Ordinanza del 7 marzo 2025 sulla cibersicurezza (OCS) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="fr" value="Ordonnance du 7 mars 2025 sur la cybersécurité (OCyS)" shortForm="OCyS"/><FRBRname xml:lang="it" value="Ordinanza del 7 marzo 2025 sulla cibersicurezza (OCS)" shortForm="OCS"/><FRBRname xml:lang="de" value="Verordnung vom 7. März 2025 über die Cybersicherheit (Cybersicherheitsverordnung, CSV)" shortForm="CSV"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/it/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/it"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="it"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/it/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/it/xml"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.6"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Cancelleria federale"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/ITA" showAs="it"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>128.51 </docNumber></p><p><docTitle>Ordinanza <br/>sulla cibersicurezza</docTitle></p><p>(OCS)</p><p>del 7 marzo 2025 (Stato 1° aprile 2025)</p></preface><preamble><p>Il Consiglio federale svizzero,</p><p>visti gli articoli 74<i>c</i> e 84 capoverso 1 della legge del 18 dicembre 2020<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>128</b></ref></p></authorialNote> sulla sicurezza delle informazioni (LSIn),</p><p>ordina:</p></preamble><body><section eId="sec_1"><num>Sezione 1: </num><heading>Oggetto</heading><article eId="art_1"><num><b>Art. 1</b></num><paragraph eId="art_1/para"><content><blockList><listIntroduction eId="art_1/para/listintro">La presente ordinanza disciplina: </listIntroduction><item eId="art_1/para/lbl_a"><num>a. </num><p>i principi e l’elaborazione della Ciberstrategia nazionale (CSN);</p></item><item eId="art_1/para/lbl_b"><num>b. </num><p>i compiti dell’Ufficio federale della cibersicurezza (UFCS);</p></item><item eId="art_1/para/lbl_c"><num>c. </num><p>lo scambio di informazioni per la protezione dai ciberincidenti e dalle ciberminacce tra l’UFCS e le autorità nonché le organizzazioni;</p></item><item eId="art_1/para/lbl_d"><num>d. </num><p>l’obbligo di segnalazione in caso di ciberattacchi.</p></item></blockList></content></paragraph></article></section><section eId="sec_2"><num>Sezione 2: </num><heading>Ciberstrategia nazionale</heading><article eId="art_2"><num><b>Art. 2</b></num><paragraph eId="art_2/para_1"><num>1</num><content><blockList><listIntroduction eId="art_2/para_1/listintro"> La CSN definisce i punti seguenti:</listIntroduction><item eId="art_2/para_1/lbl_a"><num>a. </num><p>il quadro strategico per la prevenzione nell’ambito della cibersicurezza;</p></item><item eId="art_2/para_1/lbl_b"><num>b. </num><p>l’individuazione tempestiva delle ciberminacce;</p></item><item eId="art_2/para_1/lbl_c"><num>c. </num><p>le possibilità di reazione e la resilienza in caso di incidenti;</p></item><item eId="art_2/para_1/lbl_d"><num>d. </num><p>la lotta alla cibercriminalità;</p></item><item eId="art_2/para_1/lbl_e"><num>e. </num><p>la cooperazione internazionale.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_2"><num>2</num><content><p> L’UFCS elabora la CSN unitamente ai rappresentanti dei Cantoni, del settore economico, della società, dei gestori di infrastrutture critiche, del mondo scientifico, della società, dei dipartimenti e della Cancelleria federale.</p></content></paragraph></article></section><section eId="sec_3"><num>Sezione 3: </num><heading>Compiti dell’UFCS</heading><article eId="art_3"><num><b>Art. 3</b></num><heading>Richieste sui titolari</heading><paragraph eId="art_3/para"><content><p>Per avvisare autorità, organizzazioni e persone interessate nel caso di una ciberminaccia imminente o di un ciberattacco in corso, l’UFCS può richiedere ai gestori dei registri dei nomi di dominio che rientrano nella competenza della Confederazione i dati di contatto dei titolari dei nomi di dominio.