Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

Compendio

Le informazioni sono il mezzo di scambio della società dell’informazione. Le autorità federali sono responsabili della gestione sicura delle informazioni trattate da loro stesse o dai rispettivi collaboratori per incarico e in nome della Svizzera e, per poter adempiere a tale responsabilità, devono disporre di strumenti moderni. L’evoluzione verso una società dell’informazione ha reso più complessi e dinamici i pericoli e le minacce che incombono sulle informazioni. Per quanto concerne la protezione delle informazioni, diversi attacchi sferrati ai sistemi d’informazione della Confederazione hanno evidenziato la presenza di lacune che, in particolare in ambito organizzativo, possono tra l’altro essere ricondotte all’anacronismo o all’incoerenza delle basi legali.

Ispirandosi a standard internazionalmente riconosciuti, il presente avamprogetto di legge crea basi legali formali uniformi per la gestione della sicurezza delle informazioni nell’ambito di responsabilità della Confederazione. Lo scopo è quello di adeguare la protezione delle informazioni e la sicurezza nell’impiego di tecnologie dell’informazione e della comunicazione (TIC) alle esigenze di una società dell’informazione moderna e interconnessa, nonché di eliminare le lacune e i punti deboli del diritto vigente.

Punti essenziali dell’avamprogetto

Sicurezza delle informazioni

Per «sicurezza delle informazioni» si intende la totalità dei requisiti e delle misure destinati a proteggere la confidenzialità, la disponibilità, l’integrità e la tracciabilità delle informazioni indipendentemente dal fatto che esse siano trattate in forma elettronica, orale o cartacea.

In seno alla Confederazione, le basi legali esistenti per la definizione di tali requisiti e per l’attuazione delle misure sono impostate in modo molto settoriale e risultano scarsamente coordinate nonché, spesso, lacunose. Lo stesso dicasi per le competenze organizzative. Attualmente, infatti, la Confederazione gestisce organizzazioni parallele, sia a livello organizzativo che sul piano giuridico, per la protezione dei dati, la protezione delle informazioni (protezione di informazioni classificate), la sicurezza informatica, la sicurezza delle persone, la sicurezza fisica e la gestione dei rischi. L’esperienza pratica ha dimostrato l’inefficienza di questo orientamento settoriale. L’avamprogetto riassume pertanto le misure più importanti per la protezione delle informazioni in un unico disciplinamento uniforme e prevede inoltre un’unica struttura per gestire ed esaminare in modo integrale, dal punto di vista giuridico e organizzativo, le questioni legate alla sicurezza delle informazioni.

Campo d’applicazione istituzionale

Gli scambi di informazioni tra le autorità e tra autorità e privati (compreso il settore economico) sono fortemente aumentati e avvengono sempre più spesso in formato elettronico. Il fatto che un’informazione sia degna di protezione o meno, tuttavia, non dipende dal servizio o dalla persona da cui essa viene trattata. Inoltre, poiché le infrastrutture e i sistemi TIC sono sempre più interconnessi tra loro, cresce il rischio che eventuali attacchi e minacce contro un’autorità possano estendersi anche agli ambiti di competenza di altre autorità coinvolte. È pertanto necessario fissare un livello di sicurezza uniforme per tutte le autorità al fine di garantire la fiducia reciproca tra le autorità federali nel quadro del trattamento delle informazioni nonché di ridurre il rischio per tutte le autorità coinvolte.

Rientreranno quindi nel campo d’applicazione principale del presente avamprogetto tutte le autorità federali (l’Assemblea federale, i tribunali della Confederazione, il Consiglio federale, il Ministero pubblico della Confederazione, l’autorità di vigilanza sul Ministero pubblico della Confederazione e la Banca nazionale) e le organizzazioni ad esse subordinate (i Servizi del Parlamento, le amministrazioni dei tribunali della Confederazione, l’Amministrazione federale e l’esercito). Le direttive della Confederazione devono essere vincolanti anche per i Cantoni o i terzi a cui viene affidato il trattamento di informazioni della Confederazione o che hanno accesso ai suoi mezzi TIC.

Gestione dei rischi

La complessità e la dinamica delle minacce esigono inoltre che le autorità federali si focalizzino maggiormente su una valutazione sistematica delle necessità di protezione delle informazioni e sull’analisi dei relativi rischi. Ciò presuppone una gestione dei rischi efficace nel campo della sicurezza delle informazioni e una verifica periodica dell’attuazione delle misure di riduzione dei rischi. Queste due condizioni sono oggi quasi completamente inadempiute. Con il presente avamprogetto viene pertanto avviato anche un processo destinato a garantire in maniera duratura ed economica la sicurezza delle informazioni.