è il dubbio che esistano simili minacce. Ciò vale anche in caso di messa in servizio successiva, in occasione di aggiornamenti significativi dei sistemi.

I concessionari di radiocomunicazione mobile e i MVNO utilizzano, ogni qualvolta ne­ cessario e sull’insieme delle loro reti di comunicazione, degli scanner performanti tesi a individuare compromissioni. Prendono contatto a livello nazionale o internazionale con almeno due altri operatori riconosciuti che dispongono di infrastrutture simili, al fine di informarsi a vicenda su eventuali compromissioni note o sospette.

Tutte le opzioni standardizzate di sicurezza delle reti, a livello di hardware o di software, sviluppate dai fabbricanti/fornitori, devono essere implementate in tutte le reti di comu­ nicazione dei concessionari di radiocomunicazione mobile e dei full MVNO (cpv. 2, ul­ timo periodo). Con «standardizzate» si fa riferimento, ad esempio, alle specifiche tec­ niche 3GPP «TS 33.501»22 e alle raccomandazioni della GSM Association «FS.40 - 5G Security Guide»23.

Capoverso 3:

La sorveglianza viene effettuata su tutte le parti delle reti: la parte di accesso (Radio Access Network), la parte centrale (Core Network) e la parte di trasporto (Transport Network). Concerne sia le reti di comunicazione mobile sia quelle destinate alla segna­ lazione e all’interconnessione fra tutte le reti.

I concessionari di radiocomunicazione mobile e i full MVNO utilizzano in qualsiasi mo­ mento degli strumenti adatti allo scopo di fornire, raccogliere e analizzare le registra­ zioni di eventi (logfile) di tutti i nodi delle loro reti, alla ricerca di vulnerabilità, anomalie e intrusioni.

Le anomalie sono individuate sulla base di due principi fondamentali: la correlazione di più eventi disparati ma improbabili, nonché la deviazione inusuale rispetto al compor­ tamento abituale dei sistemi.

Se un pericolo imminente individuato da tale sorveglianza minaccia direttamente la si­ curezza degli individui, delle imprese, dell’economia o dello Stato, i concessionari di radiocomunicazione mobile e i full MVNO informano senza indugio i corpi di polizia e

https://portal.3gpp.org/desktopmodules/Specifications/SpecificationDetails.aspx?specificationId=3169. https://www.gsma.com/solutions-and-impact/technologies/security/gsma_resources/5g-security-guide-version-3-0/.

le autorità federali competenti, con cui collaborano attivamente per ridurre al minimo i rischi ed eliminare la minaccia.

Capoverso 4:

La sicurezza delle reti non risponde alle consuete leggi del mercato e della concor­ renza. In questo ambito, la solidarietà e la cooperazione sono fondamentali. La condi­ visione delle informazioni è cruciale nella lotta contro gli attacchi informatici, a beneficio dei cittadini, delle imprese, dell’economia e dello Stato.

Oltre all’obbligo per gli FST di segnalare gli attacchi informatici di una certa entità (al­ meno 10 000 abbonati colpiti) alla Centrale nazionale d’allarme (CENAL), come speci­ ficato dall’articolo 96 OST, essi dovranno informarsi reciprocamente sulla natura dell’at­ tacco, sui danni causati e sulle misure correttive previste al fine di ripristinare rapida­ mente un funzionamento normale e sicuro.

Per quanto possibile, i concessionari di radiocomunicazione mobile e i full MVNO si prestano reciproca assistenza, nei limiti della riservatezza e della protezione dei dati. Inoltre, i loro dipartimenti di sicurezza informatica si incontrano più volte all’anno per condividere le loro esperienze e individuare le migliori difese contro gli attacchi infor­ matici, nei limiti della riservatezza e della protezione dei dati.

Se necessario, i concessionari di radiocomunicazione mobile e i full MVNO organiz­ zano ogni anno uno o più workshop alla presenza delle autorità federali, quali l’Ufficio federale della cibersicurezza (UFCS) o l’Ufficio federale delle comunicazioni (UFCOM).

Infine, è auspicabile una banca dati comune delle vulnerabilità, anomalie e intrusioni, alimentata da ciascun concessionario e full MVNO man mano che emergono nuove scoperte e informazioni.

Capoverso 5:

Al fine di lottare contro la propagazione di messaggi SMS e di segnalazione fraudolenti, i concessionari di radiocomunicazione mobile e i full MVNO utilizzano sistematica­ mente e in maniera permanente un sistema di «SMS Home Routing».

Lo «SMS Home Routing» è una funzionalità di rete che garantisce che ogni messaggio destinato a un abbonato sia innanzitutto indirizzato verso il «Mobile Switching Center» (MSC) o lo «Short Message Service Center» (SMSC) della rete nazionale dell’abbo­ nato, anche se tale abbonato è in situazione di «roaming».

Il sistema di «SMS Home Routing» dei concessionari di radiocomunicazione mobile e dei full MVNO forza il loro «Home Location Register» (HLR) a rispondere sempre con un indirizzo domestico che instrada verso il loro «Home-Mobile Switching Center» (H- MSC) o il loro «Home-Short Message Service Center» (H-SMSC) e a non rivelare mai la posizione reale, ossia l’indirizzo del «Visitor-Mobile Switching Center» (VMSC) estero dell’abbonato in situazione di «roaming».

L’istradamento dei messaggi SMS inviati dagli utenti in roaming sulle reti degli operatori nazionali, prima che vengano inoltrati al destinatario, consente agli operatori nazionali di filtrare efficacemente i messaggi anomali o fraudolenti.