</p></content></paragraph></article><article eId="art_4"><num><b>Art. 4</b></num><heading>Analisi tecnica di ciberincidenti e ciberminacce</heading><paragraph eId="art_4/para_1"><num>1</num><content><blockList><listIntroduction eId="art_4/para_1/listintro"> L’UFCS gestisce un <span>team nazionale di risposta alle emergenze informatiche</span>; quest’ultimo svolge in particolare i seguenti compiti:</listIntroduction><item eId="art_4/para_1/lbl_a"><num>a. </num><p>sostegno nella gestione tecnica di ciberincidenti;</p></item><item eId="art_4/para_1/lbl_b"><num>b. </num><p>analisi di questioni tecniche;</p></item><item eId="art_4/para_1/lbl_c"><num>c. </num><p>identificazione e valutazione di ciberminacce. </p></item></blockList></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p> Per l’analisi dei ciberincidenti e delle ciberminacce, gestisce un’infrastruttura resiliente, indipendente dal resto dell’informatica della Confederazione.</p></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Priorizzazione della consulenza e del sostegno in caso di ciberattacchi</heading><paragraph eId="art_5/para_1"><num>1</num><content><p> Se la richiesta di consulenza e sostegno in caso di ciberattacco supera le capacità dell’UFCS, quest’ultimo può stabilire priorità per quanto riguarda la consulenza e il sostegno in relazione ai tempi e all’entità.</p></content></paragraph><paragraph eId="art_5/para_2"><num>2</num><content><p> A tale riguardo tiene conto della sicurezza e dell’ordine pubblici, del benessere della popolazione e del funzionamento dell’economia. </p></content></paragraph></article><article eId="art_6"><num><b>Art. 6</b></num><heading>Comunicazione delle vulnerabilità</heading><paragraph eId="art_6/para_1"><num>1</num><content><p> L’UFCS garantisce che le vulnerabilità a livello di hardware e di software siano comunicate in modo coordinato; al riguardo tiene conto degli standard riconosciuti a livello internazionale.</p></content></paragraph><paragraph eId="art_6/para_2"><num>2</num><content><p> Fissa al produttore dell’hardware o del software interessato un termine di 90 giorni per eliminare le vulnerabilità.</p></content></paragraph><paragraph eId="art_6/para_3"><num>3</num><content><blockList><listIntroduction eId="art_6/para_3/listintro"> Può accorciare questo termine se una vulnerabilità:</listIntroduction><item eId="art_6/para_3/lbl_a"><num>a. </num><p>mette a rischio il corretto funzionamento di infrastrutture critiche;</p></item><item eId="art_6/para_3/lbl_b"><num>b. </num><p>concerne sistemi molto diffusi; o</p></item><item eId="art_6/para_3/lbl_c"><num>c. </num><p>è impiegata per un ciberattacco o può essere sfruttata in modo particolarmente semplice per un ciberattacco.</p></item></blockList></content></paragraph><paragraph eId="art_6/para_4"><num>4</num><content><p> Può prolungare il termine fissato se l’eliminazione della vulnerabilità si rivela particolarmente complessa.</p></content></paragraph><paragraph eId="art_6/para_5"><num>5</num><content><p> Può già informare i gestori di infrastrutture critiche prima che le vulnerabilità vengano comunicate o eliminate.</p></content></paragraph><paragraph eId="art_6/para_6"><num>6</num><content><p> Informa immediatamente l’Ufficio federale delle comunicazioni (UFCOM) delle vulnerabilità rilevate negli impianti di telecomunicazione di cui all’articolo 3 lettera d della legge del 30 aprile 1997<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2187_2187_2187" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>784.10</b></ref></p></authorialNote> sulle telecomunicazioni.</p></content></paragraph><paragraph eId="art_6/para_7"><num>7</num><content><p> I capoversi 1–4 non si applicano alle vulnerabilità che l’UFCOM constata e segnala all’UFCS nell’ambito dei suoi controlli di vigilanza (art. 36–40 dell’ordinanza del 25 novembre 2015<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2016/24" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>784.101.2</b></ref></p></authorialNote> sugli impianti di telecomunicazione). </p></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Sostegno alle autorità</heading><paragraph eId="art_7/para"><content><p>L’UFCS fornisce sostegno alle autorità della Confederazione e dei Cantoni nello sviluppo, nell’attuazione e nella verifica degli standard e delle regolamentazioni in materia di cibersicurezza.