Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

requisiti in sistemi TIC) e il settore «gestione dei rischi e controlling» (sicurezza delle informazioni come parte della gestione dei rischi). Un’efficace sicurezza delle informazioni richiede perciò che gli ambiti specialistici menzionati condividano gli obiettivi della sicurezza delle informazioni e partecipino al processo decisionale, come pure che le misure vengano coordinate trasversalmente tra tali ambiti.

Capoverso 2: per la sicurezza in generale è importante che i compiti e le competenze vengano disciplinati in modo chiaro e inequivocabile. Ciò vale in particolare per la sicurezza delle informazioni, poiché molti ambiti specialistici fisseranno requisiti per il trattamento sicuro di informazioni o assumeranno responsabilità parziali per l’applicazione della presente legge. Competenze poco chiare possono fare sì che rischi sostanziali non vengano identificati, che nessuno si senta responsabile per l’applicazione di talune misure atte a ridurre i rischi o che nessuno assuma consapevolmente i rischi.

Nel capoverso 3 le autorità assoggettate vengono invitate a stabilire, per il loro ambito di competenza, determinati principi intesi a rendere note le loro intenzioni riguardo alla sicurezza delle informazioni.

 Lettera a: gli obiettivi delle autorità assoggettate stabiliscono il livello di sicurezza che deve essere rag-

giunto (stato AUSPICATO della sicurezza delle informazioni). Questi obiettivi presuppongono un’analisi costi-benefici (di quanta sicurezza vuole beneficiare l’autorità e quanto è disposta a pagarla) e devono essere determinanti per concedere le necessarie risorse. Esempio: i segreti d’affari di terzi che vengono trattati dalle autorità o organizzazioni della Confederazione devono venire protetti dalla conoscenza da parte di persone non autorizzate. Se si vogliono proteggere queste informazioni dai servizi informazioni più attivi e più ricchi di risorse del mondo, allora le misure da adottare sono notevolmente più dispendiose di quelle che si adotteranno se l’autorità accetta il rischio relativamente elevato che tali servizi informazioni esteri si procureranno queste informazioni. Le previste verifiche dell’efficacia (si veda l’art. 24 cpv. 2) si rifanno a questi obiettivi.

 Lettera b: qui si intende disciplinare in particolare come le organizzazioni assoggettate devono gestire i

rischi, quali rischi possono correre senza problemi e quali rischi devono essere riferiti all’autorità (accettazione del rischio). Anche se la maggior parte dei rischi nel campo della sicurezza delle informazioni possono essere trattati e sostenuti a livello operativo (dipartimento, ufficio o addirittura unità subordinata), determinati rischi possono avere un’impronta strategica. Ciò è in particolare il caso per i rischi connessi con informazioni classificate «SEGRETO» (art. 14 cpv. 3) o con mezzi TIC del livello di sicurezza «protezione molto elevata» (art. 21 cpv. 3). I rischi strategici vanno comunicati all’autorità interessata prima che si verifichi un evento.

 Lettera c: in ogni organizzazione ci sono di continuo persone che non prendono sul serio la sicurezza

delle informazioni e gestiscono informazioni o mezzi TIC in maniera contraria alle prescrizioni o senza la debita cura. Molto spesso simili infrazioni vengono scusate a priori e, di conseguenza, non vengono analizzate. Queste infrazioni possono tuttavia avere, quale conseguenza, considerevoli ripercussioni. Non andrebbero dunque considerate semplicemente come reati minori. Le autorità assoggettate devono perciò imporre in maniera coerente l’applicazione delle prescrizioni, definendo e spiegando le conseguenze in caso di inosservanza.

Capoverso 4: le autorità assoggettate devono provvedere a un’informazione periodica e conforme al rispettivo livello dei quadri e del personale in relazione agli affari inerenti alla sicurezza delle informazioni. Si tratta, ad esempio, di comunicare cambiamenti nel disciplinamento dell’organizzazione e delle competenze oppure di informare i quadri e gli specialisti sulle origini e sulle conseguenze di incidenti. Una comunicazione periodica deve avvenire perché in questo modo i quadri e il personale percepiscono che la direzione riconosce l’importanza della sicurezza delle informazioni e possono reagire ai cambiamenti. Tale comunicazione consente loro, nel proprio ambito di competenza, di trarre gli insegnamenti dagli incidenti. I quadri e il personale andrebbero anche formati di conseguenza.

Art. 6

L’articolo 6 obbliga le autorità e le organizzazioni a esercitare una gestione dei rischi nell’ambito della sicurezza delle informazioni (sulla gestione dei rischi, si veda il n. 1.2.3.2).

Il capoverso 1 stabilisce che le autorità e le organizzazioni assoggettate devono identificare, analizzare, valutare e verificare i rischi, e precisamente sia nel proprio ambito di competenza, sia nell’ambito della collaborazione con terzi. L’ideale sarebbe che tutte le autorità e le organizzazioni assoggettate utilizzino metodi uniformi. Il Consiglio federale definirà in proposito requisiti e misure standard (si veda l’art. 88). Ciò sapendo che i criteri per l’accettazione dei rischi, determinanti per la valutazione di questi ultimi, vengono stabiliti dalle rispettive autorità assoggettate in base alle proprie necessità in materia di sicurezza delle informazioni (si veda anche l’art. 5 cpv. 3 lett. a e b).