Sintesi normativa
- Termine perentorio di 24 ore: Qualsiasi cyberattacco con potenziale di danno significativo deve essere notificato all'UFCS entro 24 ore dall'avvenuta rilevazione.
- Settori interessati: Energia, acquedotti, strutture ospedaliere, autorità cantonali e comunali, telecomunicazioni, banche, assicurazioni e fornitori strategici di servizi digitali.
- Sanzioni pecuniarie: L'inadempimento doloso dell'obbligo di segnalazione comporta multe fino a CHF 100'000 (art. 74f LSI).
- Diligenza preventiva: L'obbligo presuppone la capacità tecnica di rilevare le intrusioni e di mappare costantemente la propria superficie d'attacco.
1. Il quadro normativo della LSI e il ruolo dell'UFCS
L'aumento vertiginoso degli attacchi ransomware contro ospedali e municipalità ha spinto il Consiglio federale e il Parlamento a rafforzare la sicurezza cibernetica nazionale. L'art. 74b della LSI affida all'Ufficio federale della cibersicurezza (UFCS, dipendente dal DDPS) il compito di fungere da punto di contatto nazionale per l'allerta precoce.
2. Quali incidenti devono essere obbligatoriamente notificati?
La notifica è obbligatoria in presenza di almeno una delle seguenti condizioni:
- Compromissione dell'accessibilità o del funzionamento di servizi essenziali per la popolazione o l'economia.
- Perdita, sottrazione o alterazione su vasta scala di dati critici o riservati.
- Richiesta di riscatto o ricatto da parte di gruppi ransomware.
- Attacchi prolungati rimasti inosservati con presa di controllo dei privilegi di rete.
| Aspetto | Obbligo LSI (UFCS) | Obbligo nLPD (IFPDT) |
|---|---|---|
| Obiettivo di legge | Tutela delle infrastrutture critiche e sicurezza nazionale | Protezione dei diritti fondamentali e dei dati personali dei singoli |
| Tempistica | Entro 24 ore dalla scoperta | Al più presto (orientativamente entro 72 ore) |
| Autorità destinataria | Ufficio federale della cibersicurezza (UFCS) | Incaricato federale della protezione dei dati (IFPDT) |
| Sanzioni applicabili | Multa fino a CHF 100'000 (art. 74f LSI) | Multa penale fino a CHF 250'000 (art. 60 nLPD a carico dei responsabili) |