</p></content></paragraph></article></section><section eId="sec_4"><num>Sezione 4: </num><heading>Scambio di informazioni</heading><article eId="art_8"><num><b>Art. 8</b></num><heading>Sistema di comunicazione per lo scambio sicuro delle informazioni e sistemi d’informazione per lo scambio automatico</heading><paragraph eId="art_8/para_1"><num>1</num><content><p> Hanno accesso al sistema di comunicazione dell’UFCS per lo scambio sicuro delle informazioni tutti i gestori di infrastrutture critiche assoggettati all’obbligo di segnalazione nonché le organizzazioni con sede in Svizzera e le autorità.</p></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p> L’UFCS mette a disposizione dei gestori di infrastrutture critiche le informazioni tecniche secondo l’articolo 74 capoverso 2 lettera b LSIn su ciberminacce e ciberincidenti attraverso sistemi di informazione per lo scambio automatico.</p></content></paragraph><paragraph eId="art_8/para_3"><num>3</num><content><p> L’UFCS è responsabile della sicurezza del sistema di comunicazione come pure dei sistemi d’informazione e della liceità del trattamento dei dati.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b></num><heading>Registrazione</heading><paragraph eId="art_9/para_1"><num>1</num><content><p> Per utilizzare il sistema di comunicazione le organizzazioni e le autorità devono registrarsi. Devono comunicare immediatamente qualsiasi cambiamento nei dati registrati. </p></content></paragraph><paragraph eId="art_9/para_2"><num>2</num><content><blockList><listIntroduction eId="art_9/para_2/listintro"> La registrazione deve contenere almeno i dati seguenti:</listIntroduction><item eId="art_9/para_2/lbl_a"><num>a. </num><p>ragione sociale, nome o designazione nonché indirizzo; </p></item><item eId="art_9/para_2/lbl_b"><num>b. </num><p>persona di contatto. </p></item></blockList></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Fornitori di servizi</heading><paragraph eId="art_10/para_1"><num>1</num><content><p> I gestori di infrastrutture critiche possono notificare all’UFCS eventuali fornitori di servizi che forniscono prestazioni nel settore della cibersicurezza per conto di tali gestori e che vogliono partecipare allo scambio di informazioni. </p></content></paragraph><paragraph eId="art_10/para_2"><num>2</num><content><p> I fornitori di servizi devono registrarsi indicando la ragione sociale o il nome come pure i dati della persona di contatto.</p></content></paragraph></article><article eId="art_11"><num><b>Art. 11</b></num><heading>Trasmissione e utilizzo delle informazioni</heading><paragraph eId="art_11/para_1"><num>1</num><content><p> In occasione della trasmissione di informazioni le organizzazioni e le autorità registrate stabiliscono a chi l’UFCS può a sua volta trasmettere le informazioni sul sistema di comunicazione per lo scambio sicuro di informazioni, sempreché la trasmissione delle informazioni sia contemplata dalla legge.</p></content></paragraph><paragraph eId="art_11/para_2"><num>2</num><content><p> L’UFCS decide in merito alla pubblicazione delle informazioni autorizzate.</p></content></paragraph><paragraph eId="art_11/para_3"><num>3</num><content><p> I destinatari delle informazioni devono garantire la protezione delle informazioni.</p></content></paragraph><paragraph eId="art_11/para_4"><num>4</num><content><p> I fornitori di servizi registrati di gestori di infrastrutture critiche possono utilizzare le informazioni che ricevono esclusivamente per la protezione delle infrastrutture critiche.