In assenza di un tale sistema, gli SMS sono trasferiti al destinatario direttamente dall’operatore del Paese in cui gli abbonati sono in situazione di «roaming», senza 19/32

la possibilità di un controllo di sicurezza da parte dell’operatore nazionale. A seconda del livello di serietà dell’operatore di «roaming», dunque che egli proceda o meno a filtraggi in materia di sicurezza, i messaggi fraudolenti possono arrivare a destinazione con conseguenze potenzialmente spiacevoli (pubblicità indesiderata e phishing, ecc.) o pericolose (localizzazione di persone, intercettazione o manipolazione di dati, ecc.).

Capoverso 6:

Fintanto che reti di telecomunicazione fisse o mobili analogiche saranno in uso nel mondo, occorreranno protocolli di segnalazione ai fini dell’interconnessione. Alcuni di questi protocolli sono stati creati in un’epoca in cui il numero di attori che li usava era basso ed essi erano degni di fiducia, non erano quindi stati provvisti di meccanismi di sicurezza avanzati. Con l’avvento delle comunicazioni mobili e di Internet, sempre più attori di ogni provenienza hanno accesso a tali protocolli e alle reti. Poiché è impossibile risolvere queste lacune in materia di sicurezza a livello mondiale, ogni concessionario e full MVNO deve agire presso le proprie infrastrutture.

Gli strumenti di filtraggio sono dei firewall di segnalazione installati sui punti di trasferi­ mento di segnalazione di ciascun tipo e generazione di rete. Se necessario, delle ope­ razioni di filtraggio sono effettuate anche direttamente sugli «Home Location Register» (HLR) o i «Mobile Switching Center (MSC)». Poiché le minacce informatiche evolvono costantemente, le regole di filtraggio non sono statiche. I concessionari di radiocomu­ nicazione mobile e i full MVNO aggiornano regolarmente i loro criteri di filtraggio in funzione del progresso tecnologico e delle nuove minacce.

Anche in caso di smantellamento di alcune generazioni di reti di comunicazione (2G, 3G), i concessionari di radiocomunicazione mobile e i full MVNO devono continuare a gestire determinati nodi (ad es.: nodo «Signalling Transfer Points» [STP] per le reti 2G) di queste reti obsolete, al fine di garantire l’interconnessione. In tale circostanza, conti­ nuano a gestire anche i firewall che vi sono legati.

I concessionari di radiocomunicazione mobile e i full MVNO utilizzano standard tecnici e le migliori pratiche operative e di sicurezza riconosciute a livello internazionale.

I documenti rilevanti in materia di sicurezza delle reti di segnalazione sono, ad esempio, i seguenti:

• 3GPP: 5G Security Evolution in 3GPP Release 18;
• 3GPP: Overview of 5G Security Evolution in 3GPP Release 19;
• GSMA: FF.09 Introduction to SMS Fraud;
• GSMA: FS.07 SS7 and SIGTRAN Network Security;
• GSMA: FS.11 SS7 Interconnect Security Monitoring Guidelines;
• GSMA: FS.21 Interconnect signalling security recommendations;
• GSMA: FS.36 5G interconnect security;
• GSMA: IR.70 SMS SS7 Fraud;
• GSMA: IR.71 SMS SS7 Fraud Prevention;
• GSMA: IR.82 SS7 Security Network Implementation Guidelines;
• GSMA: SG.22 SMS Firewall Best Practices and Policies;
• ENISA: 5G Threat Landscape for 5G networks;
• ENISA: Signalling Security in Telecom SS7/Diameter/5G.

Un altro obbligo di contrastare le frodi nelle reti di segnalazione è stato introdotto all’ar­ ticolo 47g ORAT (divieto di affittare a terzi dei «Global titles»).

Art. 96g cpv. 2 Prescrizioni applicabili, norme e vigilanza

Al capoverso 2 sono ora menzionati anche i full MVNO. L’UFCOM potrà quindi obbli­ gare anche questi ultimi, oltre ai concessionari di radiocomunicazione mobile, a sotto­ porsi a proprie spese a un audit ad opera di un organismo qualificato o a far verificare i propri impianti di telecomunicazione se sussiste un sospetto fondato di violazione del diritto e ciò risulti necessario per accertare i fatti.

Art. 108e Disposizione transitoria relativa alla modifica del … Al fine di garantire che i concessionari di radiocomunicazione mobile e i full MVNO dispongano di tempo a sufficienza per attuare in Svizzera le modifiche richieste ai sensi dell’articolo 96f capoversi 2 e 3, in particolare per quanto riguarda la direzione dei centri di gestione della rete e dei centri operativi di sicurezza, è necessario prevedere un adeguato periodo di transizione. Tale periodo è di 24 mesi a partire dall’entrata in vigore della modifica in questione.

4.2 Ordinanza del 25 novembre 2015 sugli impianti di telecomunicazione

Gli articoli 28b e 28c fanno parte della nuova sezione 1a sugli impianti di rete critici, correlata al capitolo 4 dell’OIT («Disposizioni particolari»).

In generale, le nuove misure sono provvedimenti di sicurezza imposti ai produttori di infrastrutture di rete critiche destinate ad essere utilizzate all’interno di reti di teleco­ municazione che servono a fornire servizi ai clienti finali pubblici.

Il fatto che l’infrastruttura di telecomunicazione ai sensi dell’articolo 48a capoverso 2 LTC inglobi ampiamente qualsiasi prodotto che comporta elementi digitali ai sensi della legge sulla ciberresilienza (CRA) permette di considerare il fatto che le esigenze in materia di cibersicurezza sono oggigiorno ampiamente concepite in maniera oriz­ zontale e indipendente dai settori di attività interessati. In tale contesto, è opportuno riferirsi anche alle norme tecniche dei comitati di standardizzazione europei e, tenuto conto dell’ARM CH-UE che previene gli ostacoli al commercio fra la Svizzera e l’UE, armonizzare la nostra legislazione in merito agli impianti e alle infrastrutture di teleco­ municazione con il diritto europeo e gli schemi di certificazione in materia di cibersicu­ rezza, in particolare per il 5G, previsti dall’agenzia dell’UE per la cibersicurezza (Euro­ pean Network and Information Security Agency, ENISA).

