Progetto

Sicurezza delle informazioni RU ...

Art. 20 Analisi delle necessità di protezione e valutazione dei rischi

¹Le organizzazioni e autorità assoggettate provvedono, in occasione della pianificazione dell'impiego di mezzi TIC, affinché siano valutate le necessità in materia di sicurezza delle informazioni.

²Le autorità e organizzazioni assoggettate che intendono impiegare nuove tecnologie provvedono a valutare i rischi per la sicurezza delle informazioni ad esse connessi. Comunicano la valutazione dei rischi al servizio specializzato della Confederazione per la sicurezza delle informazioni.

Art. 21 Livelli di sicurezza dei mezzi TIC

¹Il livello di sicurezza «protezione di base» si applica a tutti i mezzi TIC, sempre che essi non debbano essere attribuiti a un livello di sicurezza più elevato.

²Il livello di sicurezza «protezione elevata» si applica ai mezzi TIC:

a. per i quali una violazione della confidenzialità, della disponibilità, dell'integrità o della tracciabilità delle informazioni che sono destinati a trattare può pregiudicare considerevolmente gli interessi di cui all'articolo 1 capoverso 2; o

b. il cui disturbo o la cui utilizzazione abusiva può pregiudicare considerevolmente gli interessi di cui all'articolo 1 capoverso 2.

³Il livello di sicurezza «protezione molto elevata» si applica ai mezzi TIC:

a. per i quali una violazione della confidenzialità, della disponibilità, dell'integrità o della tracciabilità delle informazioni che sono destinati a trattare può pregiudicare gravemente gli interessi di cui all’articolo 1 capoverso 2; o

b. il cui disturbo o la cui utilizzazione abusiva può pregiudicare gravemente gli interessi di cui all’articolo 1 capoverso 2.

Art. 22 Requisiti di sicurezza del livello di sicurezza «protezione di base»

¹Le autorità assoggettate stabiliscono i requisiti minimi per i mezzi TIC del livello di sicurezza «protezione di base».

²Tali requisiti minimi devono essere soddisfatti da tutti i mezzi TIC.

Art. 23 Concetto in materia di sicurezza delle informazioni

¹Le autorità e organizzazioni assoggettate provvedono affinché sia eseguita un'analisi dei rischi e allestito un concetto in materia di sicurezza delle informazioni per i mezzi TIC dei livelli di sicurezza «protezione elevata» e ««protezione molto elevata».

²Il concetto in materia di sicurezza delle informazioni deve essere verificato dall'incaricato della sicurezza delle informazioni competente e approvato dall'autorità o organizzazione assoggettata.

³Deve essere costantemente aggiornato.