</p></content></paragraph></article></section><section eId="sec_5"><num>Sezione 5: </num><heading>Obbligo di segnalazione</heading><article eId="art_12"><num><b>Art. 12</b></num><heading>Eccezioni all’obbligo di segnalazione</heading><paragraph eId="art_12/para_1"><num>1</num><content><blockList><listIntroduction eId="art_12/para_1/listintro"> Le seguenti autorità e organizzazioni sono esentate dall’obbligo di segnalazione alle seguenti condizioni: </listIntroduction><item eId="art_12/para_1/lbl_a"><num>a. </num><p>le scuole universitarie di cui all’articolo 74<i>b</i> capoverso 1 lettera a LSIn: con meno di 2000 studenti;</p></item><item eId="art_12/para_1/lbl_b"><num>b. </num><blockList><listIntroduction eId="art_12/para_1/lbl_b/listintro">le imprese di cui all’articolo 74<i>b</i> capoverso 1 lettera d LSIn, a condizione che:</listIntroduction><item eId="art_12/para_1/lbl_b/lbl_1"><num>1. </num><p>in qualità di gestori di rete, produttori di energia elettrica, gestori di impianti elettrici di stoccaggio o di fornitori di servizi nell’ambito dell’elettricità secondo l’articolo 5<i>a</i> capoverso 1 e l’allegato 1<i>a</i> dell’ordinanza del 14 marzo 2008<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2008/226" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>734.71</b></ref></p></authorialNote> sull’approvvigionamento elettrico (OAEl) non siano tenute a rispettare né il livello di protezione A né il livello di protezione B, o</p></item><item eId="art_12/para_1/lbl_b/lbl_2"><num>2. </num><p>in qualità di esercenti di gasdotti secondo l’articolo 2 capoverso 3 dell’ordinanza del 4 giugno 2021<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2021/348" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>746.12</b></ref></p></authorialNote> sulla sicurezza degli impianti di trasporto in condotta presentino negli ultimi cinque anni una media di energia trasportata inferiore a 400 GWh all’anno;</p></item></blockList></item><item eId="art_12/para_1/lbl_c"><num>c. </num><blockList><listIntroduction eId="art_12/para_1/lbl_c/listintro">le imprese ferroviarie come pure le imprese che gestiscono impianti di trasporto a fune, linee filoviarie, autobus e battelli di cui all’articolo 74<i>b</i> capoverso 1 lettera m LSIn, a condizione che:</listIntroduction><item eId="art_12/para_1/lbl_c/lbl_1"><num>1. </num><p>non siano incaricate di assumere compiti sistemici (art. 37 della legge federale del 20 dicembre 1957<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1958/335_341_347" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>742.101</b></ref></p></authorialNote> sulle ferrovie [Lferr]),</p></item><item eId="art_12/para_1/lbl_c/lbl_2"><num>2. </num><p>siano titolari di una concessione per il trasporto di viaggiatori secondo l’articolo 6 legge del 20 marzo 2009<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2009/680" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>745.1</b></ref></p></authorialNote> sul trasporto di viaggiatori (LTV), ma non forniscono alcuna offerta di trasporto ordinata congiuntamente dalla Confederazione e dai Cantoni (art. 28–31<i>c</i> LTV), </p></item><item eId="art_12/para_1/lbl_c/lbl_3"><num>3. </num><p>dispongano di una concessione d’infrastruttura di cui all’articolo 5 Lferr che però non è stata rilasciata poiché sussiste un interesse pubblico alla costruzione e all’esercizio dell’infrastruttura (art. 6 cpv. 1 lett. a Lferr); </p></item></blockList></item><item eId="art_12/para_1/lbl_d"><num>d. </num><blockList><listIntroduction eId="art_12/para_1/lbl_d/listintro">le imprese di cui all’articolo 74<i>b</i> capoverso 1 lettera n LSIn, a condizione che:</listIntroduction><item eId="art_12/para_1/lbl_d/lbl_1"><num>1. </num><p>secondo gli articoli 2 e 4 e l’allegato II del regolamento di esecuzione (UE) 2023/203<authorialNote><p>  Regolamento di esecuzione (UE) 2023/203 della Commissione del 27 ottobre 2022 che stabilisce le regole per l’applicazione del regolamento (UE) 2018/1139 del Parlamento europeo e del Consiglio