Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

zione dei datori di lavoro altri mezzi più proporzionati per soddisfare le loro più che legittime esigenze in materia di sicurezza. Occorre garantire ai datori di lavoro la facoltà di esigere dai candidati o dagli impiegati un estratto del casellario giudiziale e del registro delle esecuzioni qualora ciò sia indispensabile per la tutela degli interessi dello stesso datore di lavoro. Si propone pertanto una revisione in tal senso della LPers (cfr. art. 20a LPers).

1.2.5 Procedura di sicurezza relativa alle aziende

La procedura di sicurezza relativa alle aziende (sinora denominata «procedura di tutela del segreto») mira alla tutela della sicurezza delle informazioni nell’ambito dell’aggiudicazione di mandati da parte delle autorità a terzi (di seguito denominati «aziende») che non sottostanno direttamente alla loro vigilanza. In molti settori, le autorità aggiudicano all’economia privata mandati connessi con attività sensibili sotto il profilo della sicurezza. Nei confronti di determinati mandatari viene svolta una procedura di sicurezza relativa alle aziende allo scopo di garantire la tutela degli interessi secondo l’articolo 1 capoverso 2 anche al di là del campo d’applicazione diretto della legge. La procedura serve, da un lato, a verificare l’affidabilità delle aziende alle quali dovrebbe essere affidato un mandato e, dall’altro, consente di controllare e imporre le misure necessarie alla tutela della sicurezza delle informazioni durante l’esecuzione del mandato. La procedura di sicurezza relativa alle aziende non serve invece a garantire la sicurezza dei prodotti, che spetta ovviamente soltanto al servizio che attribuisce il mandato.

La procedura di sicurezza relativa alle aziende è appropriata e comunemente applicata sul piano internazionale (cfr. per es. l’art. 11 della «decisione del Consiglio, del 31 marzo 2011, sulle norme di sicurezza per la protezione delle informazioni classificate UE⁵» e la sezione VII delle «Regeln und Vorschriften der Europäischen Weltraumorganisation vom 15. Dezember 2011⁶»). In Svizzera viene eseguita sin dalla fine degli anni 1970 per i mandati della Confederazione il cui contenuto è classificato dal punto di vista militare e si fonda sull’ordinanza sulla tutela del segreto. A causa del ristretto campo d’applicazione materiale di questa ordinanza, attualmente la procedura è applicata soltanto per i mandati classificati dal punto di vista militare. Il Consiglio federale ha riconosciuto già molto tempo fa la mancanza di una procedura di sicurezza relativa alle aziende unitaria, ossia eseguibile anche per mandati del settore civile. Tale mancanza non solo ha comportato la necessità di adottare di volta in volta misure di sicurezza speciali per i mandati classificati della Confederazione in settori diversi da quello militare, ma ha anche ripetutamente impedito a imprese svizzere di candidarsi con successo per la partecipazione a progetti classificati non militari all’estero, tra cui per esempio la fabbricazione di documenti d’identità o di mezzi di pagamento per Stati terzi oppure la partecipazione a determinati progetti scientifici. Questa lacuna ha così inciso anche sulla competitività dell’economia svizzera.

A grandi linee, la procedura di sicurezza relativa alle aziende si svolge nel modo seguente: il servizio che attribuisce il mandato chiede l’avvio della procedura al servizio specializzato per la sicurezza aziendale (servizio specializzato SA). Una volta avviata la procedura, d’intesa con il servizio richiedente (mandante), il servizio specializzato SA fissa innanzitutto i requisiti in materia di sicurezza, dopodiché verifica l’idoneità delle aziende in questione dal punto di vista della sicurezza. Occorre in particolare esaminare se le aziende interessate sono controllate o influenzate da altri Stati e, eventualmente, se tale controllo o influenza è conciliabile con la sicurezza delle informazioni della Confederazione. Il servizio che attribuisce il mandato affida quindi l’incarico a un’azienda valutata idonea sotto il profilo della sicurezza. Successivamente, il servizio specializzato SA definisce in un apposito concetto in materia di sicurezza le modalità con cui il mandatario è tenuto ad applicare i requisiti concernenti la sicurezza delle informazioni. Dopo che le misure di sicurezza sono state attuate, al mandatario viene rilasciata la dichiarazione di sicurezza aziendale. Infine, una volta concluso il CSP e in presenza delle necessarie dichiarazioni di sicurezza, il servizio che attribuisce il mandato può mettere a disposizione dell’azienda i mezzi (per es. informazioni, dati ecc.) indispensabili per l’adempimento del mandato sensibile sotto il profilo della sicurezza. La dichiarazione di sicurezza aziendale comporta particolari conseguenze tanto per l’azienda quanto per il servizio specializzato SA. Quest’ultimo acquisisce in particolare il diritto di ispezionare l’azienda senza preavviso e di adottare ulteriori misure. I dettagli della procedura di sicurezza relativa alle aziende saranno disciplinati dal Consiglio federale mediante ordinanza.

Il disciplinamento presenta in parte un nesso relativamente stretto con il CSP, ma se ne distingue per i seguenti punti essenziali dell’iter procedurale:

 in linea di principio, viene effettuata anche in questo caso una verifica dell’affidabilità dell’azienda. Se-

condo l’esito della valutazione viene quindi rilasciata una dichiarazione di sicurezza aziendale, la quale