Le infrastrutture critiche ricoprono un'importanza centrale per la Svizzera e comprendono tutti i sistemi tecnici e sociali indispensabili per il funzionamento di una societ\u00e0 democratica. Contemporaneamente, tuttavia, le infrastrutture informatiche critiche sono sempre di pi\u00f9 preda di cibercriminali, come \u00e8 stato ad esempio per gli attacchi ransomware a Swissport o per i ciberattacchi a Comuni svizzeri. Cresce dunque la preoccupazione verso singoli offerenti per una mancata trasparenza sugli aspetti legati alla sicurezza o per i possibili rischi geopolitici.
Per garantire costantemente l'integrit\u00e0 delle infrastrutture critiche e l'approvvigionamento della Svizzera occorre ponderare maggiormente gli aspetti di sicurezza e trasparenza gi\u00e0 negli appalti per le TIC. In tale contesto si pongono le seguenti domande.
a. Il Consiglio federale \u00e8 d'accordo sul fatto che, in caso di appalti per le TIC nel settore delle infrastrutture critiche, oltre agli aspetti di prezzo e prestazione nell'aggiudicazione devono essere presi in considerazione anche tutti gli aspetti della politica di sicurezza in un contesto globale?
b. Il Consiglio federale \u00e8 disposto a verificare se i gestori di infrastrutture critiche devono rispettare anche parametri di valutazione come il possesso di competenze di monitoraggio, di formazione e relative all'intero ciclo di vita e all'architettura globale, la disponibilit\u00e0 di un numero sufficiente di collaboratori nonch\u00e9 la trasparenza e la verificabilit\u00e0?
c. Anche il Consiglio federale ritiene che la sicurezza dei sistemi possa essere incrementata grazie a informazioni trasparenti sulla ditta produttrice e fornitrice, sui processi di sviluppo e di produzione, sul codice sorgente alla base dei prodotti, sulla catena di fornitura e, infine, anche sul ciclo di vita (sviluppo, produzione, integrazione, esercizio e messa fuori servizio)?
d. Il Consiglio federale come valuta l'istituzione di un organo nazionale di controllo indipendente, analogamente a un Empa in ambito informatico, volto a verificare integralmente l'appalto di infrastrutture critiche, quindi tenendo conto di pi\u00f9 parametri di valutazione?
","ReasonText":"I criteri di valutazione per l'appalto di infrastrutture critiche sono troppo standardizzati. Attualmente, a essere prioritari per le decisioni sull'aggiudicazione sono i criteri di prezzo, prestazione e, se del caso, sicurezza dei componenti oggetto dell'appalto. Considerando la portata dei possibili rischi, tali criteri non sono sufficienti, neppure come base decisionale per garantire in maniera affidabile e sostenibile le infrastrutture critiche. Di conseguenza, \u00e8 indispensabile effettuare un'analisi integrale e a lungo temine dell'intero sistema dal punto di vista della politica di sicurezza. Per assicurare il funzionamento delle infrastrutture critiche, al momento della decisione d'appalto devono essere osservati non solo i singoli elementi, ma anche l'interazione dei singoli componenti con i sistemi su un orizzonte temporale pi\u00f9 lungo. In quest'analisi rientrano anche altre prestazioni di servizi a monte e a valle, come la possibilit\u00e0 dell'offerente di offrire formazioni per l'esercizio operativo. Inoltre, \u00e8 necessario che un organo nazionale di controllo indipendente verifichi la sicurezza dei componenti e dei sistemi messi a concorso. In futuro, i criteri di valutazione devono includere la disponibilit\u00e0 dell'offerente di sottoporre a verifica i suoi sistemi e componenti in relazione ad aspetti della politica di sicurezza. Se le capacit\u00e0 di funzionamento delle infrastrutture critiche sono limitate o vengono a mancare, l'intero sistema diventa vulnerabile e mette in pericolo la sovranit\u00e0 del Paese, la sicurezza della popolazione nonch\u00e9 l'approvvigionamento e la capacit\u00e0 innovativa della Svizzera.
","DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"Ad a.: nella sua Strategia nazionale per la protezione delle infrastrutture critiche, il Consiglio federale ha ribadito la necessit\u00e0 di adottare una procedura integrale per le questioni inerenti alla sicurezza. Di conseguenza, i gestori di infrastrutture critiche dovrebbero conoscere i rischi relativi alle catene dei loro fornitori in tutti i progetti di appalto rilevanti e tenerne conto. Ci\u00f2 comprende anche lo svolgimento di analisi sugli aspetti di politica di sicurezza dei fornitori e delle loro forniture e l'inserimento dei relativi criteri nei capitolati d'oneri dei bandi di concorso. Il diritto in materia di appalti pubblici autorizza tali criteri anche per gli appalti di gestori che ne sono assoggettati. La parit\u00e0 di trattamento tra gli offerenti deve per\u00f2 essere garantita. Il mercato non pu\u00f2 dunque essere limitato de facto a singoli offerenti per motivi di sicurezza.
Ad b.: il Consiglio federale \u00e8 disposto a verificare, in casi specifici, se sono necessarie prescrizioni complementari negli appalti per le TIC e se tali prescrizioni devono essere inserite nel capitolato d'oneri del bando di concorso. Tuttavia, l'Esecutivo non ritiene opportuno elaborare delle prescrizioni generali, anche in considerazione delle grandi differenze tra le imprese fornitrici di infrastrutture critiche e i settori interessati. Tenere conto dei criteri menzionati in questi appalti rientra nell'interesse economico dei gestori di infrastrutture critiche. Le prescrizioni non considererebbero la complessit\u00e0 dei processi di appalto e ne comprometterebbero la rapidit\u00e0 facendo lievitare i costi. Inoltre, in caso di committenti privati, rappresenterebbero un'ingerenza nella libert\u00e0 economica delle imprese.
Ad c.: s\u00ec, il Consiglio federale condivide questo parere.
Ad d.: il Consiglio federale riconosce la necessit\u00e0 di incrementare le capacit\u00e0 di verifica in Svizzera. Il Cantone di Zugo dispone gi\u00e0 di un istituto di test per la cibersicurezza indipendente, denominato \"Nationales Testinstitut f\u00fcr Cybersicherheit\" (NTC). Al progetto ha collaborato il Centro nazionale per la cibersicurezza (NCSC) fornendo supporto specialistico.L'obiettivo dell'NTC \u00e8 sostenere imprese e autorit\u00e0 effettuando verifiche di sicurezza approfondite ai sistemi e alle applicazioni TIC. L'istituto ha comprovato le sue competenze anche mediante la verifica delle funzionalit\u00e0 e della sicurezza del sistema svizzero dei certificati COVID.
Risposta del Consiglio federale.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1660694400000)\/","SubmittedBy":"Pult Jon","BusinessStatus":229,"BusinessStatusText":"Liquidato","BusinessStatusDate":"\/Date(1664496000000)\/","ResponsibleDepartment":7,"ResponsibleDepartmentName":"Dipartimento delle Finanze","ResponsibleDepartmentAbbreviation":"DFF","IsLeadingDepartment":true,"Tags":"4|8|15|34","Category":null,"Modified":"\/Date(1690499146157)\/","SubmissionDate":"\/Date(1652054400000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Consiglio nazionale","SubmissionCouncilAbbreviation":"CN","SubmissionSession":5114,"SubmissionLegislativePeriod":51,"FirstCouncil1":1,"FirstCouncil1Name":"Consiglio nazionale","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Politica nazionale|Politica internazionale|Economia|Media e comunicazione"}}