Art. 2 cpv. 1 lett. c e cbis Definizioni

Innanzitutto, viene precisata la nozione di impianto terminale di telecomunicazione di cui all’articolo 2 capoverso 1 lettera c OIT: può trattarsi sia di un impianto di radioco­ municazione, sia di un impianto via cavo destinato ad essere collegato, direttamente o indirettamente, a interfacce di rete di telecomunicazione utilizzate interamente o in parte per la fornitura di servizi di telecomunicazione. In quanto superfluo, il riferimento all’articolo 3 lettera b LTC è soppresso.

In seguito, si tratta di definire il termine di «impianto di rete critico» all’articolo 2 capo­ verso 1 lettera cbis OIT, sottoposto alle regole di questa nuova sezione. Si intende

qualsiasi impianto di telecomunicazione parte di una rete che serve a fornire servizi di telecomunicazione (art. 3 lett. b LTC) e che, se subisce interferenze o presenta difetti, rischia di causare un guasto o un’alterazione considerevole del funzionamento delle infrastrutture di telecomunicazione o di mettere in pericolo la sicurezza pubblica. Rientra nella responsabilità del fabbricante, in occasione dell’immissione sul mercato, definire l’uso previsto del suo impianto, mentre rientra nella responsabilità dell’opera­ tore di rete utilizzare impianti previsti per essere integrati e gestiti all’interno di una rete.

Costituiscono in particolare guasti o alterazioni significative delle infrastrutture: un’in­ terruzione generalizzata della rete mobile (4G/5G) che impedisca le chiamate, gli SMS e l’accesso a Internet su un’ampia area geografica, l’interruzione prolungata delle reti di emergenza che renda impossibile la comunicazione con i servizi di soc­ corso, gli attacchi informatici su larga scala (ad es. attacchi denial-of-service) che pa­ ralizzano le reti di un operatore di telecomunicazioni, gravi danni fisici (incendi, inon­ dazioni, sabotaggi) che colpiscono centrali telefoniche, cavi in fibra ottica o centri di distribuzione, oppure il malfunzionamento dei sistemi di segnalazione o di instrada­ mento che causano comunicazioni errate, ritardate o perse su larga scala. Il fatto di rendere indisponibili i sistemi di allerta della popolazione (avvisi via SMS, sirene, dif­ fusione radio/TV) in caso di catastrofe naturale o minaccia imminente, impedendo di informare e proteggere la popolazione, è un esempio di violazione della sicurezza pubblica.

Un impianto di rete è soggetto alle disposizioni previste dagli articoli 28b e 28c dell’OIT se fa parte degli impianti di rete critici (l’UFCOM tiene aggiornato un elenco degli impianti di rete critici) ed è destinato ad essere integrato e gestito all’interno di una rete di telecomunicazioni.

Art. 28b Princìpi

L’articolo 28b capoverso 1 OIT determina la procedura di valutazione che consente ai fabbricanti di conformarsi alle esigenze in materia di sicurezza applicabili agli impianti di rete critici. Al fine di agevolare loro il compito, si prevede una procedura sotto la re­ sponsabilità dei fabbricanti, i quali valutano la conformità dei loro impianti rispetto alle esigenze in materia di sicurezza e redigono la documentazione tecnica compren­ dente, fra l’altro, un’analisi dei rischi relativi alla sicurezza.

La valutazione è effettuata in base a una metodologia riconosciuta a livello internazio­ nale, in particolare a livello europeo: il pacchetto di strumenti dell’UE (5G toolbox) può fungere da riferimento (cpv. 2). Il fabbricante sottopone la documentazione tecnica a un organismo di valutazione della conformità riconosciuto. Sulla base della documen­ tazione tecnica ricevuta e della sua analisi, l’organismo di valutazione determinerà se la conformità alle esigenze in materia di sicurezza è stata provata e consegnerà, all’occorrenza, un certificato di conformità a complemento della documentazione tec­ nica. Questa procedura, simile a quella di un audit, si basa su un’altra già applicata agli impianti di radiocomunicazione e che ha dato buoni risultati. La valutazione deve avvenire prima che l’impianto sia immesso sul mercato.

Ai sensi del capoverso 3 l’UFCOM può sancire nell’OOIT, tenendo conto della prassi internazionale, quali sono le infrastrutture di rete critiche, nonché definire i requisiti specifici sulla base delle norme e della prassi internazionale riconosciute. L’allegato 8 dell’OOIT elenca quindi le infrastrutture di rete critiche che richiedono una valutazione

della conformità in materia di sicurezza. La delega di competenze prevista dall’arti­ colo 48a capoverso 2 LTC in materia di infrastrutture consente al Consiglio federale di applicare, o meglio di estendere, questo regime dell’OIT e dell’OOIT alle infrastrutture che non costituiscono in senso stretto degli impianti di telecomunicazione, come i software, le apparecchiature elettriche o ancora i sistemi operativi e altri sistemi di ge­ stione della sicurezza informatica (cfr. allegato 8 dell’OOIT).

Art. 28c Valutazione della conformità e documentazione tecnica

Il fabbricante che procede a una valutazione della conformità ai sensi dell’articolo 28b capoverso 1 OIT è tenuto a conservare la documentazione tecnica per un periodo di dieci anni e deve poterla presentare all’UFCOM, su richiesta. Questa durata standard per l’immissione sul mercato di prodotti industriali deriva dal nuovo quadro normativo dell’UE («New Legislative Framework» NLF). La documentazione tecnica dimostra che il prodotto rispetta i requisiti essenziali posti dalla legislazione. Durante quei dieci anni, le autorità possono chiedere al fabbricante di dimostrare che il prodotto era con­ forme al momento della sua immissione sul mercato. Le autorità di vigilanza del mer­ cato possono esigere l’accesso alla documentazione anche in caso di ispezione, dopo un incidente o in presenza di dubbi sulla conformità di un prodotto (cpv. 1).

