Servizi cloud e a duplice impiego. Colmare le lacune nella legislazione in materia di controllo delle esportazioni
(26.3606)- Risposta del CF / Ufficio
Il Consiglio federale si è già espresso su tali questioni nel parere in merito al postulato 25.4119 e nella risposta all’interpellanza 25.4530.
Secondo la legge sul controllo dei beni a duplice impiego (RS 946.202), per sostenere misure di controllo internazionali non obbligatorie sotto il profilo del diritto internazionale e qualora tali misure siano sostenute anche dai principali partner commerciali della Svizzera, il Consiglio federale può introdurre l’obbligo di autorizzazione per l’importazione, l’esportazione, il transito e la mediazione di beni. In questo modo vengono recepiti gli elenchi di beni armonizzati a livello internazionale relativi ai beni a duplice impiego e ai beni militari speciali, che derivano ad esempio dall’Accordo di Wassenaar.
Gli elenchi di beni previsti dall’Accordo di Wassenaar, e quindi anche il regime svizzero di controllo delle esportazioni, comprendono già oggi la messa a disposizione transfrontaliera di software a duplice impiego e di software militari, indipendentemente dalle modalità di trasferimento (compresi i Software-as-a-Service [SaaS] ad esempio tramite un’infrastruttura cloud). La sola messa a disposizione di servizi cloud generici, che non costituisce un’attività soggetta ai controlli delle esportazioni, non rientra per contro nei controlli delle esportazioni armonizzati a livello internazionale; di conseguenza il Consiglio federale non può emanare misure in tal senso. A livello internazionale non è previsto alcun cambiamento nel prossimo futuro. Il Consiglio federale respinge una modifica della legge sul controllo dei beni a duplice impiego non solo per questo motivo, ma anche perché una regolamentazione dei servizi cloud non sarebbe pertinente in questa base legale. Questo approccio trova conferma anche guardando oltre i confini nazionali, ad esempio in Germania, dove tali servizi non sono disciplinati dalla legislazione sul controllo delle esportazioni, ma ad esempio dalla legge sull’ufficio federale per la sicurezza informatica e sulla sicurezza informatica delle istituzioni («Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen»).
Inotre, in determinati casi, i servizi cloud forniti a forze armate o di sicurezza e in stretta relazione con i loro compiti principali possono essere considerati come sostegno logistico ai sensi della legge federale sulle prestazioni di sicurezza private fornite all’estero (LPSP; RS 935.41).
Il rischio che le infrastrutture informatiche gestite in Svizzera vengano utilizzate in modo improprio per sferrare attacchi informatici è già tematizzato nell’ambito dell’attuazione della mozione 25.3011 «Rafforzare il ruolo dei prestatori di servizi di hosting e di cloud nella lotta contro le ciberminacce», che incarica il Consiglio federale di elaborare le basi legali necessarie per impedire tali abusi.
Il Consiglio federale propone di respingere la mozione. - Motivazione
Il Consiglio federale afferma nell’interpellanza 25.4530 che le infrastrutture cloud «IaaS», «PaaS» e «SaaS» non costituiscono esportazioni ai sensi della LBDI e non sono soggette ad autorizzazione. Allo stesso tempo, non vi sono meccanismi di controllo specifici per tali servizi, a meno che non siano coinvolti software esplicitamente elencati.
Questa situazione giuridica consente l’accesso dalla Svizzera a infrastrutture digitali potenzialmente rilevanti sotto il profilo della sicurezza, senza che venga effettuato un controllo sistematico ai sensi della legislazione sul controllo delle esportazioni. Data la crescente importanza delle tecnologie digitali in ambito militare e dei servizi di intelligence, un approccio incentrato principalmente sui beni materiali è giunto al suo limite e non è più al passo con i tempi.
La prassi attuale, secondo cui i controlli vengono effettuati solo in casi specifici e in presenza di indizi concreti, non è sufficiente a prevenire gli abusi. Dato il rapido sviluppo tecnologico, ad esempio nel campo dei nuovi modelli «as a service», è inoltre necessario un approccio aperto alle diverse tecnologie, così da evitare future lacune.
- Testo depositato
Il Consiglio federale è incaricato di adeguare le basi legali, in particolare la legge sul controllo dei beni a duplice impiego (LBDI) e l’ordinanza sul controllo dei beni a duplice impiego (OBDI), in modo tale che anche la fornitura di infrastrutture e servizi digitali – in particolare infrastrutture cloud (IaaS), servizi di piattaforma (PaaS), servizi applicativi cloud (SaaS) e l’accesso remoto – siano soggetti a un obbligo di autorizzazione o di dichiarazione qualora sussista un rischio concreto di impiego militare o per finalità rilevanti sotto il profilo della sicurezza.
A tal fine occorre assicurare che:
- la distinzione attualmente in vigore tra esportazione fisica e fornitura digitale di tecnologie rilevanti sotto il profilo della sicurezza venga riesaminata e adeguata, e che le lacune esistenti vengano colmate;
- le autorità competenti dispongano di strumenti adeguati per registrare e controllare in modo efficace e indipendentemente dalla tecnologia utilizzata i trasferimenti immateriali di tecnologia, nonché le future forme di servizi digitali;
- la Svizzera sfrutti attivamente il proprio margine di manovra nell’ambito dell’Accordo di Wassenaar e lo ampli.
- Titolo dell'oggettoServizi cloud e a duplice impiego. Colmare le lacune nella legislazione in materia di controllo delle esportazioni
Dati: OpenParlData · CC BY 4.0