Ordinanza
sulla protezione contro i ciber-rischi nell’Amministrazione federale
(Ordinanza sui ciber-rischi, OCiber)

¹ Il NC­SC è il cen­tro di com­pe­ten­za del­la Con­fe­de­ra­zio­ne in ma­te­ria di ci­ber-ri­schi che coor­di­na i la­vo­ri del­la Con­fe­de­ra­zio­ne nel set­to­re del­la ci­ber­si­cu­rez­za. Es­so ha i se­guen­ti com­pi­ti:

a.

ge­sti­re il ser­vi­zio na­zio­na­le di con­tat­to per le que­stio­ni le­ga­te ai ci­ber-ri­schi; que­sto ser­vi­zio ri­ce­ve e ana­liz­za le se­gna­la­zio­ni dell’Am­mi­ni­stra­zio­ne fe­de­ra­le, del set­to­re eco­no­mi­co, dei Can­to­ni e del­la po­po­la­zio­ne e, se ne­ces­sa­rio, for­mu­la rac­co­man­da­zio­ni al ri­guar­do;

b.

for­ni­re, in­sie­me ai part­ner com­pe­ten­ti dell’Am­mi­ni­stra­zio­ne fe­de­ra­le, sup­por­to sus­si­dia­rio ai ge­sto­ri di in­fra­strut­tu­re cri­ti­che e pro­muo­ve­re tra que­sti lo scam­bio di in­for­ma­zio­ni sui ci­ber-ri­schi;

c.

ge­sti­re il «Com­pu­ter Emer­gen­cy Re­spon­se Team» (Gov­CERT); es­so co­sti­tui­sce il ser­vi­zio spe­cia­liz­za­to na­zio­na­le per la ge­stio­ne tec­ni­ca de­gli in­ci­den­ti, l’ana­li­si di pro­ble­ma­ti­che tec­ni­che, la va­lu­ta­zio­ne del­le mi­nac­ce dal pro­fi­lo tec­ni­co e il sup­por­to tec­ni­co del ser­vi­zio na­zio­na­le di con­tat­to;

d.

ge­sti­re il ser­vi­zio spe­cia­liz­za­to per la si­cu­rez­za in­for­ma­ti­ca del­la Con­fe­de­ra­zio­ne; que­sto ser­vi­zio ela­bo­ra di­ret­ti­ve in ma­te­ria di si­cu­rez­za in­for­ma­ti­ca, of­fre con­su­len­za al­le uni­tà am­mi­ni­stra­ti­ve per la ri­spet­ti­va at­tua­zio­ne e ri­le­va lo sta­to del­la si­cu­rez­za in­for­ma­ti­ca pres­so i di­par­ti­men­ti e la Can­cel­le­ria fe­de­ra­le;

e.

de­si­gna­re gli in­ca­ri­ca­ti del­la si­cu­rez­za in­for­ma­ti­ca del­la Con­fe­de­ra­zio­ne (ISIC);

f.

coor­di­na­re l’at­tua­zio­ne del­la SN­PC, ese­gui­re il con­trol­ling stra­te­gi­co e pre­pa­ra­re le se­du­te del Co­mi­ta­to ri­stret­to Ci­ber e del CD SN­PC;

g.

di­spor­re di un pool di esper­ti in­ca­ri­ca­ti di for­ni­re sup­por­to agli uf­fi­ci spe­cia­liz­za­ti nell’at­tua­zio­ne del­le mi­su­re de­fi­ni­te nel­la SN­PC non­ché nel­lo svi­lup­po, nell’at­tua­zio­ne e nell’esa­me di stan­dard e nor­me in ma­te­ria di ci­ber­si­cu­rez­za;

h.

con­tri­bui­re con in­for­ma­zio­ni mi­ra­te a sen­si­bi­liz­za­re l’Am­mi­ni­stra­zio­ne fe­de­ra­le e il pub­bli­co sui ci­ber-ri­schi, in­for­ma­re sul­la si­tua­zio­ne at­tua­le ed ema­na­re istru­zio­ni per l’ado­zio­ne di mi­su­re pre­ven­ti­ve e reat­ti­ve;

i.

