La presente ordinanza disciplina:

a.

i principi e l’elaborazione della Ciberstrategia nazionale (CSN);

b.

i compiti dell’Ufficio federale della cibersicurezza (UFCS);

c.

lo scambio di informazioni per la protezione dai ciberincidenti e dalle ciberminacce tra l’UFCS e le autorità nonché le organizzazioni;

d.

l’obbligo di segnalazione in caso di ciberattacchi.

¹ La CSN definisce i punti seguenti:

a.

il quadro strategico per la prevenzione nell’ambito della cibersicurezza;

b.

l’individuazione tempestiva delle ciberminacce;

c.

le possibilità di reazione e la resilienza in caso di incidenti;

d.

la lotta alla cibercriminalità;

e.

la cooperazione internazionale.

² L’UFCS elabora la CSN unitamente ai rappresentanti dei Cantoni, del settore economico, della società, dei gestori di infrastrutture critiche, del mondo scientifico, della società, dei dipartimenti e della Cancelleria federale.

Per avvisare autorità, organizzazioni e persone interessate nel caso di una ciberminaccia imminente o di un ciberattacco in corso, l’UFCS può richiedere ai gestori dei registri dei nomi di dominio che rientrano nella competenza della Confederazione i dati di contatto dei titolari dei nomi di dominio.

¹ L’UFCS gestisce un team nazionale di risposta alle emergenze informatiche; quest’ultimo svolge in particolare i seguenti compiti:

a.

sostegno nella gestione tecnica di ciberincidenti;

b.

analisi di questioni tecniche;

c.

identificazione e valutazione di ciberminacce.

² Per l’analisi dei ciberincidenti e delle ciberminacce, gestisce un’infrastruttura resiliente, indipendente dal resto dell’informatica della Confederazione.

¹ Se la richiesta di consulenza e sostegno in caso di ciberattacco supera le capacità dell’UFCS, quest’ultimo può stabilire priorità per quanto riguarda la consulenza e il sostegno in relazione ai tempi e all’entità.

² A tale riguardo tiene conto della sicurezza e dell’ordine pubblici, del benessere della popolazione e del funzionamento dell’economia.

¹ L’UFCS garantisce che le vulnerabilità a livello di hardware e di software siano comunicate in modo coordinato; al riguardo tiene conto degli standard riconosciuti a livello internazionale.

² Fissa al produttore dell’hardware o del software interessato un termine di 90 giorni per eliminare le vulnerabilità.

³ Può accorciare questo termine se una vulnerabilità:

a.

mette a rischio il corretto funzionamento di infrastrutture critiche;

b.

concerne sistemi molto diffusi; o

c.

è impiegata per un ciberattacco o può essere sfruttata in modo particolarmente semplice per un ciberattacco.

⁴ Può prolungare il termine fissato se l’eliminazione della vulnerabilità si rivela particolarmente complessa.

⁵ Può già informare i gestori di infrastrutture critiche prima che le vulnerabilità vengano comunicate o eliminate.

⁶ Informa immediatamente l’Ufficio federale delle comunicazioni (UFCOM) delle vulnerabilità rilevate negli impianti di telecomunicazione di cui all’articolo 3 lettera d della legge del 30 aprile 1997² sulle telecomunicazioni.

⁷ I capoversi 1–4 non si applicano alle vulnerabilità che l’UFCOM constata e segnala all’UFCS nell’ambito dei suoi controlli di vigilanza (art. 36–40 dell’ordinanza del 25 novembre 2015³ sugli impianti di telecomunicazione).

L’UFCS fornisce sostegno alle autorità della Confederazione e dei Cantoni nello sviluppo, nell’attuazione e nella verifica degli standard e delle regolamentazioni in materia di cibersicurezza.

¹ Hanno accesso al sistema di comunicazione dell’UFCS per lo scambio sicuro delle informazioni tutti i gestori di infrastrutture critiche assoggettati all’obbligo di segnalazione nonché le organizzazioni con sede in Svizzera e le autorità.

² L’UFCS mette a disposizione dei gestori di infrastrutture critiche le informazioni tecniche secondo l’articolo 74 capoverso 2 lettera b LSIn su ciberminacce e ciberincidenti attraverso sistemi di informazione per lo scambio automatico.

