Nel 2022 sono stati comunicati gli esiti dell\u2019inchiesta amministrativa Oberholzer in relazione alle acquisizioni di informazioni da parte del Servizio delle attivit\u00e0 informative della Confederazione (SIC) in ambito ciber. Poco prima il Consiglio federale aveva deciso di aggregare il Centro nazionale per la cibersicurezza (NCSC) al DDPS a partire dal 1\u00b0 gennaio 2024.
Il rapporto Oberholzer raccomandava di \u00abprendere in considerazione uno scorporo integrale del settore ciber dal SIC e la creazione di un pool autonomo di esperti per l\u2019analisi di dati del traffico di rete\u00bb. Il rapporto afferma che \u00abprobabilmente \u00e8 opportuno aggregarlo all\u2019NCSC di modo che sia a disposizione di tutte le unit\u00e0 organizzative della Confederazione attive nell\u2019ambito della cibersicurezza\u00bb.
Il 7 dicembre 2023, ovvero poco prima che l\u2019NCSC venisse trasferito al DDPS, i media hanno riferito di un vero e proprio esodo di esperti di alto livello: sei dei nove specialisti del gruppo di intervento rapido in ambito ciber \u00abGovCERT\u00bb non sarebbero passati al DDPS e complessivamente circa il 20 per cento dei dipendenti avrebbe lasciato l\u2019NCSC. Vi sarebbero \u00abconflitti di carattere etico\u00bb e i collaboratori dell\u2019NCSC si impegnerebbero per colmare le lacune in materia di sicurezza a tutela della societ\u00e0 civile e dell\u2019economia. Il SIC e il DDPS avrebbero un interesse a non colmare le lacune in materia di sicurezza, perch\u00e9 intendono utilizzarle per raccogliere informazioni.
Nell\u2019inchiesta amministrativa svolta nel 2022 viene affermato che il capo dell\u2019epoca del settore ciber del SIC ha manifestato scarsa comprensione \u00abper disposizioni giuridiche e processi istituzionalizzati di un servizio statale\u00bb e che il suo capo lo ha lasciato fare.
In merito alla domanda 1: Il nuovo Ufficio federale della cibersicurezza (UFCS) si occupa dei medesimi compiti del Centro nazionale per la cibersicurezza (NCSC), i quali sono complementari rispetto ai compiti del Servizio delle attivit\u00e0 informative della Confederazione (SIC). Il SIC \u00e8 uno strumento di politica di sicurezza a effetto preventivo. \u00c8 competente per l\u2019individuazione tempestiva e la prevenzione di minacce per la sicurezza interna o esterna derivanti tra l\u2019altro dai ciberattacchi.
Sia il SIC che l\u2019UFCS sono sottoposti alla direzione diretta del capo del DDPS. Entrambi sviluppano la loro cultura aziendale in modo tale da essere in grado di adempiere nel migliore dei modi i loro compiti previsti dalla Strategia nazionale per la protezione della Svizzera contro i ciber-rischi (SNPC).
La SNPC definisce le responsabilit\u00e0 e le competenze della societ\u00e0, dell\u2019economia e dello Stato. Tutti i dipartimenti e tutti gli uffici dell\u2019Amministrazione federale lavorano in maniera complementare per raggiungere il medesimo obiettivo: aumentare la protezione della popolazione dai ciber-rischi. Questo vale anche per l\u2019UFCS e il SIC.
In merito alla domanda 2: Il 29 settembre 2023 il Parlamento ha approvato la revisione della legge sulla sicurezza delle informazioni (LSIn; RS 128) con l\u2019introduzione di un obbligo di segnalare ciberattacchi a infrastrutture critiche. L\u2019articolo 73b capoverso 3 prevede l\u2019obbligo futuro a carico dell\u2019UFCS di informare immediatamente i produttori di hardware o software se viene a conoscenza di una vulnerabilit\u00e0 in questi prodotti. In questo modo il fatto che l\u2019UFCS mette in atto il processo della divulgazione coordinata di vulnerabilit\u00e0 viene disciplinato a livello di legge.
I compiti del SIC sono disciplinati nell\u2019articolo 6 della legge federale sulle attivit\u00e0 informative (LAIn; RS 121). Tutte le attivit\u00e0 di intelligence del SIC di natura offensiva (ad es. lo sfruttamento di vulnerabilit\u00e0, cfr. art. 26 LAIn) vengono svolte secondo una procedura di autorizzazione definita dalla legge.
In merito alla domanda 3: Non vi \u00e8 uno scambio automatico. Inoltre il SIC non ha accesso a informazioni dell\u2019UFCS relative a vulnerabilit\u00e0. L\u2019UFCS concede accesso al SIC a informazioni che riguardano l\u2019identit\u00e0 e il modo di procedere di aggressori. Le attivit\u00e0 di vigilanza sul trattamento delle informazioni da parte del SIC vengono svolte nel quadro della vigilanza sulle attivit\u00e0 del SIC. Anche lo scambio di dati consolidato in passato tra UFCS (o in precedenza il NCSC) e il SIC viene portato avanti nella medesima forma ed \u00e8 disciplinato nella LAIn e nella LSIn sottoposta a revisione. Questa prassi non subisce variazioni in seguito all\u2019aggregazione dell\u2019UFCS al DDPS.
In merito alla domanda 4: Nel suo articolo 22a, la legge sul personale federale (LPers; RS 172.220.1) disciplina gli obblighi di denuncia e i diritti di segnalazione di tutti i collaboratori della Confederazione. Gli impiegati soggetti alla LPers sono tenuti a denunciare alle autorit\u00e0 di perseguimento penale, ai loro superiori o al Controllo federale delle finanze (CDF) i crimini e i delitti perseguibili d\u2019ufficio che constatano o sono loro segnalati nell\u2019esercizio della loro funzione (cpv. 1). Il capoverso 4 prevede un diritto generale secondo cui gli impiegati hanno il diritto di segnalare al CDF altre irregolarit\u00e0 constatate o loro segnalate nell\u2019esercizio della loro funzione.
Grazie alla sua funzione, nel quadro delle sue attivit\u00e0 di vigilanza il CDF \u00e8 in grado di verificare in maniera discreta e in loco la plausibilit\u00e0 delle accuse mosse. Per legge \u00e8 tenuto a comunicare irregolarit\u00e0 nell\u2019organizzazione, nella gestione amministrativa o nell\u2019adempimento dei compiti rilevate nell\u2019esercizio della sua attivit\u00e0 di vigilanza all\u2019unit\u00e0 amministrativa competente e a far redigere a quest\u2019ultima un rapporto sulle misure adottate (art. 13 cpv. 2 della legge sul Controllo delle finanze, RS 614.0).
Il sistema di segnalazione esistente vale per tutti gli impiegati della Confederazione. La possibilit\u00e0 di effettuare segnalazioni dirette all\u2019AVI-AIn o alla DelCG non \u00e8 n\u00e9 prevista, n\u00e9 necessaria.