Poiché questo settore non è armonizzato a livello internazionale e, in particolare, ogni Stato membro dell’UE applica procedure diverse, l’UFCOM può riconoscere altre pro­ cedure come equivalenti. Può trattarsi, tra l’altro, di procedure basate su schemi di certificazione che garantiscono un livello di sicurezza equivalente a quello richiesto dalla legislazione svizzera. L’obiettivo è evitare di sottoporre un impianto critico a un’ulteriore procedura di valutazione della conformità quando questo è già «sicuro» (cpv. 2).

La persona responsabile dell’immissione sul mercato deve consegnare una copia della documentazione tecnica all’operatore della rete di telecomunicazione in cui l’im­ pianto critico è integrato (cpv. 3).

Art. 44b Disposizione transitoria della modifica del …

Un termine transitorio di due anni lascia il tempo ai fabbricanti di attuare la valuta­ zione della conformità degli impianti di rete critici. A livello degli impianti di rete, occor­ rerà procedere a una valutazione della conformità per gli impianti già integrati nelle reti soltanto se questi sono ancora in commercio.

4.3 Ordinanza del 6 ottobre 1997 concernente gli elementi d’indirizzo nel set­

tore delle telecomunicazioni Art. 23 cpv. 2 lett. a e b Attribuzioni subordinate

Secondo le disposizioni vigenti, ogni titolare di una serie di numeri può a sua volta trasferire, e dunque attribuire, serie di numeri a fornitori registrati secondo l’articolo 4 LTC per la fornitura di un servizio di telecomunicazione. Sebbene tali attribuzioni su­ bordinate debbano essere comunicate all’UFCOM nell’ambito delle indagini annuali sull’utilizzo delle frequenze, nell’ambito della vigilanza in materia di telecomunicazioni e anche del perseguimento penale si è constatato che, in caso di attribuzioni multiple (a cascata), è talvolta difficile o impossibile risalire al titolare. Ciò è particolarmente vero quando si effettuano più livelli di attribuzioni subordinate in Svizzera e all’estero.

Da parte dell’UFCOM, comprendere e tenere traccia di queste attribuzioni subordinate a cascata, nonché garantire il rispetto della legge da parte dei fornitori, è spesso estre­ mamente dispendioso. Sovente, la corrispondenza con imprese estere è assai impe­ gnativa e raramente conduce ai risultati sperati. Nei confronti di queste aziende, che possono avere sede in qualsiasi parte del mondo, è quasi impossibile far rispettare le disposizioni di legge in materia di telecomunicazioni anche se, utilizzando numeri sviz­ zeri, esse sono soggette al diritto svizzero in materia di telecomunicazioni. In futuro sarà possibile solo un’attribuzione subordinata a un unico livello da parte del titolare della serie di numeri a un unico altro fornitore (con sede in Svizzera o all’estero), in modo da garantire in ogni momento l’identificazione dell’attuale titolare.

Art. 47, al. 2, 4 e 5 Attribuzione di un MNC

Capoverso 2:

L’Unione internazionale delle ferrovie (Union Internationale des Chemins de fer; UIC) promuove la collaborazione e lo scambio fra le società ferroviarie in tutto il mondo. Uno dei suoi obiettivi è il miglioramento della sicurezza e dell’efficienza del traffico ferrovia­ rio. L’Unione si impegna inoltre in favore dello sviluppo di standard tecnici e innovazioni che contribuiscono alla modernizzazione dell’infrastruttura e delle prestazioni. Attra­ verso la promozione delle innovazioni, l’UIC favorisce l’integrazione e l’interconnes­ sione della rete ferroviaria a livello mondiale.

Al fine di garantire una comunicazione sicura e affidabile tra i treni e le centrali opera­ tive, negli anni ‘90 l’UIC ha creato, in collaborazione con diverse compagnie ferroviarie europee e operatori di telefonia mobile, un sistema di comunicazione radio speciale per il settore ferroviario denominato «Global System for Mobile Communications – Rail(way) (GSM-R o GSM-Rail)». Questo sistema di comunicazione radio si basa sulla tecnologia GSM (2G) prevalente all’epoca, che è stata adattata alle esigenze specifiche della comunicazione ferroviaria e alle particolari esigenze del trasporto ferroviario. GSM-R consente la trasmissione di voce e dati e contribuisce all’efficienza e alla sicu­ rezza del trasporto ferroviario. È utilizzato in molti Paesi in tutto il mondo per ottimizzare i processi operativi e garantire l’interoperabilità tra i diversi sistemi ferroviari nazionali.

Lo sviluppo tecnologico di sistemi di comunicazione radio più efficienti per le applica­ zioni ferroviarie, la digitalizzazione, i requisiti sempre più elevati in materia di sicurezza, velocità di trasmissione e scambio di dati tra gli attori coinvolti nel trasporto ferroviario, nonché la disattivazione a medio termine della tecnologia GSM (2G), hanno spinto l’UIC a sostituire il sistema di comunicazione radio GSM-R con un nuovo sistema di comunicazione radio denominato Future Railway Mobile Communication System (FRMCS), che supporta la tecnologia mobile 5G.

FRMCS dovrebbe essere pienamente operativo entro il 2035 e, fino ad allora, funzio­ nerà in parallelo con GSM-R, il quale sarà gradualmente messo fuori servizio. L’arti­ colo 47 capoverso 2 va quindi adattato, e l’acronimo FRMCS va aggiunto in quanto definisce la nuova tecnologia di radiocomunicazione mobile per la rete ferroviaria.

