Nel suo rapporto dell’8 maggio 2018, la CdG-N aveva analizzato la gestione del ciberattacco contro la RUAG, di cui è stata data notizia nella primavera del 2016, giungendo alla conclusione che il Consiglio federale e il DDPS avevano reagito in modo fondamentalmente appropriato all’attacco informatico. Aveva tuttavia invitato l’Esecutivo e il citato dipartimento a prendere una posizione più ferma nei confronti della RUAG e ad adoperarsi maggiormente al fine di tutelare gli interessi della Confederazione. La Commissione aveva inoltre formulato raccomandazioni volte a migliorare la gestione strategica delle aziende e delle unità rese autonome.
La CdG-N ha in seguito esaminato le misure adottate dal Consiglio federale al fine di attuare le raccomandazioni da essa formulate. Oltre a procedere a ulteriori chiarimenti e a svolgere audizioni, la Commissione si è occupata del rapporto peritale concernente il governo d’impresa della Confederazione dell’aprile 2019. Sulla base di questi lavori la CdG-N rileva quanto segue.
Gestione strategica della RUAG: miglioramenti, ma anche questioni in sospeso
Nel suo rapporto dell’8 maggio 2018, la CdG-N aveva chiesto al Consiglio federale di illustrare in che modo intendeva garantire l’impiego mirato degli strumenti di controllo e una migliore tutela degli interessi della Confederazione nei confronti della RUAG. Nel contempo aveva invitato il Consiglio federale a esaminare l’opportunità di operare cambiamenti nell’ambito della gestione strategica dell’azienda, in particolare per quel che concerne la futura organizzazione e forma giuridica della RUAG o una sua eventuale parziale privatizzazione.
In questo contesto la Commissione valuta positivamente il fatto che il Consiglio federale, in seguito al ciberattacco, si sia occupato in modo approfondito della problematica relativa all’integrazione e allo sviluppo della RUAG. Sulla base delle informazioni a sua disposizione, la CdG-N ritiene che la decisione di ristrutturare la RUAG sia condivisibile, in particolare per motivi di sicurezza (informatica). Essa rileva inoltre che il DDPS utilizzi meglio che in passato gli strumenti di controllo esistenti, in particolare i colloqui previsti tra azienda ed ente proprietario.
La Commissione reputa tuttavia che i punti seguenti vadano chiariti in modo più approfondito:
- integrazione dell’informatica e dei dati della RUAG nei parametri di sicurezza dell’esercito; la CdG-N accoglie con favore il fatto che il DDPS abbia avviato un’ulteriore riesame volto ad assicurarsi che i dati da integrare non contengano più malware; la Commissione si attende che sulla base dei risultati del riesame il DDPS adotti se necessario ulteriori misure;
- mandati di terzi di MRO Svizzera; la CdG-N ritiene che tali mandati siano problematici sotto il profilo della sicurezza informatica e possano generare nuove interdipendenze: su questo aspetto va posta una particolare attenzione;
- presenza di un rappresentante della Confederazione nel consiglio di amministrazione delle nuove unità; la Commissione deplora il fatto che nel suo parere del settembre 2018 il Consiglio federale non abbia analizzato i vantaggi e gli svantaggi di tale rappresentanza; l’Esecutivo si è limitato a comunicare la sua decisione di rinunciarvi, nonostante nel giugno 2018 avesse dichiarato in un comunicato stampa che avrebbe accolto con favore la presenza di un rappresentante del DDPS;
- ristrutturazione e privatizzazione di RUAG International; la CdG-N si attende che il DDPS segua con attenzione questo processo e informi il Consiglio federale qualora mutassero le condizioni quadro, affinché l’Esecutivo possa se necessario esaminare ed eventualmente adeguare le decisioni prese e il calendario per lo scorporo e la ristrutturazione (ad esempio se le previsioni di vendita di parti dell’azienda si rivelassero troppo ottimistiche o se i dati che la RUAG deve trasmettere nei sistemi di sicurezza dell’esercito dovessero contenere ancora malware).
La CdG-N giunge alla conclusione che i temi citati e l’imminente trasformazione della RUAG rappresentino per la Confederazione, in quanto proprietaria, una sfida particolarmente impegnativa. Essa si attende pertanto che il DDPS e l’AFF seguano in modo attento e critico tale processo e mettano a disposizione le risorse necessarie. La Commissione si rallegra del fatto che le prime decisioni prese dal capo del DDPS vadano nella direzione auspicata.
Insufficiente presa in considerazione del problema relativo all’interdipendenza dei settori informatici
La CdG-N ha invitato il Consiglio federale a prestare particolare attenzione al problema dell’interdipendenza dei settori informatici e a valutare l’opportunità di trattare tale problematica anche nelle direttive e nei rapporti in materia di governo d’impresa. Il Consiglio federale non lo reputa necessario, rilevando di avere già la possibilità di stabilire pertinenti direttive negli obiettivi strategici.
La Commissione si rammarica del fatto che tale problematica non sia stata presa in considerazione nell’ambito dell’esame del governo d’impresa che il Consiglio federale ha affidato al giudizio di esperti. Essa critica il fatto che il Consiglio federale, pur menzionando la possibilità di definire negli obiettivi strategici direttive concernenti la problematica citata, non chiarisca se intende fare uso di tale opportunità. La Commissione chiede quindi ulteriori informazioni al Consiglio federale.
Viste le questioni ancora in sospeso, la CdG-N ha deciso di continuare a seguire la tematica. Essa chiede al Consiglio federale di prendere posizione entro il 20 febbraio 2020 sul rapporto da essa presentato e di informarla nel contempo sugli sviluppi e le decisioni più recenti riguardanti il caso RUAG.
Presieduta dalla consigliera nazionale Doris Fiala (PLR, ZH), la Commissione si è riunita a Berna il 19 novembre 2019.