Cibersicurezza nell'amministrazione federale. La collaborazione è abbastanza efficace?

La cibersicurezza riveste un ruolo sempre più importante per la resilienza dello Stato, dell’economia e della società. I ciberattacchi possono compromettere servizi pubblici fondamentali nonché infrastrutture rilevanti per la sicurezza e minare la fiducia nelle istituzioni.

All’interno dell’Amministrazione federale diversi organi appartenenti a vari dipartimenti e uffici sono incaricati di svolgere compiti nell’ambito della cibersicurezza, tra l’altro nel DDPS, nel DFAE, nel DFF e nel DFGP. Questa ripartizione dei compiti può avere giustificazioni oggettive, ma comporta anche dei rischi: problemi di interfaccia, doppioni, la compartimentazione delle conoscenze e ritardi nel flusso delle informazioni.

Una ciberdifesa efficace presuppone che le indicazioni tratte dagli incidenti, le informazioni relative alle vulnerabilità, i modelli di attacco e le misure di protezione vengano condivisi in maniera rapida, sistematica e adeguata al livello gerarchico. Proprio nell’ambito ciber non deve affermarsi una mentalità a compartimenti stagni.

Il Consiglio federale è invitato a rispondere alle seguenti domande:

• Il Consiglio federale è dell’avviso che la ripartizione odierna delle competenze nell’ambito della cibersicurezza garantisca uno scambio rapido e completo delle informazioni rilevanti per la sicurezza?

• Quali meccanismi esistono per assicurare lo scambio di informazioni tra gli organi competenti in maniera capillare per tutti i dipartimenti e gli uffici?

• Esiste un organo istituzionalizzato che si riunisce periodicamente per discutere di ciberminacce, vulnerabilità, modelli di attacco e misure di protezione?

• In che modo è disciplinato lo scambio di informazioni confidenziali e classificate tra gli organi competenti?

• Come valuta il Consiglio federale il rischio legato alla compartimentazione delle conoscenze, a doppioni, a sovrapposizioni delle competenze o all’impiego inefficiente delle risorse dovuti alla struttura organizzativa odierna?

• Negli ultimi anni sono state svolte analisi relative all’adeguatezza dell’organizzazione odierna della cibersicurezza all’interno dell’Amministrazione federale? Se sì, con quali risultati?

• In base a quali criteri il Consiglio federale valuta se l’organizzazione odierna sia in grado di far fronte in modo adeguato alle ciberminacce attuali?

In merito alla domanda 1: la ripartizione delle competenze tra diversi organi deriva dall’ampiezza della gamma di minacce nell’ambito della cibersicurezza come pure dal grado di coinvolgimento di tutti i settori economici e amministrativi. Al fine di garantire lo scambio di informazioni rilevanti in merito alle ciberminacce tra tutti gli attori interessati, il 1° gennaio 2024 il Consiglio federale ha istituito l’Ufficio federale della cibersicurezza (UFCS). Si tratta del primo servizio di contatto per l’economia, l’amministrazione e la popolazione per le questioni inerenti alla cibersicurezza e svolge il ruolo di organo di coordinamento centrale.

In merito alla domanda 2: per lo scambio di informazioni sulle ciberminacce l’UFCS gestisce un sistema di comunicazione sicuro secondo le disposizioni dell’articolo 8 dell’ordinanza sulla cibersicurezza (OCS; RS 128.51). Su questa piattaforma denominata «Cyber Security Hub» sono registrate attualmente poco meno di 1800 organizzazioni. Gli organi competenti della Confederazione partecipano a questo scambio. Ogni due settimane l’UFCS pubblica sulla piattaforma un rapporto sulla situazione che è a disposizione di tutte le autorità registrate.

In merito alla domanda 3: il rapporto sulla situazione pubblicato dall’UFCS viene discusso ogni due settimane sulla piattaforma «Cyber Security Hub» nel quadro di riunioni online. Questo scambio è rivolto specificatamente a tutti i gestori di infrastrutture critiche, poiché le informazioni relative alle vulnerabilità e ai metodi di attacco rivestono importanza a livello intersettoriale. I rischi specifici e le misure relative alla sicurezza delle informazioni della Confederazione vengono trattati in occasione della Conferenza degli incaricati della sicurezza delle informazioni condotta dal Servizio specializzato per la sicurezza delle informazioni della Segreteria di Stato della politica di sicurezza.

In merito alla domanda 4: lo scambio di informazioni classificate è disciplinato dalla legge sulla sicurezza delle informazioni (LSIn; RS 128) come pure dalla relativa ordinanza sulla sicurezza delle informazioni (OSIn; RS 128.1).

In merito alle domande 5 e 6: la definizione dei compiti e delle competenze è stata la questione determinante alla base della decisione del Consiglio federale del 5 dicembre 2022 di istituire un Ufficio federale della cibersicurezza. Prima di questa decisione sono state analizzate le strutture e valutate diverse varianti. A tale riguardo sono stati elaborati i rapporti «Verifica dell’efficacia della Strategia nazionale per la protezione della Svizzera contro i ciber-rischi dal 2018 al 2022» e «SECORG – valutazione delle strutture di coordinamento nel settore della sicurezza e nel settore dei ciber-rischi». L’odierna organizzazione della Confederazione è il risultato di queste analisi. Il Consiglio federale è convinto che l’attuale struttura organizzativa consenta una chiara attribuzione delle competenze e che il rischio di compartimentazione delle conoscenze e di doppioni sia esiguo.

In merito alla domanda 7: il Consiglio federale valuta costantemente l’adeguatezza dell’organizzazione nel quadro del rapporto annuale sul grado di attuazione della Cibestrategia nazionale (CSN), redatto dal Comitato direttivo della stessa ciberstrategia. Il rapporto consente di effettuare un punto della situazione sistematico sulla base dei progressi compiuti nei cinque obiettivi strategici della CSN e mostra eventuali necessità di adeguamento. Se è necessario un intervento immediato da parte della Confederazione in merito alle misure di attuazione della CSN, l’UFCS ne informa direttamente il Consiglio federale e presenta le relative proposte.