Capoverso 4 e 5:

Nella gestione della loro rete, gli operatori di rete mobile hanno adottato e utilizzano da diversi anni un protocollo di segnalazione al fine di istradare messaggi che consentano lo scambio di varie informazioni (dati d’identificazione, dati di destinazione, messaggi SMS, ecc.) fra i diversi operatori mobili. Questo protocollo di segnalazione è stato

ideato senza dispositivi di sicurezza poiché presumeva l’affidabilità degli operatori di rete. Tuttavia, le sue vulnerabilità intrinseche consentono oggigiorno ad attori malinten­ zionati con accesso alle reti di segnalazione di sfruttare alcune falle.

Sensibilizzata da avvenimenti rilevati dalla stampa specialistica24 e causati da operatori mobili malintenzionati che utilizzano la rete di segnalazione a fini fraudolenti, la GSM Association ha redatto dei «Code of Conduct»25 che contengono principi di buona con­ dotta e il cui obiettivo primario è garantire la sicurezza, l’affidabilità e la protezione dei dati trasmessi nella rete mobile. Aderendo a tali codici, gli operatori di rete mobile si impegnano a mettere in atto politiche conformi ai loro principi, a collaborare per raffor­ zare la fiducia all’interno del settore mobile mondiale e a utilizzare le risorse tecniche (come i GT, v. cap. 4.1) unicamente ai fini previsti, senza facilitare attività illecite.

In tali circostanze, il capoverso 4 prevede che i fornitori di servizi di telecomunicazione e gli operatori di una rete di telecomunicazione di cui ai capoversi 1 e 1bis debbano adottare le misure tecniche, organizzative e operative necessarie contro l’uso improprio dei MNC. Essi si attengono alle norme, alle raccomandazioni e alle prassi internazionali riconosciute in materia, il che implica che devono adottare i codici di condotta della GSMA (cpv. 4; anche art. 96fbis cpv 6 OST). L’UFCOM può emanare le prescrizioni tecniche e amministrative necessarie, in particolare, se del caso, stabilire le raccoman­ dazioni e le prassi internazionali che si impongono (cpv. 5).

Art. 47g Global titles

Capoverso 1:

Un GT serve a istradare messaggi di segnalazione utilizzati nel protocollo di segnala­ zione, garantendo così uno scambio di informazioni fra i vari nodi delle reti mobili. Ciò consente di istradare informazioni relative a chiamate, SMS, dati di identificazione, ecc. da un operatore all’altro. Questo indirizzo di rete, combinato con un Mobile Network Code (MNC) attribuito a un operatore di rete mobile, consente di identificare in maniera univoca una rete mobile in un determinato Paese e di istradare messaggi informativi attraverso la rete di segnalazione delle reti mobili. Ciò serve a gestire l’autenticazione, la localizzazione, la fatturazione e il roaming fra reti mobili di un operatore cui appar­ tiene un abbonato o un dispositivo mobile.

I GT sono derivati dei numeri E.164 attribuiti dall’UFCOM agli operatori mobili. Di con­ seguenza, soltanto i fornitori di servizi di telecomunicazione che detengono elementi d’indirizzo (serie di numeri E.164 conformemente all’art. 20 ORAT) destinati ai servizi mobili possono creare dei GT derivati da tali risorse per usarli nelle reti di segnalazione e di interconnessione.

Capoverso 2:

Il GT Leasing è una pratica attraverso la quale un operatore mobile affitta l’uso dei suoi GT a terzi (ad es. aggregatori SMS o imprese), consentendo a questi ultimi di trasmet­ tere i loro messaggi di segnalazione senza possedere direttamente un loro GT ed evi­ tando investimenti in infrastrutture complete. Tale pratica comporta tuttavia dei rischi,

https://www.lighthousereports.com/investigation/ghost-in-the-network/. https://www.gsma.com/newsroom/wp-content/uploads//FS.52-v1.0.pdf.

in particolare quanto a un uso potenzialmente illecito o fraudolento dei GT affittati, ciò che talvolta espone dati sensibili e nuoce alla reputazione dell’operatore titolare iniziale.

Un uso inappropriato di GT affittati consente in particolare a chi li prende in affitto di intercettare o leggere SMS, compresi i codici di autenticazione monouso (One Time Password, OTP), sfruttando falle di sicurezza nel protocollo di segnalazione, nonché di seguire e localizzare abbonati sfruttando le richieste di localizzazione a fini di sorve­ glianza, di dissimulare l’origine dei messaggi facilitando la frode o il furto d’identità e di dissimulare la propria vera identità sulla rete di segnalazione. Inchieste hanno rivelato che un uso improprio di GT da parte di malintenzionati è stato correlato a crimini gravi quali assassinii mirati o sorveglianza illegale: regolamentarne l’uso contribuisce per­ tanto alla lotta contro tali attività.

Il capoverso 2 ha dunque l’obiettivo di vietare la pratica del GT leasing al fine di ridurre il più possibile lo sfruttamento delle falle del sistema di segnalazione delle reti mobili che consentono a truffatori e attori malintenzionati di intercettare o deviare messaggi e chiamate, o di tracciare la localizzazione degli utenti. Gli operatori interessati dalla pro­ blematica non sono quindi autorizzati ad affittare a terzi dei GT che derivano dai propri numeri E.164. In casi eccezionali, chiaramente documentati, e a condizione che tutte le misure di sicurezza sull’uso dei GT siano garantite, che non esistano alternative e che l’utilizzo dei GT affittati sia conforme alle raccomandazioni della GSMA, l’UFCOM può prevedere deroghe e fissare regole specifiche relative al modo in cui i GT affittati devono essere usati.