per quanto riguarda i requisiti relativi alla gestione dei rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea per le organizzazioni di cui ai regolamenti (UE) n. 1321/2014, (UE) n. 965/2012, (UE) n. 1178/2011 e (UE) 2015/340 della Commissione e ai regolamenti di esecuzione (UE) 2017/373 e (UE) 2021/664 della Commissione, e per le autorità competenti di cui ai regolamenti (UE) n. 748/2012, (UE) n. 1321/2014, (UE) n. 965/2012, (UE) n. 1178/2011, (UE) 2015/340 e (UE) n. 139/2014 della Commissione e ai regolamenti di esecuzione (UE) 2017/373 e (UE) 2021/664 della Commissione, e che modifica i regolamenti (UE) n. 1178/2011, (UE) n. 748/2012, (UE) n. 965/2012, (UE) n. 139/2014, (UE) n. 1321/2014 e (UE) 2015/340 della Commissione e i regolamenti di esecuzione (UE) 2017/373 e (UE) 2021/664 della Commissione, nella versione vincolante per la Svizzera secondo il punto 3 dell’allegato all’accordo del 21 giugno 1999 tra la Confederazione Svizzera e la Comunità europea sul trasporto aereo (<ref href="https://fedlex.data.admin.ch/eli/cc/2002/258" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>0.748.127.192.68</b></ref>).</p></authorialNote> oppure secondo l’articolo 2 e l’allegato del regolamento delegato (UE) 2022/1645<authorialNote><p> Regolamento delegato (UE) 2022/1645 della Commissione del 14 luglio 2022 recante modalità di applicazione del regolamento (UE) 2018/1139 del Parlamento europeo e del Consiglio per quanto riguarda i requisiti per la gestione dei rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea per le imprese disciplinate dai regolamenti (UE) n. 748/2012 e (UE) n. 139/2014 della Commissione e che modifica i regolamenti (UE) n. 748/2012 e (UE) n. 139/2014 della Commissione, nella versione vincolante per la Svizzera secondo il punto 3 dell’allegato all’accordo del 21 giugno 1999 tra la Confederazione Svizzera e la Comunità europea sul trasporto aereo (<ref href="https://fedlex.data.admin.ch/eli/cc/2002/258" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>0.748.127.192.68</b></ref>).</p></authorialNote>, non debbano realizzare alcun sistema di gestione della sicurezza delle informazioni,</p></item><item eId="art_12/para_1/lbl_d/lbl_2"><num>2. </num><p>non debbano applicare le direttive di cui al punto 1.7 dell’allegato del regolamento di esecuzione (UE) 2015/1998<authorialNote><p>  Regolamento di esecuzione (UE) 2015/1998 della Commissione del 5 novembre 2015 che stabilisce disposizioni particolareggiate per l’attuazione delle norme fondamentali comuni sulla sicurezza aerea, nella versione vincolante per la Svizzera secondo il punto 3 dell’allegato all’accordo del 21 giugno 1999 tra la Confederazione Svizzera e la Comunità europea sul trasporto aereo (<ref href="https://fedlex.data.admin.ch/eli/cc/2002/258" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>0.748.127.192.68</b></ref>).</p></authorialNote> nel loro programma di sicurezza secondo gli articoli 2, 12, 13 o 14 del regolamento (CE) n. 300/2008<authorialNote><p>  Regolamento (CE) n. 300/2008 del Parlamento europeo e del Consiglio dell’11 marzo 2008 che istituisce norme comuni per la sicurezza dell’aviazione civile e che abroga il regolamento (CE) n. 2320/2002, nella versione vincolante per la Svizzera secondo il punto 3 dell’allegato all’accordo del 21 giugno 1999 tra la Confederazione Svizzera e la Comunità europea sul trasporto aereo (<ref href="https://fedlex.data.admin.ch/eli/cc/2002/258" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>0.748.127.192.68</b></ref>).</p></authorialNote>;</p></item></blockList></item><item eId="art_12/para_1/lbl_e"><num>e. </num><p>i fornitori e i gestori di servizi di cui all’articolo 74<i>b</i> capoverso 1 lettera t LSIn, a condizione che non forniscano le loro prestazioni in parte o interamente dietro compenso a favore di terzi.