³ L’UFCS è responsabile della sicurezza del sistema di comunicazione come pure dei sistemi d’informazione e della liceità del trattamento dei dati.

¹ Per utilizzare il sistema di comunicazione le organizzazioni e le autorità devono registrarsi. Devono comunicare immediatamente qualsiasi cambiamento nei dati registrati.

² La registrazione deve contenere almeno i dati seguenti:

a.

ragione sociale, nome o designazione nonché indirizzo;

b.

persona di contatto.

¹ I gestori di infrastrutture critiche possono notificare all’UFCS eventuali fornitori di servizi che forniscono prestazioni nel settore della cibersicurezza per conto di tali gestori e che vogliono partecipare allo scambio di informazioni.

² I fornitori di servizi devono registrarsi indicando la ragione sociale o il nome come pure i dati della persona di contatto.

¹ In occasione della trasmissione di informazioni le organizzazioni e le autorità registrate stabiliscono a chi l’UFCS può a sua volta trasmettere le informazioni sul sistema di comunicazione per lo scambio sicuro di informazioni, sempreché la trasmissione delle informazioni sia contemplata dalla legge.

² L’UFCS decide in merito alla pubblicazione delle informazioni autorizzate.

³ I destinatari delle informazioni devono garantire la protezione delle informazioni.

⁴ I fornitori di servizi registrati di gestori di infrastrutture critiche possono utilizzare le informazioni che ricevono esclusivamente per la protezione delle infrastrutture critiche.

¹ Le seguenti autorità e organizzazioni sono esentate dall’obbligo di segnalazione alle seguenti condizioni:

a.

le scuole universitarie di cui all’articolo 74b capoverso 1 lettera a LSIn: con meno di 2000 studenti;

b.

le imprese di cui all’articolo 74b capoverso 1 lettera d LSIn, a condizione che:

1.

in qualità di gestori di rete, produttori di energia elettrica, gestori di impianti elettrici di stoccaggio o di fornitori di servizi nell’ambito dell’elettricità secondo l’articolo 5a capoverso 1 e l’allegato 1a dell’ordinanza del 14 marzo 2008⁴ sull’approvvigionamento elettrico (OAEl) non siano tenute a rispettare né il livello di protezione A né il livello di protezione B, o

2.

in qualità di esercenti di gasdotti secondo l’articolo 2 capoverso 3 dell’ordinanza del 4 giugno 2021⁵ sulla sicurezza degli impianti di trasporto in condotta presentino negli ultimi cinque anni una media di energia trasportata inferiore a 400 GWh all’anno;

c.

le imprese ferroviarie come pure le imprese che gestiscono impianti di trasporto a fune, linee filoviarie, autobus e battelli di cui all’articolo 74b capoverso 1 lettera m LSIn, a condizione che:

1.

non siano incaricate di assumere compiti sistemici (art. 37 della legge federale del 20 dicembre 1957⁶ sulle ferrovie [Lferr]),

2.

siano titolari di una concessione per il trasporto di viaggiatori secondo l’articolo 6 legge del 20 marzo 2009⁷ sul trasporto di viaggiatori (LTV), ma non forniscono alcuna offerta di trasporto ordinata congiuntamente dalla Confederazione e dai Cantoni (art. 28–31c LTV),

3.

dispongano di una concessione d’infrastruttura di cui all’articolo 5 Lferr che però non è stata rilasciata poiché sussiste un interesse pubblico alla costruzione e all’esercizio dell’infrastruttura (art. 6 cpv. 1 lett. a Lferr);

d.

le imprese di cui all’articolo 74b capoverso 1 lettera n LSIn, a condizione che:

1.

secondo gli articoli 2 e 4 e l’allegato II del regolamento di esecuzione (UE) 2023/203⁸ oppure secondo l’articolo 2 e l’allegato del regolamento delegato (UE) 2022/1645⁹, non debbano realizzare alcun sistema di gestione della sicurezza delle informazioni,

2.

non debbano applicare le direttive di cui al punto 1.7 dell’allegato del regolamento di esecuzione (UE) 2015/1998¹⁰ nel loro programma di sicurezza secondo gli articoli 2, 12, 13 o 14 del regolamento (CE) n. 300/2008¹¹;

e.

i fornitori e i gestori di servizi di cui all’articolo 74b capoverso 1 lettera t LSIn, a condizione che non forniscano le loro prestazioni in parte o interamente dietro compenso a favore di terzi.

