Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

1.3.1.3 Organizzazione specialistica della sicurezza informatica

L’organizzazione della sicurezza informatica è principalmente definita dall’ordinanza sull’informatica nell’Amministrazione federale (OIAF), ma le competenze e responsabilità specifiche sono influenzate anche da numerosi altri atti normativi (OPrI, accordi sulla protezione delle informazioni, OLPD, ordinanza GEVER ecc.). L’esecuzione della sicurezza informatica è decentralizzata. I dipartimenti e la Cancelleria federale sono responsabili dell’attuazione nei rispettivi ambiti. L’esecuzione è però coordinata a livello centrale da un organo con la facoltà di impartire istruzioni (ODIC) e seguita da un organo consultivo (C-SI).

 Consiglio federale: il Consiglio federale svolge un ruolo strategico in materia di sicurezza TIC. Molti dei

suoi compiti in questo settore si ricollegano alla sua responsabilità nell’ambito generale delle TIC secondo l’articolo 14 OIAF: stabilisce la strategia TIC della Confederazione, vigila sull’attuazione della strategia TIC della Confederazione e, all’occorrenza, ordina misure, definisce i servizi standard TIC, emana istruzioni in materia di sicurezza TIC e autorizza deroghe alle proprie direttive.

 ODIC: in virtù dell’articolo 17 OIAF, nel settore della sicurezza TIC l’ODIC decide in merito alle richie-

ste dei dipartimenti, della Cancelleria federale e delle unità amministrative concernenti disposizioni speciali in relazione all’attribuzione di diritti e mandati rilevanti sotto il profilo della sicurezza, in particolare riguardo a firewall, diritti d’accesso e privilegi; decide misure di sicurezza TIC specifiche qualora l’Amministrazione federale fosse esposta a rischi; accerta, quale organo peritale incaricato da un dipartimento o dalla Cancelleria federale, i fatti connessi a incidenti in materia di sicurezza presunti o avvenuti; nomina l’Incaricato della sicurezza informatica della Confederazione; gestisce la Centrale d’annuncio e d’analisi per la sicurezza dell’informazione (MELANI) in collaborazione con il Servizio delle attività informative della Confederazione; dirige il Comitato per la sicurezza informatica (C-SI), uno degli organi consultivi.

 Incaricati della sicurezza informatica: per l’esecuzione decentralizzata i dipartimenti e la Cancelleria

federale devono designare ciascuno un incaricato della sicurezza informatica (art. 19 cpv. 1 OIAF). Gli incaricati della sicurezza informatica dei dipartimenti e della Cancelleria federale coordinano tutti gli aspetti riguardanti la sicurezza informatica all’interno del dipartimento e con gli organi interdipartimentali. Anche le unità organizzative sono tenute a designare un proprio incaricato della sicurezza informatica. Gli incaricati a livello di unità organizzativa coordinano tutti gli aspetti riguardanti la sicurezza informatica sia all’interno dell’unità organizzativa sia con i servizi dipartimentali.

 Comitato per la sicurezza informatica (C-SI): il C-SI è l’organo consultivo dell’ODIC per tutte le que-

stioni inerenti alla sicurezza TIC (art. 19 OIAF). Si occupa anche del coordinamento a livello interdipartimentale. È formato dagli incaricati della sicurezza informatica dei dipartimenti e della Cancelleria federale. Possono partecipare con voto consultivo un rappresentante ciascuno del Controllo federale delle finanze (CDF), dell’IFPDT e dei Servizi del Parlamento.

 Consiglio informatico della Confederazione (CIC): il CIC è l’organo consultivo dell’ODIC per gli affari

TIC (compresi quelli relativi alla sicurezza TIC) per i quali è richiesta la concertazione con i dipartimenti e la Cancelleria federale, in particolare per l’emanazione di direttive e l’approvazione di deroghe alla loro applicazione (art. 18 OIAF). È formato dal delegato per la direzione TIC e da un rappresentante nominato appositamente per ciascun dipartimento e per la Cancelleria federale. Possono partecipare con voto consultivo un rappresentante dell’Amministrazione federale delle finanze (AFF), dell’IFPDT, dei fornitori di prestazioni interni e dei servizi del Parlamento.

 Controllo federale delle finanze (CDF): dal 1° gennaio 2012 il CDF svolge la revisione informatica in

seno all’Amministrazione federale (art. 28 OIAF).

Oltre a queste strutture organizzative di base, in seno alla Confederazione vi è un gran numero di altri organi o servizi che si occupano di sicurezza TIC. Qui di seguito sono elencati soltanto quelli che esercitano specifiche competenze e responsabilità rilevanti per la sicurezza TIC delle autorità federali, tralasciando tuttavia i servizi incaricati di attività informative, le autorità penali o altri servizi.

 Protezione delle informazioni e delle opere (PIO): la Protezione delle informazioni e delle opere, aggre-

gata all’Aggruppamento Difesa, è responsabile delle direttive in materia di sicurezza TIC del DDPS e dell’esercito e della verifica della loro attuazione. Sotto questo aspetto adempie compiti molto simili a quelli dell’ODIC.

 Centrale d’annuncio e d’analisi per la sicurezza dell’informazione (MELANI): la centrale MELANI,

istituita in via definitiva dal Consiglio federale nel 2004, è incaricata di proteggere le infrastrutture critiche dell’informazione in Svizzera. La cooperazione, diretta dall’ODIC (art. 17 cpv. 1 lett. i OIAF), tra DFF, DDPS ed economia privata per la protezione delle infrastrutture critiche si basa sul modello del par-