Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

autorità considerate non devono però ottenere competenze normative o decisionali in deroga al diritto organizzativo. L’espressione «organizzazioni assoggettate» viene introdotta come designazione abbreviata nell’interesse della semplificazione, sotto il profilo della tecnica legislativa, degli articoli successivi. Si tratta in particolare dei Servizi del Parlamento, delle amministrazioni dei singoli tribunali della Confederazione, dei Dipartimenti, della Cancelleria federale, dell’Amministrazione federale, ivi comprese le unità amministrative decentrate, nonché dell’esercito.

 la lettera d prevede un sostanziale assoggettamento alla legge per organizzazioni di diritto pubblico e

privato che adempiono compiti amministrativi della Confederazione ai sensi dell’articolo 2 capoverso 4 LOGA e che, nel farlo, sono soggette alla vigilanza della Confederazione (si veda in proposito l’art. 8 cpv. 4 e 5 LOGA). Sono, in particolare, organizzazioni che per legge sono autorizzate a emanare decisioni nei confronti di privati. In questo contesto, presupposto per un assoggettamento è che queste organizzazioni esercitino attività sensibili sotto il profilo della sicurezza nell’ambito dell’adempimento dei propri compiti amministrativi (si veda il cpv. 3). L’assoggettamento vale solamente per questi compiti amministrativi. Non è attuabile, nell’ambito del presente atto normativo, determinare in maniera esaustiva e duratura le singole organizzazioni assoggettate. Spetta perciò al Consiglio federale stabilire a livello di ordinanza chi è assoggettato e in quale misura (si veda l’art. 87 cpv. 4);

 lettera e: per adempiere i rispettivi compiti, Confederazione e Cantoni dipendono da una strettissima col-

laborazione. Si scambiano reciprocamente moltissime informazioni, tra le quali rientrano anche informazioni classificate della Confederazione. Le infrastrutture e i sistemi TIC della Confederazione e dei Cantoni vengono inoltre sempre più collegati fra loro. Aumenta così il rischio che gli attacchi e le minacce nell’ambito di competenza di un’autorità si propaghino agli ambiti di competenza di altri partecipanti. I Cantoni sono direttamente competenti per la sicurezza delle proprie informazioni. Se però adempiono compiti della Confederazione sotto la vigilanza diretta della Confederazione, in linea di massima si applicano anche a loro le direttive della Confederazione. La legge prevede un assoggettamento dei Cantoni secondo criteri basati sui rischi: vanno assoggettati per adempiere compiti soltanto se nel farlo esercitano attività sensibili sotto il profilo della sicurezza per incarico della Confederazione e sotto la sua vigilanza diretta (si veda il cpv. 3).

La legge non include le autorità e i servizi cantonali che, di loro competenza, attuano il diritto federale. La LSIn non disciplina, in maniera specifica, il collegamento tra reti cantonali e reti federali. In simili casi le autorità della Confederazione e dei Cantoni devono concordare misure di sicurezza appropriate alla situazione che garantiscano materialmente il livello di protezione richiesto dalla legge per le autorità federali. In merito all’esecuzione da parte dei Cantoni, si veda l’articolo 89.

Il capoverso 3 definisce la nozione di «attività sensibile sotto il profilo della sicurezza», centrale per l’applicazione di questa legge. L’esercizio di un’attività sensibile sotto il profilo della sicurezza, infatti, non è solamente il presupposto per l’applicazione della legge a organizzazioni di diritto pubblico e privato che adempiono compiti amministrativi e ai Cantoni, bensì anche per l’esecuzione di controlli di sicurezza relativi alle persone (CSP) o di procedure di sicurezza relative alle aziende (PSA) presso terzi ai quali vanno affidati compiti della Confederazione. L’attività sensibile sotto il profilo della sicurezza viene definita nel contesto della sicurezza delle informazioni. Come nell’attuale LMSI, il suo contenuto materiale pone in primo piano la gestione delle informazioni. Nella sua definizione si è badato al parallelismo con le normative sulla protezione delle informazioni classificate e sulla sicurezza nell’impiego di mezzi TIC.

 Lettera a: adducendo il livello di classificazione «CONFIDENZIALE» come punto di partenza per defini-

re l’attività sensibile sotto il profilo della sicurezza, si stabilisce implicitamente che la sensibilità sotto il profilo della sicurezza di un’attività viene presunta soltanto se gli interessi di cui all’articolo 1 capoverso 2 possono venire pregiudicati almeno considerevolmente. Sensibile sotto il profilo della sicurezza nella gestione di informazioni classificate è inoltre non il semplice «accesso» a queste informazioni, bensì il loro «trattamento» effettivo e autorizzato. In altre parole, ad esempio, il personale addetto alla pulizia non esercita, di regola, alcuna attività sensibile sotto il profilo della sicurezza ai sensi della presente legge, sebbene sia grande la probabilità che durante la sua attività talvolta possa accedere fattivamente a informazioni classificate perché i collaboratori non sempre rispettano le prescrizioni di sicurezza.

È menzionata anche la gestione del materiale classificato. Si tratta di vari materiali e oggetti la cui esistenza o natura deve essere protetta in quanto tale dalla conoscienza da parte di persone non autorizzate o le cui caratteristiche possono rivelare informazioni classificate: il materiale è o contiene dunque l’informazione. Ne sono interessati principalmente gli oggetti d’armamento, i sistemi d’arma o i sistemi di comunicazione integrati. Sovente uno Stato terzo che ha autorizzato la fornitura alla Svizzera prescrive una classificazione di simili materiali e oggetti. Fino a oggi la Svizzera conosce corrispondenti classifica-