L'obbligo di segnalare le intrusioni contro le infrastrutture informatiche critiche non concernerà le vulnerabilità dei sistemi. Lo ha deciso oggi il Consiglio nazionale con 98 voti contro 54, allineandosi su questo punto alle richieste degli Stati. Il dossier è pronto per le votazioni finali. Nelle passate sedute, i due rami del Parlamento si sono già detti d'accordo sul fatto che la Svizzera debba rafforzare la propria resistenza ai ciberattacchi. Questi ultimi sono diventati una delle principali minacce alla sicurezza e all'economia della Svizzera. Tra il 2020 e il 2022, il loro numero è triplicato, passando da quasi 11mila a oltre 34mila. Simili episodi colpiscono sia le aziende sia le amministrazioni pubbliche.

Attualmente manca una visione d'insieme del problema, poiché le segnalazioni al Centro nazionale per la sicurezza informatica (NCSC) avvengono su base volontaria. L'obbligo di segnalazione dovrebbe consentire di individuare rapidamente i nuovi modi di operare. La segnalazione sarà obbligatoria se un attacco informatico mette a repentaglio il funzionamento dell'infrastruttura critica colpita. Il NCSC, istituito nel 2019, dovrà funzionare come sportello unico per le segnalazioni. Per semplificare al massimo, i soggetti coinvolti dovranno compilare un modulo elettronico. Inoltre, il NCSC dovrà offrire una valutazione tecnica e fornire un supporto sussidiario nella gestione dell'attacco.

Il ventaglio delle aree di attività soggette all'obbligo è assai ampio. Per infrastrutture critiche, il progetto elenca autorità, ospedali, aziende energetiche, università, organizzazioni con compiti pubblici (servizi di soccorso, trattamento delle acque), banche e compagnie di assicurazione. Sono inclusi anche i servizi informatici e di telecomunicazione, la SSR e le agenzie di stampa, i fornitori di medicinali, i servizi postali e i trasporti pubblici, l'aviazione, l'approvvigionamento alimentare, i registri dei domini Internet, i servizi digitali e le aziende informatiche.