La Svizzera verso l’obbligo di notifica dei cyber-attacchi

Finora i compiti di tutela dai rischi informatici sono stati adempiuti dalla Confederazione in base ai mandati esistenti, ma serve una Legge…

Nella seduta del 12 gennaio 2022, il Consiglio Federale ha avviato la procedura di consultazione concernente l’introduzione dell’obbligo di notifica dei cyber-attacchi per i gestori di infrastrutture critiche.
Il progetto pone le basi legali necessarie per l’obbligo di notifica e definisce i compiti del Centro Nazionale per la Cybersicurezza (NCSC), che fungerà da servizio centrale per la notifica dei cyber-attacchi.

Legge Federale sulla Sicurezza delle Informazioni in seno alla Confederazione
Procedura di consultazione relativa alla modifica della Legge Federale del 18 dicembre 2020 sulla Sicurezza delle Informazioni in seno alla Confederazione (Legge sulla sicurezza delle informazioni, LSIn)
Liste der Vernehmlassungsadressaten – Liste des destinataires – Elenco dei destinatari
Lettera ai Cantoni del Consiglio Federale 
Lettera alle organizzazioni del Consiglio Federale 

Ogni settimana 300 segnalazioni di sortite riuscite o sventate

I cyber-attacchi sono diventati una seria minaccia per la sicurezza e l’economia della Svizzera. Imprese e autorità sono oggetto di attacchi ogni giorno. In media ogni settimana giungono al NCSC oltre 300 segnalazioni di cyber-attacchi, tentati o riusciti.
Le segnalazioni provenienti da imprese, autorità e privati avvengono su base volontaria e permettono alle competenti autorità federali di valutare le minacce e individuare tempestivamente il tipo di attacco.
Il Governo svizzero intende rafforzare il sistema di notifica obbligando i gestori di infrastrutture critiche a segnalare i cyber-attacchi al Centro Nazionale per la Cybersicurezza.
L’obbligo di notifica ha lo scopo di garantire a quest’ultimo la possibilità di avere un quadro della situazione più chiaro grazie alle informazioni complete ricevute e informare tempestivamente altri gestori di infrastrutture critiche.

Che cos’è lo “spear phishing” e perché fa così tanta paura?

Responsabilità certa per le infrastrutture critiche e per i reati

L’obbligo di notifica per i gestori di infrastrutture critiche deve applicarsi ai cyber-attacchi che possono arrecare notevoli danni, in particolare a quelli che rischiano di compromettere il funzionamento delle infrastrutture critiche o connessi al reato di estorsione, minaccia o coazione.
La funzione di servizio centrale di notifica verrebbe assunta dal NCSC. Per semplificare la notifica il più possibile, il Centro Nazionale per la Cybersicurezza metterà a disposizione un modulo elettronico che permetterà, se lo si desidera, di trasmettere la notifica direttamente ad altri servizi.

Proteggiamo il nostro sito in WordPress dagli hacker

Vincolo di sostegno della Confederazione in caso di pirateria

Il progetto non soltanto obbliga le imprese a collaborare nella protezione dai cyber-attacchi, ma definisce anche i compiti della Confederazione Elvetica a sostegno dell’economia e della popolazione.
A tal fine, il NCSC è incaricato di avvertire il pubblico riguardo le cyberminacce e di sensibilizzarlo sui rischi.
Inoltre, deve ricevere le notifiche di cyberincidenti e vulnerabilità, elaborare analisi tecniche e fornire raccomandazioni sul modo di procedere alle persone che notificano incidenti.
Il Centro Nazionale per la Cybersicurezza sostiene i gestori di infrastrutture critiche (incluse le autorità cantonali e comunali) nella gestione di cyberincidenti.
Questo sostegno è inteso come un servizio di pronto intervento e non deve entrare in concorrenza con altri servizi disponibili sul mercato.
Finora i compiti di protezione dai cyber-rischi sono stati adempiuti dalla Confederazione sulla base dei mandati esistenti, ma non erano ancora stati sanciti a livello di legge.
Con l’introduzione dell’obbligo di notifica nella Legge sulla Sicurezza delle informazioni, ora si devono definire nella stessa LSIn anche i compiti del NCSC, in particolare la sua competenza in qualità di servizio di notifica.
La procedura di consultazione terminerà il 14 aprile 2022.

Attacco hacker Lazio: cosa insegna a enti pubblici e aziende