Queste misure riducono in maniera significativa i rischi in materia di sicurezza per le reti mobili, limitando l’accesso non controllato alla rete mobile mondiale, ciò che riduce le possibilità di attività fraudolente come l’intercettazione di comunicazioni, la sorve­ glianza illegale e l’invio di spam. Garantiscono una migliore trasparenza e tracciabilità del traffico di segnalazione, facilitando l’individuazione e la lotta contro gli abusi con­ statati ad oggi e legati alla pratica del GT leasing. Riducono altresì i rischi per la repu­ tazione degli operatori mobili, i quali evitano di essere associati ad usi fraudolenti o illegali delle loro risorse. In sintesi, limitare il leasing dei GT consente di combattere le frodi, di accrescere la sicurezza e preservare l’integrità e la fiducia nell’ecosistema mo­ bile nazionale e internazionale.

Art. 56d Disposizioni transitorie relative alla modifica del …

Capoverso 1:

Il capoverso 1 delle disposizioni transitorie concede ai fornitori di servizi di telecomuni­ cazione un termine di due anni, dall’entrata in vigore, per poter annullare attribuzioni subordinate su più livelli. I fornitori che hanno ricevuto numeri dal titolare della serie di numeri e che, a loro volta, hanno attribuito tali numeri in maniera subordinata, dispon­ gono quindi di questo lasso di tempo per rescindere i contratti esistenti con i loro ulte­ riori partner e per annullare le attribuzioni subordinate effettuate. A tal fine, i numeri devono essere trasferiti al titolare della serie di numeri o al fornitore del primo livello di attribuzione subordinata. Ai clienti che utilizzano i numeri è così concesso tempo a sufficienza per scegliere un’offerta di uno di questi due fornitori (titolare della serie di numeri o fornitore di primo livello) o per rinunciare completamente a tale utilizzo.

Capoverso 2:

I fornitori che, prima dell’entrata in vigore del presente regolamento, hanno affittato GT a terzi e non hanno ottenuto un’autorizzazione dall’UFCOM, sono tenuti a rescindere il contratto di locazione entro 12 mesi dall’entrata in vigore dell’ordinanza in oggetto, op­ pure alla prima data di disdetta prevista dal contratto, purché tale data sia stata con­ cordata prima del 27 maggio 2026. Le richieste di deroga ai sensi dell’articolo 47g ca­ poverso 2 ORAT devono essere presentate entro 3 mesi dall’entrata in vigore del re­ golamento in questione. In questo modo, i fornitori dispongono di tempo sufficiente per disdire i contratti o per presentare una richiesta ai sensi dell’articolo 47g capoverso 2 ORAT.

Allegato Termini e abbreviazioni

Il capitolo «Termini e abbreviazioni» dell’ORAT è completato dai termini e dalle abbre­ viazioni seguenti:

- FRMCS (Future Railway Mobile Communication System): futuro sistema di co­ municazione mobile ferroviaria per le reti ferroviarie europee CUG Interlock.

- Global Title: indirizzo di rete utilizzato dal protocollo di segnalazione per istra­ dare i messaggi di segnalazione (SMS, chiamate, altri servizi mobili) fra diversi operatori.

5 Ripercussioni

5.1 Ripercussioni per la Confederazione

L’attuazione delle misure previste per aumentare la sicurezza della rete e per la protezione dalle minacce informatiche comporterà per la Confederazione un onere aggiuntivo di personale o finanziario che può essere gestito con le risorse esistenti. Il lavoro richiesto dalle modifiche e dalle innovazioni proposte può quindi essere sostenuto dal personale e dalle risorse finanziarie presenti all’UFCOM. Per la fase iniziale non sono previsti costi specifici. Per eventuali attività di vigilanza ricorrenti si prevedono costi annui fino a 270 000 franchi.

5.2 Ripercussioni per i Cantoni e i Comuni, per le città, gli agglomerati e le

regioni di montagna Il progetto non comporta alcuna ripercussione diretta sul personale e sulle finanze per i Cantoni, i Comuni, le città, gli agglomerati e le regioni di montagna.

5.3 Ripercussioni sull’economia

Le modifiche previste delle ordinanze avranno effetti economici che vanno oltre l'utilità della politica di sicurezza. Il miglioramento delle misure tecniche e organizzative nel settore delle tecnologie dell’informazione e della comunicazione aumenterà la resilienza delle infrastrutture digitali critiche. Una maggiore sicurezza dei sistemi riduce il rischio di interruzioni, attacchi informatici o guasti tecnici, rafforzando la continuità dei servizi centrali dello Stato e dell’economia privata. Ciò si ottiene soprattutto attraverso standard di sicurezza moderni e responsabilità chiare per l’esercizio delle infrastrutture informatiche critiche. Servizi digitali stabili hanno un effetto positivo sull’attrattiva geografica e creano condizioni quadro affidabili per le imprese che dipendono da infrastrutture sicure di dati e comunicazione. Allo stesso tempo, il miglioramento della resilienza promuove la fiducia della popolazione, dell’economia e dei partner

internazionali nei servizi digitali dello Stato, riducendo i costi di transazione e aumentando l’efficienza.

Tuttavia, è difficile calcolare o stimare con precisione i costi della regolamentazione di cui all’articolo 5 LSgrI che le aziende interessate dovranno sostenere a causa dei nuovi requisiti di sicurezza nel settore della radiocomunicazione mobile. Ciò è dovuto in particolare al fatto che gli operatori sono organizzati in modo molto diverso e hanno già in parte attuato molte delle misure di sicurezza proposte. Inoltre, i fattori tecnici e organizzativi si influenzano a vicenda, rendendo ancora più difficile una valutazione uniforme. Per determinare con precisione i costi sarebbe necessario interrogare individualmente tutte le imprese. Tale approccio comporterebbe un onere considerevole sia per le imprese che per le autorità e, in ultima analisi, porterebbe a un gran numero di valutazioni di casi individuali. Per una simile procedura, non sono disponibili né il tempo né le risorse di personale necessarie. Le misure relative ai NOC e SOC avranno molto probabilmente l’impatto maggiore sui costi aggiuntivi di regolamentazione. In base a un’ipotesi approssimativa, si prevedono costi fino a 2 milioni di franchi all’anno e per fornitore di radiocomunicazione mobile. Si tratta principalmente di costi per il personale. Sebbene le imprese debbano tutte far fronte agli stessi requisiti e, a seconda della situazione attuale, a costi aggiuntivi, si può ipotizzare che questi avranno un effetto positivo sugli impiegati perché alcuni posti di lavoro saranno trasferiti in Svizzera.

