Politiche pubbliche
Punti salienti dell'obbligo di segnalazione di un attacco informatico
Les cyber-attaques sont aujourd'hui une réalité largement répandue. Les prestataires de services pour les personnes ayant besoin de soutien traitent souvent des données sensibles, en général sous forme électronique. Les institutions médicalisées comptent au nombre des infrastructures critiques, pour lesquelles s'applique une obligation de signaler toute cyberattaque. En voici les points essentiels.
Un quadro di riferimento e un obbligo in tempi di aumento del rischio informatico
La legge federale sulla sicurezza delle informazioni impone un obbligo di segnalare gli attacchi informatici alle infrastrutture critiche. Le «infrastrutture critiche» si riferiscono a sistemi di servizi e forniture essenziali per l'economia e il sostentamento delle persone.
Perché un obbligo di segnalare?
Il scopo dell’obbligo di segnalazioni è di rafforzare la sicurezza informatica in Svizzera:
- Consenti all'Ufficio federale della cibersicurezza (UFCS) di identificare per tempo i modi di attacco contro le infrastrutture critiche e di avvertire le aziende e gli enti amministrativi che potrebbero essere colpiti.
- Le segnalazioni consentono, inoltre, all'UFSC di raccomandare alle aziende e agli enti amministrativi misure di prevenzione e protezione adeguate.
Alcuni fornitori di servizi per le persone bisognose di assistenza fanno parte delle infrastrutture critiche
L'obbligo di segnalazioni si applica agli istituti per persone bisognose di assistenza quando:
- sono stati inclusi dalle autorità cantonali nell'elenco degli ospedali e altri istituti medichi: come tali fanno parte delle infrastrutture critiche della Svizzera;
- se sono considerati, in base al diritto cantonale, come organi esecutivi delle autorità, ad esempio perché hanno firmato un contratto di prestazioni con le autorità cantonali.
L’obbligo di segnalamento in breve
I punti di forza dell'obbligo di segnalazioni degli attacchi informatici sono i seguenti:
- l'UFCS è l'organo a cui dovranno essere segnalati gli attacchi informatici;
- la segnalazione deve avvenire entro 24 ore dalla scoperta dell'attacco informatico;
- con la segnalazione di un attacco informatico, l'azienda interessata ha diritto al supporto dell'UFCS nella gestione dell'incidente;
- la segnalazione può essere effettuata per via elettronica attraverso il sito web dell'UFCS;
- gli incidenti potranno non essere segnalati se riguardano solo malfunzionamenti minori.
Piattaforma ad hoc per uno scambio di informazioni sicuro
Gli istituti soggetti all'obbligo di segnalamento hanno inoltre accesso a una piattaforma elettronica creata dall'UFSC per consentire uno scambio sicuro di informazioni. Per accedervi, gli istituti devono registrarsi. In questo modo possono accedere a informazioni aggiornate sulle minacce informatiche e segnalare rapidamente ed efficacemente qualsiasi attacco informatico.
Su richiesta, l'UFCS informa le aziende se sono soggette all'obbligo di segnalazione; in ogni caso, qualsiasi attacco potrà essere segnalato volontariamente.