</p></item></blockList></content></paragraph><paragraph eId="art_12/para_2"><num>2</num><content><p> Le autorità e le organizzazioni di cui all’articolo 74<i>b</i> capoverso 1 lettere g, h, l e p LSIn sono esentate dall’obbligo di segnalazione se nel settore interessato occupano meno di 50 persone e se la loro cifra d’affari annua o il loro totale di bilancio annuo non supera i 10 milioni di franchi.</p></content></paragraph></article><article eId="art_13"><num><b>Art. 13</b></num><heading>Trasmissione di documentazione per l’accertamento dell’obbligo di segnalazione</heading><paragraph eId="art_13/para"><content><p>Le autorità e le organizzazioni interessate devono mettere a disposizione dell’UFCS tutti i documenti necessari per fornire informazioni in merito all’assoggettamento all’obbligo di segnalazione. </p></content></paragraph></article><article eId="art_14"><num><b>Art. 14</b></num><heading>Ciberattacchi da segnalare</heading><paragraph eId="art_14/para_1"><num>1</num><content><blockList><listIntroduction eId="art_14/para_1/listintro"> Il funzionamento di un’infrastruttura critica è considerato compromesso se: </listIntroduction><item eId="art_14/para_1/lbl_a"><num>a. </num><p>i collaboratori o terzi sono interessati da interruzioni del sistema; o</p></item><item eId="art_14/para_1/lbl_b"><num>b. </num><p>l’organizzazione o l’autorità interessata può mantenere le proprie attività soltanto con l’aiuto di piani d’emergenza.</p></item></blockList></content></paragraph><paragraph eId="art_14/para_2"><num>2</num><content><blockList><listIntroduction eId="art_14/para_2/listintro"> Vi è una manipolazione o una fuga di informazioni se:</listIntroduction><item eId="art_14/para_2/lbl_a"><num>a. </num><p>informazioni rilevanti per le attività aziendali vengono consultate, modificate o comunicate da persone non autorizzate; o</p></item><item eId="art_14/para_2/lbl_b"><num>b. </num><p>è stata effettuata una segnalazione di violazioni della sicurezza dei dati secondo l’articolo 24 della legge federale del 25 settembre 2020<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote> sulla protezione dei dati. </p></item></blockList></content></paragraph><paragraph eId="art_14/para_3"><num>3</num><content><p> Un ciberattacco è considerato non identificato per un periodo prolungato se l’incidente si è verificato più di 90 giorni prima.</p></content></paragraph><paragraph eId="art_14/para_4"><num>4</num><content><p> Un ciberattacco è considerato connesso ai reati di estorsione, minaccia o coazione se suddetti reati sono rivolti contro un’autorità o un’organizzazione assoggettata all’obbligo di segnalazione oppure contro persone che lavorano per tale autorità o organizzazione assoggettata.</p></content></paragraph></article><article eId="art_15"><num><b>Art. 15</b></num><heading>Contenuto della segnalazione</heading><paragraph eId="art_15/para_1"><num>1</num><content><blockList><listIntroduction eId="art_15/para_1/listintro"> Oltre alle indicazioni di cui all’articolo 74<i>e</i> capoverso 2 LSIn, la segnalazione deve contenere le seguenti informazioni sul ciberattacco:</listIntroduction><item eId="art_15/para_1/lbl_a"><num>a. </num><p>data e ora in cui è stato rilevato l’attacco; </p></item><item eId="art_15/para_1/lbl_b"><num>b. </num><p>data e ora in cui è stato compiuto l’attacco; e</p></item><item eId="art_15/para_1/lbl_c"><num>c. </num><p>indicazioni sull’aggressore.</p></item></blockList></content></paragraph><paragraph eId="art_15/para_2"><num>2</num><content><p> Deve inoltre contenere informazioni che indichino se l’attacco era connesso ai reati di estorsione, minaccia o coazione e se è stata sporta una denuncia penale.