Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

re con la tecnica e l’accento viene posto quasi esclusivamente sui compiti della direzione (management) per la protezione dei propri valori in tema di informazioni nonché sulle corrispondenti misure organizzative. Gli standard contengono tuttavia anche le migliori pratiche (best practices), concrete e di provata efficacia, per l’attuazione di misure in materia di personale, tecniche ed edili.

Il presente avamprogetto crea una base legale formale uniforme per la gestione della sicurezza delle informazioni in seno alla Confederazione. Il contenuto e la struttura del presente avamprogetto si basano in larga misura su dette norme e ne perseguono l’attuazione in funzione delle esigenze specifiche. In tale ambito, la sicurezza delle informazioni viene considerata in base a un approccio integrale, secondo cui tutte le questioni che la riguardano sono, per quanto possibile, gestite, concretizzate, verificate e migliorate congiuntamente. Per questo l’avamprogetto concentra in un’unico atto normativo le misure organizzative più importanti volte a garantire la protezione delle informazioni e la sicurezza nell’impiego delle TIC. Rispetto all’attuale impostazione settoriale delle strutture giuridiche e organizzative della Confederazione, questo approccio in materia di sicurezza delle informazioni rappresenta un orientamento nuovo e integrale.

1.2.2 Campo d’applicazione

1.2.2.1 Campo d’applicazione materiale

Il campo d’applicazione materiale si evince, di principio, dalla nozione stessa di sicurezza delle informazioni. La protezione deve concentrarsi su tutte le informazioni di competenza delle autorità federali. La legge si applica alle informazioni di qualsiasi genere (per es. non solo a testi, ma anche a rappresentazioni grafiche) e in qualsiasi forma, ossia non soltanto a informazioni elettroniche, ma anche a informazioni su supporto fisico (documenti cartacei). Si tratta principalmente di informazioni prodotte dalle autorità federali stesse, ma sono comprese anche le informazioni che queste ultime ricevono da terzi, assumendosi pertanto anche la responsabilità del loro trattamento sicuro e conforme al diritto. L’avamprogetto riguarda inoltre le informazioni di cui le autorità federali affidano il trattamento a terzi. Limitare il campo d’applicazione materiale implicito alle informazioni sensibili non sarebbe opportuno. Per valutare se un’informazione è sensibile o degna di protezione sono indispensabili criteri e meccanismi di valutazione che, inevitabilmente, devono essere applicati a tutte le informazioni.

L’avamprogetto comprende tutti i mezzi TIC che vengono impiegati dalla Confederazione o il cui esercizio viene commissionato da quest’ultima. In realtà, i mezzi tecnici utilizzati per il trattamento delle informazioni non devono essere tutelati per se stessi, bensì, piuttosto, per proteggere le informazioni trattate e i processi aziendali da essi supportati. Tuttavia, poiché nella prassi i mezzi TIC sono annoverati tra gli oggetti da proteggere, vengono anch’essi inclusi espressamente nella LSIn.

1.2.2.2 Campo d’applicazione istituzionale

Per ampi tratti, il presente avamprogetto costituisce un atto normativo di carattere organizzativo. La legge deve tuttavia essere applicata da tutte le autorità federali come pure dalle organizzazioni loro subordinate nei rispettivi ambiti di competenza. Soltanto in questo modo, infatti, si può aspirare a una sicurezza delle informazioni efficace. Nella legge vanno inoltre incluse altre organizzazioni di diritto pubblico o privato che esercitano attività sensibili sotto il profilo della sicurezza su incarico della Confederazione. Ciò corrisponde al mandato del Consiglio federale di estendere il campo d’applicazione delle norme sulla protezione delle informazioni a tutte le persone che la Confederazione incarica di trattare informazioni protette.

I motivi per i quali tutte le autorità federali, anche quelle legislative e giudiziarie, devono essere incluse nel campo d’applicazione della legge sono molteplici. Innanzitutto, per adempiere i compiti previsti dalla Costituzione e dalla legge, le autorità federali si scambiano regolarmente informazioni, comprese le informazioni classificate o altre informazioni degne di protezione. Attualmente, tuttavia, non applicano un sistema di classificazione uniforme. Inoltre, le misure adottate dalle singole autorità per proteggere tali informazioni sono molto diverse e scarsamente coordinate tra loro. Per questo, in passato, è spesso accaduto che informazioni della Confederazione classificate che erano state trasmesse ad altre autorità federali venissero trattate violando alcune fondamentali prescrizioni di protezione del Consiglio federale. Tutte le autorità federali devono pertanto applicare gli stessi principi di classificazione e adottare misure di protezione equivalenti. Soltanto in questo modo può essere garantita la necessaria fiducia reciproca nell’ambito della gestione di tali informazioni.

Si sta inoltre assistendo a una sempre maggiore interconnessione tra i sistemi informatici delle autorità federali. Uno degli obiettivi del Consiglio federale è quello di puntare maggiormente e con più decisione sullo scambio elettronico delle informazioni e sui servizi elettronici (e-government). Saranno quindi sempre più numerose le interfacce comuni tra i sistemi delle diverse autorità federali e aumenterà il rischio che eventuali attacchi e minacce contro una determinata autorità si estendano anche agli ambiti di competenza di altre au-