I nuovi requisiti per gli operatori di reti mobili rendono necessario rivedere le strategie di sicurezza e, in alcuni casi, ampliarle notevolmente. Soprattutto in vista di uno sviluppo verso vere e proprie reti centrali 5G, è molto probabile che occorreranno ulteriori investimenti. Questi possono comportare costi aggiuntivi a breve termine, ma accelereranno il cambiamento tecnologico a medio termine, creando incentivi per dismettere più rapidamente tecnologie obsolete e costose come il 3G. In termini economici, tali fasi di modernizzazione contribuiscono a contenere sul lungo periodo i costi operativi e di manutenzione e aumentano l’innovazione e la competitività dell’intero settore.

In alcuni casi, la parità di trattamento dei concessionari di radiocomunicazione mobile e i full MVNO può compromettere il modello commerciale dei full MVNO. Tuttavia, poiché tale parità crea condizioni concorrenziali eque e allo stesso tempo riduce i rischi, risulta giustificata sulla base di considerazioni riguardanti i costi e i benefici a livello macroeconomico. In definitiva, vengono eliminate le distorsioni di mercato esistenti. Occorre evitare che, rinunciando a misure di sicurezza, i fornitori ottengano vantaggi concorrenziali. Ciò rafforza la fiducia dei consumatori, che hanno bisogno di servizi sicuri indipendentemente dal fornitore. Un mercato delle telecomunicazioni funzionante e trasparente è una base imprescindibile per la stabilità economica e la fornitura affidabile di servizi digitali critici, soprattutto alla luce della crescente dipendenza dalle catene di creazione del valore digitali.

L’obbligo di effettuare una valutazione della conformità per gli impianti di rete critici si applica ai fabbricanti (per lo più internazionali), secondo le stime si tratta al massimo di un numero a due cifre, e comporterà per loro maggiori oneri. Il tempo aggiuntivo richiesto è difficile da stimare ma per un grande fabbricante che offre molti prodotti è alquanto probabile che corrisponderà al massimo a un posto a tempo pieno. Le disposizioni del presente avamprogetto si orientano allo sviluppo delle condizioni quadro internazionali, il che significa che i fabbricanti devono comunque sostenere gran parte di questi costi aggiuntivi. Inoltre, per i fornitori di radiocomunicazione mobile sorgono costi aggiuntivi perché i progetti per l’implementazione della rete

richiederanno più tempo. Allo stesso tempo, controlli di sicurezza sistematici aumentano la probabilità che nel lungo periodo le infrastrutture possano funzionare senza gravi interruzioni. Una maggiore affidabilità riduce i rischi macroeconomici, come i tempi di interruzione della produzione, le perdite di dati o problemi di fornitura, e contribuisce a stabilizzare i processi economici interconnessi. Se durante i controlli si scoprono gravi compromissioni, possono sorgere ulteriori costi; allo stesso tempo, si impedisce che sistemi non sicuri siano messi in esercizio rischiando di causare danni economici molto più gravi.

Nel complesso, le misure previste rafforzano la sovranità digitale della Svizzera, promuovono condizioni di mercato stabili ed eque e riducono i rischi legati alla sicurezza per l’economia e la società. Gli effetti economici si traducono in una maggiore sicurezza, una migliore efficienza e un rafforzamento a lungo termine della piazza economica svizzera.

5.4 Ripercussioni sull’economia

Le nuove norme proposte miglioreranno la protezione dei dati dei clienti finali. Il progetto porta anche a una maggiore affidabilità degli impianti di telecomunicazione. Le ripercussioni per la società, in particolare per gli abbonati alla rete mobile, vanno viste in modo positivo. Ad esempio, l’utilizzo del GT leasing limitato agli operatori di radiocomunicazione mobile o agli operatori di una rete di telecomunicazione ridurrà l’utilizzo abusivo come gli invii di massa di spam, lo smishing o il traffico di SMS fraudolento, che sfruttano la reputazione del global title legittimo. In caso di abuso, sarebbe quindi più facile identificare l’operatore responsabile e adottare misure volte a limitare o addirittura sospendere le attività delle entità coinvolte, allo scopo di proteggere gli abbonati o i consumatori.

Con la modifica dell’articolo, sul Indicazione del numero chiamante, i consumatori saranno maggiormente protetti dalle chiamate fraudolente, disoneste e fastidiose. Per contro, la nuova regolamentazione riguardante l’attribuzione subordinata potrebbe costringere i consumatori a cambiare operatore o a far trasferire il proprio numero presso un altro operatore.

5.5 Altre ripercussioni

Non si prevedono ripercussioni sull’ambiente o altre ripercussioni.

6 Aspetti giuridici

6.1 Delega di competenze legislative e forma dell’atto

Con le presenti disposizioni viene attuato in particolare l’articolo 48a capoverso 2 lettere a e b nonché l’articolo 28 capoverso 6 lettere a e d LTC. Al fine di garantire la protezione dai pericoli, prevenire i danni e ridurre i rischi, le presenti disposizioni conferiscono al Consiglio federale la possibilità di emanare disposizioni sulla sicurezza delle informazioni, delle infrastrutture e dei servizi di telecomunicazione nonché degli elementi d’indirizzo, e anche disposizioni sulla disponibilità, l’esercizio, la garanzia di infrastrutture ridondanti, la segnalazione delle interferenze, la tracciabilità dei processi e la deviazione o l’impedimento delle comunicazioni, nonché la soppressione delle informazioni secondo il capoverso 1. Quest’ultima disposizione di legge dà al Consiglio federale un margine di manovra relativamente ampio nei settori in cui può legiferare.