</p></content></paragraph><paragraph eId="art_15/para_3"><num>3</num><content><blockList><listIntroduction eId="art_15/para_3/listintro"> Deve contenere le seguenti informazioni sulle ripercussioni del ciberattacco:</listIntroduction><item eId="art_15/para_3/lbl_a"><num>a. </num><p>grado di compromissione della disponibilità, dell’integrità e della confidenzialità delle informazioni; e</p></item><item eId="art_15/para_3/lbl_b"><num>b. </num><p>ripercussioni del ciberattacco sul funzionamento dell’organizzazione o dell’autorità. </p></item></blockList></content></paragraph><paragraph eId="art_15/para_4"><num>4</num><content><blockList><listIntroduction eId="art_15/para_4/listintro"> Se la segnalazione non viene effettuata tramite il sistema di comunicazione dell’UFCS, deve contenere anche le seguenti informazioni sull’autorità o sull’organizzazione assoggettata all’obbligo di segnalazione:</listIntroduction><item eId="art_15/para_4/lbl_a"><num>a. </num><p>ragione sociale, nome o designazione nonché indirizzo; e</p></item><item eId="art_15/para_4/lbl_b"><num>b. </num><p>dati di contatto della persona che effettua la segnalazione.</p></item></blockList></content></paragraph></article><article eId="art_16"><num><b>Art. 16</b></num><heading>Termine per registrare la segnalazione</heading><paragraph eId="art_16/para_1"><num>1</num><content><p> Se entro il termine di segnalazione di 24 ore dopo la scoperta del ciberattacco non sono note tutte le informazioni necessarie, l’UFCS concede all’autorità o all’organizzazione interessata un termine di 14 giorni per completare la segnalazione.</p></content></paragraph><paragraph eId="art_16/para_2"><num>2</num><content><p> Se entro la scadenza del termine non sono disponibili tutte le informazioni necessarie, l’UFCS chiede all’autorità o all’organizzazione interessata di completarle immediatamente o di confermare che le informazioni non sono disponibili. </p></content></paragraph></article><article eId="art_17"><num><b>Art. 17</b></num><heading>Trasmissione della segnalazione</heading><paragraph eId="art_17/para_1"><num>1</num><content><p> Se la segnalazione non viene effettuata tramite il sistema di comunicazione dell’UFCS, quest’ultimo informa la persona o le persone di contatto di cui all’articolo 9 capoverso 2 lettera b di aver ricevuto la segnalazione e del suo contenuto.</p></content></paragraph><paragraph eId="art_17/para_2"><num>2</num><content><p> Una o più organizzazioni assoggettate all’obbligo di segnalazione possono decidere di affidare la procedura di segnalazione, singolarmente o collettivamente, a una terza organizzazione.</p></content></paragraph></article></section><section eId="sec_6"><num>Sezione 6: </num><heading>Disposizioni finali</heading><article eId="art_18"><num><b>Art. 18</b></num><heading>Modifica di altri atti normativi</heading><paragraph eId="art_18/para"><content><p>La modifica di altri atti normativi è disciplinata nell’allegato.</p></content></paragraph></article><article eId="art_19"><num><b>Art. 19</b></num><heading>Entrata in vigore</heading><paragraph eId="art_19/para"><content><p>La presente ordinanza entra in vigore il 1° aprile 2025.</p></content></paragraph></article></section></body><components><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="fr" value="Ordonnance du 7 mars 2025 sur la cybersécurité (OCyS)" shortForm="OCyS"/><FRBRname xml:lang="it" value="Ordinanza del 7 marzo 2025 sulla cibersicurezza (OCS)" shortForm="OCS"/><FRBRname xml:lang="de" value="Verordnung vom 7. März 2025 über die Cybersicherheit (Cybersicherheitsverordnung, CSV)" shortForm="CSV"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/it/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/it"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="it"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/it/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/it/xml"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="heading">Allegato</block></container></preface><mainBody><p>(Art. 18)</p><level eId="annex_u1/lvl_u1"><heading>Modifica di altri atti normativi</heading><content><p>...<authorialNote><p> Le mod. possono essere consultate alla <ref href="https://fedlex.data.admin.ch/eli/oc/2025/168" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU<b> 2025 </b>168</ref>.</p></authorialNote></p></content></level></mainBody></doc></component></components></act></akomaNtoso>