Servizi segreti Cyberattacchi: il SIC non ha infranto la legge, ma non tutto è filato liscio
Il Servizio delle attività informative della Confederazione (SIC) non ha violato intenzionalmente le disposizioni della Legge federale sulle attività informative (LAln), ma ha mal interpretato la situazione giuridica.
12.12.2022, 13:51
SDA
È la conclusione dell'indagine amministrativa del Dipartimento federale della difesa della protezione della popolazione e dello sport (DDPS) aperta all'inizio dell'anno.
L'indagine, condotta dall'ex giudice federale Niklaus Oberholzer, riguardava l'acquisizione da parte del SIC di informazioni senza autorizzazione formale dal 2015 al 2020. La divisione cyber del SIC aveva ottenuto informazioni su possibili attacchi informatici che erano soggette al segreto delle telecomunicazioni.
Autorizzazione non chiesta
Le misure di sorveglianza riguardavano pirati informatici che perpetravano cyberattacchi contro la Svizzera o interessi svizzeri oppure, sfruttando le infrastrutture informatiche svizzere, contro istituzioni estere.
Tali misure sono soggette ad autorizzazione ai sensi della legge sui servizi segreti e sono consentite solo con l'approvazione del Tribunale amministrativo federale.
Tuttavia una tale autorizzazione non è stata richiesta, è stato sottolineato oggi in una conferenza stampa a Berna in occasione della presentazione del rapporto.
Pressioni da politica e responsabili
Oberholzer ha dichiarato a Keystone-ATS che non è stata ottenuta né l'autorizzazione giudiziaria né il nulla osta politico, e che questo ha portato all'acquisizione illegale dei dati. C'è stata una grande pressione per trovare un responsabile della cattiva condotta.
Da un lato, c'era il capo della divisione cyber del SIC «tecnicamente esperto, di successo e innovativo». Dall'altro lato, c'erano i superiori e la direzione che non avevano guardato con sufficiente attenzione. Questa miscela ha reso possibile la cattiva condotta, ha proseguito Oberholzer.
All'interno del SIC, la divisione cyber è responsabile dell'identificazione e della prevenzione a uno stadio precoce dei cyberattacchi contro i sistemi informatici.
La direzione del SIC aveva interrotto le attività dopo aver ricevuto le prime comunicazioni su possibili irregolarità. Alla fine di aprile 2021 aveva avviato accertamenti approfonditi. Nel gennaio 2022, il DDPS ha informato il Consiglio federale e le autorità di vigilanza.
Omissione
L'indagine commissionata dal DDPS dimostra che il SIC non ha infranto deliberatamente le disposizioni della LAln. Tuttavia, non ha considerato la situazione giuridica e non ha compreso che l'acquisizione e il trattamento dei dati avevano una dimensione legata al diritto delle telecomunicazioni.
Il rapporto contiene inoltre diverse raccomandazioni sull'ulteriore modo di procedere. La responsabile del DDPS Viola Amherd ha incaricato il SIC di esaminarle e di attuarle.
Al fine di risolvere i problemi di gestione evidenziati nel rapporto, nei prossimi mesi saranno adottate misure concrete nell'ambito della trasformazione del SIC.
Segreto
Il rapporto finale è classificato come «segreto», in quanto contiene informazioni provenienti da fonti classificate come tali. Esso descrive anche le esigenze specifiche in materia di informazione come pure i metodi concreti di acquisizione e trattamento delle informazioni del SIC per la difesa contro i cyberattacchi coordinati a livello internazionale. Per queste ragioni il DDPS pubblica un riassunto dei risultati principali e un estratto delle raccomandazioni e della valutazione giuridica.
Il DDPS ha trasmesso il rapporto finale all'Autorità di vigilanza indipendente sulle attività informative (AVI-AIn) e alla Delegazione delle commissioni della gestione (DelCG), informandole dell'attuazione delle raccomandazioni.
