Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

attesta l’affidabilità dell’azienda e le consente di esercitare in veste di mandatario attività della Confederazione (o di un’autorità estera) sensibili sotto il profilo della sicurezza. La procedura non si limita tuttavia a un «controllo» dell’azienda in senso stretto, ma riguarda anche la definizione delle misure di sicurezza da attuare nell’azienda in relazione al mandato;

 a differenza del CSP, la procedura di sicurezza relativa alle aziende non si conclude semplicemente con il

rilascio della dichiarazione di sicurezza, bensì occorre poter verificare in qualsiasi momento il rispetto delle misure stabilite.

1.2.6 Sicurezza delle informazioni nelle infrastrutture critiche

Con decisione del 30 novembre 2011, il Consiglio federale ha incaricato il DDPS di integrare nella presente legge, laddove necessario, il fabbisogno normativo a livello di legge formale derivante dalla Strategia nazionale per la protezione della Svizzera contro i rischi informatici. Poiché in tale Strategia il Consiglio federale ha ribadito il principio del disciplinamento decentralizzato delle infrastrutture critiche (cfr. n. 1.1.2.2), la verifica del fabbisogno normativo a livello di legge formale incombe ai dipartimenti che, nel quadro dell’adempimento dei rispettivi compiti, sono investiti di poteri normativi nei confronti dei gestori di infrastrutture critiche (per es. il DATEC per il settore dell’infrastruttura di comunicazione o per il settore dell’approvvigionamento energetico). Se, in settori specifici, sussiste una necessità d’intervento a livello di legge formale, occorre adeguare la pertinente legislazione speciale.

Vi sono tuttavia determinati compiti che devono essere svolti a livello intersettoriale e che, anche per motivi di efficienza e di costo, non possono essere assunti dai singoli enti regolamentatori decentralizzati. Si tratta in primo luogo dell’appoggio alle varie infrastrutture critiche mediante lo scambio reciproco di informazioni sulle minacce nel campo della sicurezza delle informazioni, particolarmente utile per individuare tempestivamente i rischi e sventare eventuali pericoli. In quest’ambito, la prassi ha dimostrato che la collaborazione con un unico servizio centrale della Confederazione (nella fattispecie, la Centrale d’annuncio e d’analisi per la sicurezza dell’informazione MELANI) è espressamente auspicata dai gestori di infrastrutture critiche. Si è inoltre rivelato particolarmente efficace il partenariato pubblico-privato istituito nel quadro della centrale MELANI, segnatamente grazie alla sua possibilità di accedere alle informazioni del Servizio delle attività informative della Confederazione. Oltre alle informazioni messe a disposizione dalla centrale MELANI, vengono apprezzati soprattutto il mantenimento, da parte dei rispettivi fornitori, del controllo sulle informazioni scambiate in caso di incidente, il carattere volontario della collaborazione nonché l’approccio secondo cui l’appoggio a favore della sicurezza delle informazioni e del processo di gestione dei rischi viene garantito mediante informazioni ed eventualmente raccomandazioni e non prescrivendo misure tramite apposite regolamentazioni.

Questo compito intersettoriale della Confederazione per l’appoggio alle infrastrutture critiche deve essere previsto nella presente «legge trasversale» nella misura in cui sia necessaria al riguardo una base legale formale. Nell’avamprogetto vengono così fissati i compiti fondamentali della centrale MELANI, la quale, per adempierli, deve regolarmente trattare dati personali. Tra questi possono anche figurare (raramente) dati personali degni di particolare protezione. L’avamprogetto crea la base legale formale necessaria per il trattamento di tali dati.

1.2.7 Esecuzione

1.2.7.1 Esecuzione presso le autorità federali

La sfida nel disciplinare l’esecuzione della presente legge consiste nel garantire la sua applicazione secondo criteri il più possibile uniformi. Occorre inoltre applicare costantemente le direttive relative alla sicurezza delle informazioni. Se non si ottiene un’esecuzione uniforme (in particolare nell’ambito della gestione di informazioni classificate o di mezzi TIC), la sicurezza delle informazioni nello scambio di informazioni tra autorità sarà inevitabilmente affetta da lacune. È tuttavia necessario rispettare al tempo stesso l’autonomia delle autorità interessate (Parlamento, Consiglio federale, tribunali della Confederazione, Ministero pubblico della Confederazione, Banca nazionale) sul piano dell’organizzazione e dell’esecuzione. La competenza riconosciuta dalla Costituzione alle singole autorità non può essere messa in discussione da disposizioni esecutive in parte di portata generale emanate da un’autorità particolare (per es. il Consiglio federale).

L’avamprogetto tiene conto di questi requisiti, di per sé contraddittori, con tre meccanismi:

 clausola di esenzione («opting out») per l’esecuzione: viene fissato il principio secondo cui ogni autorità

esegue autonomamente l’atto normativo nel proprio ambito ed emana il relativo disciplinamento a livello di ordinanza. Le disposizioni esecutive del Consiglio federale devono tuttavia essere applicate per analogia anche alle altre autorità federali fintanto che e nella misura in cui queste ultime non emanano disciplinamenti propri;