Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

Classificazione delle informazioni

Tenendo conto delle maggiori aspettative dei cittadini per quanto concerne la trasparenza dell’operato delle autorità federali, l’avamprogetto fissa in modo trasparente i criteri per la classificazione delle informazioni della Confederazione e innalza inoltre i valori soglia per tale classificazione. Il principio di trasparenza dell’Amministrazione federale non viene in alcun modo limitato dalle disposizioni sulla classificazione.

Sicurezza nell’impiego delle TIC

L’avamprogetto tiene conto del fatto che, da qualche anno a questa parte, è considerevolmente aumentata l’importanza della sicurezza delle informazioni nell’impiego delle TIC. In particolare, viene fissato un meccanismo per la valutazione della criticità dei mezzi TIC, associando tale valutazione all’attuazione delle relative misure di sicurezza. In quest’ambito occorre concentrarsi principalmente sulla sicurezza dei sistemi e mezzi TIC più critici. L’avamprogetto rafforza sia il ruolo strategico e operativo delle autorità nell’attuazione delle misure sia il sistema degli audit.

Controlli di sicurezza relativi alle persone (CSP)

I CSP rappresentano in primo luogo una misura volta a garantire la sicurezza delle informazioni. Per questo il loro disciplinamento viene trasferito dalla LMSI alla nuova legge sulla sicurezza delle informazioni. Al contempo vengono inoltre eliminate le lacune esistenti nel disciplinamento in vigore, mirando anche a semplificare i CSP. I motivi del controllo vengono adeguati alle esigenze attuali in materia di sicurezza delle informazioni e i livelli di controllo vengono ridotti da tre a due. Anche la raccolta dei dati viene adeguata in funzione dei due livelli di controllo. In futuro i controlli saranno meno numerosi, ma terranno maggiormente conto dei rischi.

Procedura di sicurezza relativa alle aziende

La procedura di sicurezza relativa alle aziende è applicabile alle imprese che, nel quadro di un acquisto pubblico della Confederazione, devono essere incaricate di svolgere attività sensibili sotto il profilo della sicurezza. Tale procedura serve, da un lato, a verificare l’affidabilità di tali imprese e, dall’altro, a controllare e imporre la sicurezza delle informazioni durante l’adempimento del mandato. Il campo d’applicazione dell’attuale procedura di tutela del segreto è limitato ai mandati classificati provenienti dall’ambito militare. Con il presente avamprogetto viene invece introdotta una procedura di sicurezza relativa alle aziende unitaria e viene al contempo creata una base per il rilascio di dichiarazioni di sicurezza da parte delle autorità a favore delle imprese svizzere che concorrono per mandati esteri o internazionali e che, a tal fine, necessitano di una dichiarazione di sicurezza. Ciò rafforza la competitività delle imprese in questione.

Appoggio alle infrastrutture critiche

Nella sua Strategia nazionale del 27 giugno 2012 per la protezione della Svizzera contro i rischi informatici (FF 2013 499), il Consiglio federale ha sancito il principio dell’appoggio da parte della Confederazione ai gestori di infrastrutture critiche nel campo della sicurezza delle informazioni. Nell’ambito della collaborazione tra i gestori di infrastrutture critiche e la Confederazione, i servizi competenti devono potersi scambiare dati personali (elementi d’indirizzo nel settore delle telecomunicazioni) su sanzioni o perseguimenti amministrativi o penali. Il presente avamprogetto crea la base legale formale necessaria per il trattamento di tali dati personali.

Esecuzione

L’esecuzione della presente legge deve essere il più possibile uniforme. Inoltre, occorre garantire l’indipendenza e l’autonomia organizzativa delle autorità federali interessate. L’avamprogetto prende in considerazione tali esigenze, di per sé contraddittorie, con i tre meccanismi seguenti:

 clausola di esenzione («opting out») per l’esecuzione: ogni autorità esegue autonomamente l’atto norma-

tivo nel proprio ambito ed emana il relativo disciplinamento a livello di ordinanza. Le disposizioni esecutive del Consiglio federale devono tuttavia essere applicate per analogia anche alle altre autorità federali fintanto che e nella misura in cui queste ultime non emanano disciplinamenti propri;

 requisiti e misure standard: il Consiglio federale è abilitato a fissare requisiti e misure standard, confor-

mi allo stato della dottrina e della tecnica, che fungeranno da raccomandazioni per le altre autorità federali;

 istituzione di uno specifico organo di coordinamento inter-autorità: quest’organo (Conferenza degli in-

caricati della sicurezza delle informazioni) ha come obiettivo principale un’esecuzione della legge uni-