Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

L’esempio della LPD consente di spiegare questo principio. La LPD contiene i requisiti posti al trattamento conforme al diritto, nonché alla protezione di dati personali. Rimane inteso che i dati personali nel settore di compiti delle autorità federali devono e possono continuare a venire trattati secondo le norme della legge sulla protezione dei dati. Poiché, tuttavia, la stessa LPD contiene prescrizioni poco dettagliate riguardanti misure di protezione organizzative, in materia di personale, tecniche e fisiche, le pertinenti prescrizioni della presente legge vanno applicate quale diritto completivo al trattamento di dati personali. Purché, infine, ad esempio per la salvaguardia della sicurezza pubblica, anche dati personali debbano essere valutati come essenziali, essi vanno trattati ed eventualmente classificati secondo le corrispondenti prescrizioni della presente legge.

Capoverso 3: nella Strategia nazionale per la protezione della Svizzera contro i rischi informatici, il Consiglio federale è rimasto fedele al principio del disciplinamento decentralizzato delle infrastrutture critiche. Sempre che vi sia una necessità di agire a livello di legge formale in determinati settori, la corrispondente legislazione specifica deve essere adeguata (si vedano i n. 1.1.2.2 e 1.2.6). Con la LSIn la Confederazione dispone però di strumenti particolari nell’ambito della sicurezza delle informazioni dei quali determinati regolatori e gestori di infrastrutture critiche vorrebbero servirsi, in particolare il CSP. Suscitano interesse in parte anche le disposizioni riguardanti la classificazione o la sicurezza nell’impiego di TIC. Determinate infrastrutture critiche già oggi si servono di questi strumenti della Confederazione. Ciò è ad esempio il caso nell’ambito delle centrali nucleari, nel quale la Confederazione prescrive determinate misure per la sicurezza delle informazioni (si vedano gli art. 5 e 24 LENu). Anche nell’ambito della sorveglianza dello spazio aereo (Skyguide), determinati impiegati vengono sottoposti preliminarmente a un CSP. Ora anche taluni impiegati della società nazionale di rete che gestisce la rete di trasporto per l’elettricità a livello svizzero (Swissgrid) andranno sottoposti al CSP. Si mantiene perciò il principio che la legislazione speciale è determinante per un assoggettamento alla LSIn (o a parti di essa).

In merito alla corrispondente modifica della legislazione speciale, si vedano anche i numeri 2.9 e 2.10.

2.1.2 Misure generali per la sicurezza delle informazioni

Art. 4

L’articolo 4 considera il contenuto materiale della sicurezza delle informazioni e i più importanti principi in base ai quali deve essere attuata. Esso completa quindi l’articolo sullo scopo (art. 1), in quanto illustra gli obiettivi di protezione dettagliati.

Il capoverso 1 stabilisce che le autorità e le organizzazioni assoggettate devono valutare la necessità di protezione delle informazioni per le quali sono competenti. La necessità di protezione delle informazioni viene definita nell’ottica del potenziale pregiudizio per gli interessi di cui all’articolo 1 capoverso 2 e definita in relazione ai dettagliati criteri del capoverso 2. Per sua stessa natura, la necessità di protezione specifica assai sovente viene implicitamente prevista da altre leggi (si vedano anche l’art. 1 cpv. 2 lett. e l’art. 3 cpv. 2).

Capoverso 2: sotto il profilo materiale, la dottrina e la prassi menzionano per lo più quattro criteri di protezione inerenti alla sicurezza delle informazioni da ponderare di volta in volta secondo le circostanze, nello specifico la tutela della confidenzialità, integrità, disponibilità e verificabilità delle informazioni. Spesso vengono menzionati ulteriori criteri di protezione che però, in linea di principio, vengono coperti dai criteri indicati nel capoverso 2 o tutt’al più da una combinazione degli stessi, ad esempio l’autenticità (nella presente legge inclusa sotto «integrità»), l’imputabilità o l’incontestabilità (nella presente legge derivanti dai criteri della «integrità» e della «tracciabilità»).

 Lettera a: il principio della confidenzialità viene concretato nel senso che le informazioni sono accessibili solamente alle persone autorizzate. La cerchia delle persone autorizzate risulta dal contesto dell’adempimento dei rispettivi compiti legali, nonché dal contenuto e dalla rilevanza dell’informazione. Di conseguenza, la cerchia delle persone autorizzate può essere limitata a poche persone o assai grande. Se le informazioni vanno rese accessibili al pubblico, la cerchia è illimitata;

 lettera b: la disponibilità delle informazioni non va intesa in senso assoluto, ma, per garantire la capacità di decisione e d’azione delle autorità e organizzazioni, è necessario che nell’ambito dell’adempimento dei compiti legali esse possano accedere tempestivamente alle informazioni necessarie. I requisiti posti alla disponibilità di informazioni sono più elevati se queste devono essere disponibili sempre e senza interruzioni per l’adempimento di compiti essenziali. Ciò vale in particolare nel caso in cui queste informazioni vengano trattate elettronicamente;

 lettera c: la salvaguardia dell’integrità (inalterabilità ed esattezza) delle informazioni è un importante compito parziale della protezione di informazioni che, nell’ottica dell’affidabilità delle autorità, è ri-