ge­sti­re un’in­fra­strut­tu­ra di ana­li­si e co­mu­ni­ca­zio­ne re­si­lien­te in gra­do di fun­zio­na­re in­di­pen­den­te­men­te dal re­sto dell’in­for­ma­ti­ca del­la Con­fe­de­ra­zio­ne;

j.

in­for­ma­re il Co­mi­ta­to ri­stret­to Ci­ber sui ci­be­rin­ci­den­ti ri­le­van­ti e, se que­sti ul­ti­mi so­no d’in­te­res­se per la po­li­ti­ca este­ra e la po­li­ti­ca di si­cu­rez­za, an­che il Co­mi­ta­to ri­stret­to Si­cu­rez­za del­la Con­fe­de­ra­zio­ne.

² Il NC­SC può trat­ta­re i da­ti sui ci­be­rin­ci­den­ti e sui re­la­ti­vi flus­si di co­mu­ni­ca­zio­ne, qua­lo­ra ciò ser­va a pro­teg­ge­re di­ret­ta­men­te o in­di­ret­ta­men­te l’Am­mi­ni­stra­zio­ne fe­de­ra­le dai ci­ber-ri­schi. Può co­mu­ni­ca­re i da­ti a grup­pi sta­ta­li o pri­va­ti in­ca­ri­ca­ti del­la si­cu­rez­za, sem­pre che:

a.

il for­ni­to­re di da­ti ab­bia da­to il suo con­sen­so; e

b.

non sia vio­la­to al­cu­no ob­bli­go le­ga­le di man­te­ne­re il se­gre­to.

³ La co­mu­ni­ca­zio­ne di da­ti per­so­na­li all’este­ro è am­mes­sa sol­tan­to se so­no ri­spet­ta­te le per­ti­nen­ti pre­scri­zio­ni del­la le­gi­sla­zio­ne fe­de­ra­le sul­la pro­te­zio­ne dei da­ti.

⁴ I da­ti per­so­na­li de­gni di par­ti­co­la­re pro­te­zio­ne pos­so­no es­se­re trat­ta­ti so­lo se esi­ste la ne­ces­sa­ria ba­se le­ga­le che au­to­riz­za il lo­ro trat­ta­men­to me­dian­te i mez­zi in­for­ma­ti­ci del­la Con­fe­de­ra­zio­ne.

⁵ Nel ca­so di un ci­be­rin­ci­den­te che mi­nac­cia il cor­ret­to fun­zio­na­men­to dell’Am­mi­ni­stra­zio­ne fe­de­ra­le, do­po aver con­sul­ta­to i ser­vi­zi in­te­res­sa­ti il NC­SC as­su­me in se­no all’Am­mi­ni­stra­zio­ne fe­de­ra­le la re­spon­sa­bi­li­tà prin­ci­pa­le del­la sua ge­stio­ne. A tal fi­ne, gli so­no as­se­gna­ti i com­pi­ti e le com­pe­ten­ze se­guen­ti:

a.

ob­bli­ga­re, se ne­ces­sa­rio, i for­ni­to­ri e i be­ne­fi­cia­ri di pre­sta­zio­ni in­te­res­sa­ti a for­nir­gli tut­te le in­for­ma­zio­ni ne­ces­sa­rie;

b.

or­di­na­re, se ne­ces­sa­rio, mi­su­re ur­gen­ti;

c.

in­for­ma­re la di­re­zio­ne del­le uni­tà am­mi­ni­stra­ti­ve in­te­res­sa­te su­gli svi­lup­pi del­la si­tua­zio­ne.

⁶ Se, do­po un ci­be­rin­ci­den­te, le mi­su­re adot­ta­te han­no per­mes­so di ri­dur­re suf­fi­cien­te­men­te la mi­nac­cia per la con­fi­den­zia­li­tà o il fun­zio­na­men­to dell’Am­mi­ni­stra­zio­ne fe­de­ra­le e i ne­ces­sa­ri la­vo­ri suc­ces­si­vi non­ché il lo­ro fi­nan­zia­men­to so­no sta­ti de­fi­ni­ti, il NC­SC tra­smet­te la re­spon­sa­bi­li­tà del se­gui­to dei la­vo­ri ai ser­vi­zi in­te­res­sa­ti.