Le disposizioni attuali si basano inoltre sulle deleghe di competenza previste dagli articoli 31 capoverso 1, 32, 32a e 33 capoverso 2 LTC. Su questa base, il Consiglio federale può emanare norme sull’importazione, la fornitura, l’immissione sul mercato e la messa in servizio degli impianti di telecomunicazione, in particolare per quanto riguarda i requisiti essenziali in termini di sicurezza tecnica e di valutazione della conformità.

Il progetto contiene disposizioni normative che devono essere emanate sotto forma di ordinanza del Consiglio federale conformemente all’articolo 182 della Costituzione federale della Confederazione svizzera del 18 aprile 199926 (Cost.), purché vi sia una base costituzionale o legale che lo consenta. Con queste disposizioni di ordinanza, adeguate nel presente progetto di revisione, il Consiglio federale si avvale della sua facoltà di emanare disposizioni nell’ambito della sicurezza degli impianti di telecomunicazione nonché della disponibilità e dell’esercizio di infrastrutture di telecomunicazione rilevanti per la sicurezza. La possibilità per il Consiglio federale di delegare all’UFCOM il compito di emanare le necessarie prescrizioni tecniche e amministrative è prevista dall’articolo 62 capoverso 2 LTC (cfr. anche art. 105 cpv. 1 OST e art. 41 cpv. 1 OIT); in questo ambito, l’UFCOM deve tenere conto delle norme applicabili a livello internazionale.

6.2 Compatibilità con gli impegni internazionali della Svizzera

Il progetto non crea nessuna incompatibilità con gli impegni internazionali della Svizzera. Soprattutto le misure previste per gli impianti di rete non rientrano nell’accordo tra la Svizzera e l’UE sul reciproco riconoscimento in materia di valutazione della conformità27 e pertanto non costituiscono ostacoli tecnici al commercio. Il progetto è quindi compatibile con gli impegni internazionali della Svizzera risultanti dall’MRA Svizzera-UE.

L’obbligo di esercitare in Svizzera alcune infrastrutture o centri operativi ai sensi dell’articolo 96f capoverso 2 OST per scopi di sicurezza tecnica è ammissibile ai sensi degli articoli XIV lettera a (protezione dell’ordine pubblico), XIV lettera c iii e XIVbis (sicurezza) dell’Accordo generale sul commercio di servizi AGCS (cfr. gli sviluppi in materia all’art. 96f cpv. 2). Lo stesso vale per i nuovi requisiti di sicurezza relativi agli impianti di telecomunicazione in conformità con l’articolo XIV lettera a numero i (sicurezza) dell’allegato 1A dell’Accordo che istituisce l’OMC (Accordo generale sulle tariffe doganali e sul commercio GATT) e con gli articoli 2.10, 5.4 e 5.7 (sicurezza nazionale) dell’allegato 1A.6 dell’Accordo che istituisce l’OMC (Accordo sugli ostacoli tecnici al commercio TBT).

6.3 Subordinazione al freno alle spese

Il progetto non contiene né nuove disposizioni in materia di sussidi né nuovi crediti d’impegno o limiti di spesa. Il progetto non sottostà pertanto al freno alle spese (art. 159 cpv. 3 lett. b Cost.).

6.4 Rispetto del principio di sussidiarietà e del principio dell’equivalenza fiscale Il progetto non incide sul principio di sussidiarietà e dell’equivalenza fiscale.

26 RS 101 27 RS 0.946.526.81

6.5 Protezione dei dati

Le misure previste sono state sottoposte a esami preliminari dei rischi in materia di protezione dei dati. L’entità del previsto trattamento dei dati non richiede un’ulteriore valutazione d’impatto sulla protezione dei dati.

6.6 Lista delle abbreviazioni

ComCom Commissione federale delle comunicazioni CSN Ciberstrategia nazionale DATEC Dipartimento federale dell’ambiente, dei trasporti, dell’energia e delle comunicazioni ENISA European Network and Information Security Agency Full MVNO Full Mobile Virual Network Operator (operatore virtuale di rete mobile completo) GSMA GSM Association GT Global Title MNC Mobile Network Code PTA Prescrizioni tecniche e amministrative RAN Radio Acess Network UE Unione europea UFCOM Ufficio federale delle comunicazioni UFCS Ufficio federale della cibersicurezza UFG Ufficio federale di giustizia

6.7 Bibliografia

Consiglio federale (2023a): Ciberstrategia nazionale (CSN), https://www.ncsc.ad­ min.ch/dam/ncsc/it/dokumente/strategie/cyberstrategie-ncs/Nationale-Cyberstrategie- IT.pdf, 04.2023.

Consiglio federale (2023b): Strategia nazionale per la protezione delle infrastrutture critiche, https://www.babs.admin.ch/it/protezione-delle-infrastrutture-critiche, 16.06.2023.

NCS (2023): Obiettivo: Servizi e infrastrutture digitali sicuri e disponibili, https://www.ncsc.admin.ch/ncsc/it/home/strategie/ziele-massnahmen/ncs-ziel-si­ chere-verfuegbare-digitale-dl-infrastruktur.html, ultima consultazione il 01.05.2026.

UE (2020): Cybersecurity of 5G networks EU Toolbox of risk mitigating measures; Cy­ bersecurity of 5G networks - EU Toolbox of risk mitigating measures | Shaping Eu­ rope’s digital future, 23.01.2020