Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

di informazioni, tra cui anche informazioni che risultano particolarmente sensibili per la sicurezza interna o esterna, le relazioni internazionali o gli interessi di politica economica della Svizzera e che, per questo motivo, devono essere protette mediante classificazione.

Le informazioni classificate non sono però le uniche informazioni caratterizzate da maggiori necessità di protezione. In passato, lo spionaggio riguardava principalmente l’acquisizione di informazioni militari e di politica estera, mentre oggi si orienta sempre più alle informazioni di carattere economico. Nel contesto di forte competitività legato alla globalizzazione, chi riesce ad appropriarsi delle conoscenze (risultati della ricerca e dello sviluppo, know-how ecc.) dei suoi concorrenti beneficia di un vantaggio decisivo. Di conseguenza, da qualche anno le attività di spionaggio economico e industriale si sono intensificate, in particolar modo nel settore dell’alta tecnologia. Proprio sotto questo aspetto, l’Amministrazione federale costituisce un centro nevralgico estremamente sensibile, in quanto regolamenta l’economia privata, verifica determinati prodotti e decide in merito alla loro omologazione, controlla determinate imprese, acquista per suo conto prodotti e servizi di grande valore e così via. Nello svolgimento di queste attività, cura un dialogo permanente con i propri partner del settore pubblico e privato in Svizzera e all’estero e tratta una moltitudine di informazioni che contengono segreti d’affari e di fabbricazione di terzi, rischiando in tal modo di finire nel mirino di chi vuole appropriarsi di questo tipo di informazioni. I terzi che, in virtù di un obbligo legale o di un contratto, affidano le loro informazioni alle autorità federali si aspettano però giustamente che, nelle mani di tali autorità, queste informazioni siano anche effettivamente protette.

La Confederazione tratta inoltre grandi quantità di dati personali, i quali, secondo le prescrizioni della legislazione sulla protezione dei dati, devono essere trattati esclusivamente in modo conforme alla legge, adeguato allo scopo e proporzionato, nonché protetti con misure organizzative e tecniche. In caso di abuso in materia di dati personali, i diritti della personalità degli interessati possono essere gravemente violati. Certi dati personali sono ricercati tanto quanto le informazioni tecnologiche dell’industria. Il loro valore finanziario non dovrebbe essere sottovalutato. L’acquisizione e la rivelazione di dati riferiti alle persone sono infatti oggetto di un fiorente mercato.

Il verificarsi di incidenti gravi o ripetuti può pregiudicare seriamente la fiducia riposta nelle autorità federali. Questa sfiducia può inoltre addirittura privare la Confederazione di importanti informazioni fintanto che non comprovi di poter garantire in modo affidabile la loro protezione.

Questi rischi per la Confederazione non sono ipotesi astratte e improbabili. Nel mese di ottobre del 2009, nel Dipartimento federale degli affari esteri (DFAE) è stato per esempio individuato un malware finalizzato ad attività di spionaggio e rimasto occultato per molto tempo dopo essere giunto nella rete attraverso la posta elettronica. Negli anni precedenti, anche l’impresa parastatale d’armamento RUAG e la ditta Mowag avevano subito un attacco simile. Non vanno inoltre dimenticate le minacce derivanti da collaboratori della Confederazione. A tale proposito, nel maggio del 2012 è stato scoperto un grave furto di dati presso il Servizio delle attività informative della Confederazione (SIC). Grazie alle autorizzazioni d’accesso di cui disponeva, un collaboratore del SIC aveva memorizzato grandi quantità di informazioni sensibili su supporti di dati amovibili per divulgarli al di fuori del Servizio. Prima di essere arrestato, il collaboratore in questione aveva già tentato di vendere i dati sottratti.

Spesso si verificano inoltre fatti meno gravi quali il furto o lo smarrimento di computer portatili o smartphone nonché la perdita di supporti di informazioni classificati, la divulgazione non autorizzata, perlopiù a scopo politico, di informazioni degne di protezione, e problemi di funzionamento causati da interruzioni dei server, reti sovraccariche o configurazioni errate dei software. Poiché la maggior parte di questi incidenti non è oggetto di rilevamenti sistematici o, per lo meno, non viene comunicata agli organi specializzati affinché possano effettuare una valutazione, è difficile stimare i danni complessivi subiti dalla Confederazione.

1.1.3 Mandati del Consiglio federale

Durante l’elaborazione dell’avamprogetto si è dovuto tenere conto di numerose proposte formulate dal Consiglio federale in merito alla sicurezza delle informazioni. Qui di seguito sono riportate soltanto le proposte che hanno influito in maniera sostanziale sull’avamprogetto di legge.

1.1.3.1 Adozione dell’ordinanza sulla protezione delle informazioni e mandato d’esame del Consiglio

federale

A metà del 2007 il Consiglio federale ha adottato la nuova ordinanza sulla protezione delle informazioni (OPrI), che ha sostituito le due ordinanze precedentemente applicabili all’ambito civile e a quello militare, rinunciando alla ormai praticamente impossibile distinzione tra informazioni di carattere civile e informazioni di carattere militare. Le prescrizioni della nuova ordinanza riguardanti la classificazione e il trattamento hanno inoltre introdotto per la prima volta un livello di protezione uniforme per tutta l’Amministrazione