Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

ria federale (CaF) e si occupa del controllo dei quadri superiori dell’Amministrazione federale nonché degli impiegati dell’altro servizio specializzato CSP.

Con la prevista legge sulle attività informative, la LMSI verrà quasi totalmente abrogata. Saranno mantenuti soltanto i CSP e i compiti il cui adempimento rientra nella competenza di fedpol. Poiché l’attuale disciplinamento dei CSP nella LMSI è finalizzato esclusivamente alla protezione di informazioni (cfr. art. 19 cpv. 1 LMSI), è opportuno spostare tale disciplinamento nella presente legge. È stata presa in esame anche la possibilità di elaborare una legge specifica per i CSP (e per la procedura di sicurezza relativa alle aziende; cfr. n. 1.2.5). Questa variante è stata tuttavia respinta in quanto non conforme all’obiettivo di riunire in un unico atto normativo tutte le misure concernenti la sicurezza delle informazioni della Confederazione.

1.2.4.2 Eliminazione di lacune giuridiche

Con il trasferimento delle disposizioni legali formali concernenti i CSP nel presente avamprogetto si mira a colmare alcune carenze del diritto vigente. Il CSP rappresenta una grave ingerenza nei diritti della personalità delle persone da sottoporre al controllo. Secondo il principio di legalità sancito dalla Costituzione, per tali ingerenze è indispensabile una base legale formale dettagliata. Sotto questo profilo, il disciplinamento proposto è molto più dettagliato di quello contemplato attualmente dalla LMSI e soddisfa pertanto anche le aspettative del Parlamento in merito a una definizione legale formale dei criteri per la valutazione del rischio (cfr. art. 42).

Sebbene il disciplinamento dei CSP nella LMSI sia finalizzato esclusivamente alla protezione di informazioni, in passato i motivi atti a giustificare lo svolgimento di un CSP sono stati ampliati contra legem nell’OCSP. Per questo si propone di fissare in maniera esaustiva i motivi del controllo nella futura legge sulla sicurezza delle informazioni e di limitarli alle esigenze direttamente legate a tale sicurezza. Nell’avamprogetto, questi motivi del controllo, rigorosamente definiti, sono sussunti nell’espressione attività sensibile sotto il profilo della sicurezza. Le seguenti attività rientrano in tale categoria:

 il trattamento di informazioni classificate «CONFIDENZIALE» o «SEGRETO» oppure la gestione del

materiale classificato in maniera corrispondente;

 l’amministrazione, l’esercizio, la manutenzione o la verifica di mezzi TIC del livello di sicurezza «prote-

zione elevata» oppure «protezione molto elevata»»;

 l’accesso a zone di sicurezza, in particolare alle zone di protezione 2 o 3 di un impianto secondo la legi-

slazione sulla protezione di impianti militari.

Alcuni dei motivi del controllo attualmente in vigore vengono pertanto stralciati senza sostituzione. È in particolare il caso del motivo, applicato finora, dell’accesso regolare a dati personali degni di particolare protezione, la cui divulgazione potrebbe gravemente pregiudicare i diritti individuali delle persone interessate (cfr. art. 19 cpv. 1 lett. e LMSI). Nella prassi è infatti pressoché impossibile determinare quali informazioni rientrino nel campo d’applicazione di tale disposizione.

Qualora, per ragioni di sicurezza, sia necessario svolgere un controllo anche per altre attività, occorrerà disciplinare i motivi del controllo nella legislazione speciale. Per poter garantire una distinzione chiara tra il CSP basato sulla legge sulla sicurezza delle informazioni e quello disciplinato da altri atti normativi è indispensabile utilizzare per quest’ultimo una terminologia diversa, ossia verifica dell’affidabilità. Nell’allegato viene pertanto proposta una modifica della legge sul personale federale (LPers) e della legge militare (LM) affinché le persone destinate a rappresentare regolarmente la Svizzera all’estero o a esercitare competenze decisionali o compiti di vigilanza in affari finanziari essenziali possano essere sottoposte a una verifica dell’affidabilità.

Una questione controversa è stata quella di stabilire se, ai fini dell’iscrizione di una determinata funzione nell’elenco delle funzioni da sottoporre al controllo, fosse sufficiente anche aver svolto una sola volta un’attività sensibile sotto il profilo della sicurezza o se fosse opportuno mantenere il principio della regolarità contemplato dal sistema attuale (cfr. art. 19 cpv. 1 LMSI). Il criterio della regolarità si fonda tra l’altro sulla valutazione del Servizio delle attività informative della Confederazione, secondo cui la minaccia nell’ambito della protezione dello Stato risulta particolarmente elevata negli ambiti in cui i collaboratori hanno accesso regolarmente e per periodi prolungati a informazioni classificate. Le persone che hanno accesso soltanto occasionalmente e per periodi limitati a tali informazioni sono esposte a un rischio minore, essendo anche meno interessanti per i servizi che intendono acquisire informazioni. Il criterio della regolarità comporta tuttavia due problemi. In primo luogo, le attività di acquisizione di informazioni da parte dei servizi informazioni sono solo una delle tante minacce alla sicurezza delle informazioni. Anche solo accedendo un’unica volta a un’informazione classificata SEGRETO, una persona può arrecare un grave pregiudizio alla