Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

1.3.2.3 Servizio specializzato della Confederazione per la sicurezza delle informazioni

La sicurezza delle informazioni deve essere organizzata, diretta e controllata mediante un approccio integrale. I compiti già esistenti tra quelli previsti dalla presente legge sono svolti da diversi organi specializzati. Di conseguenza, tali compiti vengono concepiti e affrontati da un punto di vista settoriale e risultano poco coordinati tra loro. Migliorare il coordinamento, tuttavia, non basterà, di per sé, a realizzare l’approccio integrale alla sicurezza delle informazioni. Nell’avamprogetto, il servizio specializzato è concepito soprattutto come centro di competenza per i compiti comuni a tutte le autorità, motivo per cui è sprovvisto della facoltà di impartire istruzioni. In linea di principio, opera sempre su richiesta o su mandato di un’autorità assoggettata e va inteso come organo con compiti di assistenza e consulenza.

Nella legge vengono fissati in modo esaustivo i compiti concreti del servizio specializzato che concernono tutte le autorità. Oltre a fornire consulenza e assistenza, il servizio specializzato potrà anche essere incaricato di valutare i rischi in occasione dell’impiego di nuove tecnologie o di dirigere e coordinare l’ambito della sicurezza delle informazioni nell’ambito di progetti importanti che coinvolgono più autorità. Un altro compito fondamentale del servizio specializzato sarà inoltre quello di esaminare (su richiesta delle autorità assoggettate), per determinati processi, mezzi e prestazioni, gli aspetti rilevanti sotto il profilo della sicurezza. Se i risultati di tale esame confermano che i processi, i mezzi o le prestazioni in questione adempiono i requisiti standard stabiliti dalla Confederazione, essi possono essere standardizzati e, di conseguenza, impiegati anche da altre autorità o organizzazioni della Confederazione (riduzione dell’onere). Il servizio specializzato può inoltre essere incaricato di effettuare controlli e audit in materia di sicurezza. Nel contesto internazionale, infine, sarà l’interlocutore per i contatti specializzati nel campo della sicurezza delle informazioni con servizi svizzeri, esteri e internazionali, ruolo necessario per l’attuazione di trattati internazionali (art. 90 e n. 4.2).

Il Consiglio federale disciplinerà a livello di ordinanza l’organizzazione del servizio specializzato della Confederazione per la sicurezza delle informazioni. A tal fine stabilirà quali sono i compiti che il servizio specializzato deve adempiere autonomamente o in collaborazione con altri servizi federali. Attualmente, nell’ambito della sicurezza delle informazioni, molti servizi dell’Amministrazione federale svolgono compiti trasversali che figurano nell’elenco dei compiti del futuro servizio specializzato della Confederazione previsto dalla legge. Il servizio specializzato dovrà per esempio svolgere per l’Amministrazione federale determinati compiti che oggi vengono svolti dall’ODIC SEC e dalla PIO. Di conseguenza, i compiti delle autorità esistenti verranno ridefiniti a livello di ordinanza e sarà necessario verificare alcune interfacce.

In questo contesto, il Consiglio federale dovrà naturalmente anche decidere in merito alla delicata questione dell’inquadramento amministrativo del servizio specializzato. Ai fini dell’autonomia organizzativa del Consiglio federale, tuttavia, tale questione non va risolta a livello di legge formale. La collocazione del servizio specializzato deve essere proposta al Consiglio federale soltanto una volta chiariti i compiti e le competenze di quest’ultimo nonché dopo aver elaborato un concetto dettagliato per l’attuazione delle direttive legali per l’Amministrazione federale e le organizzazioni di diritto pubblico e privato assoggettate a tali direttive.

1.3.3 Nuovo disciplinamento per l’Amministrazione federale e altre organizzazioni assoggettate

A livello inter-autorità, il servizio specializzato della Confederazione per la sicurezza delle informazioni è volutamente sprovvisto di poteri esecutivi a livello giuridico. Per l’Amministrazione federale e le organizzazioni di diritto pubblico e privato che sottostanno alle disposizioni esecutive del Consiglio federale, invece, quest’ultimo può conferire ulteriori competenze al servizio specializzato e impostare in modo differenziato i rapporti che tale servizio intrattiene con la linea gerarchica e con gli incaricati della sicurezza delle informazioni. Sebbene, in linea di principio, la responsabilità dell’attuazione delle direttive debba essere lasciata alla linea gerarchica, una netta maggioranza dei partecipanti ai lavori legislativi si è espressa a favore dell’attribuzione di una maggiore competenza esecutiva al servizio specializzato, in particolare per quanto concerne i controlli.

In tale contesto, alcuni servizi chiedono che vengano sin d’ora presentate e attribuite diverse opzioni per l’esecuzione in seno all’Amministrazione federale, con i rispettivi vantaggi e svantaggi, affinché possa essere adottata una decisione in materia. A questo proposito occorrerebbe mettere a confronto due modelli: uno che preveda un’organizzazione dell’esecuzione totalmente decentralizzata e un servizio specializzato con una pura funzione di coordinamento e un altro che contempli invece un servizio specializzato con la facoltà di impartire istruzioni, a livello centrale, agli incaricati della sicurezza delle informazioni dei dipartimenti. Tuttavia, sebbene l’allestimento e la valutazione di simili modelli di attuazione siano assolutamente necessari, sarà possibile fornire una valida risposta a tali questioni soltanto in un secondo momento. Prima di decidere in merito all’attuazione dettagliata in seno all’Amministrazione federale occorre infatti chiarire i principi generali e i contenuti materiali del presente progetto legislativo come pure le relazioni tra le varie autorità.