² Le autorità e le organizzazioni di cui all’articolo 74b capoverso 1 lettere g, h, l e p LSIn sono esentate dall’obbligo di segnalazione se nel settore interessato occupano meno di 50 persone e se la loro cifra d’affari annua o il loro totale di bilancio annuo non supera i 10 milioni di franchi.

Le autorità e le organizzazioni interessate devono mettere a disposizione dell’UFCS tutti i documenti necessari per fornire informazioni in merito all’assoggettamento all’obbligo di segnalazione.

¹ Il funzionamento di un’infrastruttura critica è considerato compromesso se:

a.

i collaboratori o terzi sono interessati da interruzioni del sistema; o

b.

l’organizzazione o l’autorità interessata può mantenere le proprie attività soltanto con l’aiuto di piani d’emergenza.

² Vi è una manipolazione o una fuga di informazioni se:

a.

informazioni rilevanti per le attività aziendali vengono consultate, modificate o comunicate da persone non autorizzate; o

b.

è stata effettuata una segnalazione di violazioni della sicurezza dei dati secondo l’articolo 24 della legge federale del 25 settembre 2020¹² sulla protezione dei dati.

³ Un ciberattacco è considerato non identificato per un periodo prolungato se l’incidente si è verificato più di 90 giorni prima.

⁴ Un ciberattacco è considerato connesso ai reati di estorsione, minaccia o coazione se suddetti reati sono rivolti contro un’autorità o un’organizzazione assoggettata all’obbligo di segnalazione oppure contro persone che lavorano per tale autorità o organizzazione assoggettata.

¹ Oltre alle indicazioni di cui all’articolo 74e capoverso 2 LSIn, la segnalazione deve contenere le seguenti informazioni sul ciberattacco:

a.

data e ora in cui è stato rilevato l’attacco;

b.

data e ora in cui è stato compiuto l’attacco; e

c.

indicazioni sull’aggressore.

² Deve inoltre contenere informazioni che indichino se l’attacco era connesso ai reati di estorsione, minaccia o coazione e se è stata sporta una denuncia penale.

³ Deve contenere le seguenti informazioni sulle ripercussioni del ciberattacco:

a.

grado di compromissione della disponibilità, dell’integrità e della confidenzialità delle informazioni; e

b.

ripercussioni del ciberattacco sul funzionamento dell’organizzazione o dell’autorità.

⁴ Se la segnalazione non viene effettuata tramite il sistema di comunicazione dell’UFCS, deve contenere anche le seguenti informazioni sull’autorità o sull’organizzazione assoggettata all’obbligo di segnalazione:

a.

ragione sociale, nome o designazione nonché indirizzo; e

b.

dati di contatto della persona che effettua la segnalazione.

¹ Se entro il termine di segnalazione di 24 ore dopo la scoperta del ciberattacco non sono note tutte le informazioni necessarie, l’UFCS concede all’autorità o all’organizzazione interessata un termine di 14 giorni per completare la segnalazione.

² Se entro la scadenza del termine non sono disponibili tutte le informazioni necessarie, l’UFCS chiede all’autorità o all’organizzazione interessata di completarle immediatamente o di confermare che le informazioni non sono disponibili.

¹ Se la segnalazione non viene effettuata tramite il sistema di comunicazione dell’UFCS, quest’ultimo informa la persona o le persone di contatto di cui all’articolo 9 capoverso 2 lettera b di aver ricevuto la segnalazione e del suo contenuto.

² Una o più organizzazioni assoggettate all’obbligo di segnalazione possono decidere di affidare la procedura di segnalazione, singolarmente o collettivamente, a una terza organizzazione.

La modifica di altri atti normativi è disciplinata nell’allegato.

La presente ordinanza entra in vigore il 1° aprile 2025.