Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

dunque, in linea di massima, essere rese accessibili a persone di altra nazionalità. È fatta salva un’autorizzazione preliminare dell’autore delle informazioni classificate.

Art. 16

Capoverso 1: le informazioni classificate devono venire trattate in modo tale da venire protette dalla conoscenza da parte di persone non autorizzate. Questa protezione deve essere garantita per l’intero periodo durante il quale le informazioni in questione sono considerate degne di essere protette. Le informazioni classificate non vengono archiviate fintanto che, secondo le disposizioni della LSIn, sono ancora degne di essere protette.

Conformemente al capoverso 2, le informazioni classificate devono contenere un’indicazione relativa al servizio incaricato della classificazione. Questa indicazione è importante in particolare per declassificare, archiviare e distruggere informazioni classificate, ma anche per eventuali misure di protezione provvisorie che devono essere adottate se tali informazioni classificate sono minacciate (si veda l’art. 18).

Capoverso 3: sempre che la Svizzera abbia concluso un accordo per lo scambio di informazioni classificate con un determinato Paese o una determinata organizzazione internazionale, il trattamento delle informazioni che rientrano nel campo d’applicazione di tale accordo viene disciplinato secondo le particolari prescrizioni previste nell’accordo stesso. In mancanza di quest’ultimo, il trattamento di informazioni classificate provenienti dall’estero si fonda sulle prescrizioni della LSIn e sulle sue disposizioni d’esecuzione.

Art. 17

L’articolo 17 capoverso 1 contiene una riserva del diritto procedurale dell’Assemblea federale e di quello dei tribunali e dei ministeri pubblici. Per la comunicazione di informazioni classificate (p. es. nell’ambito dell’utilizzazione delle stesse come base decisionale o come mezzo di prova) va applicato il rispettivo diritto procedurale. Le leggi di procedura federali contengono norme che stabiliscono fino a che punto simili informazioni possono essere rese accessibili ai partecipanti alla procedura per consultazione, fino a che punto possono essere rese note nell’ambito di procedure pubbliche o fino a che punto i testimoni possono rifiutare di deporre adducendo obblighi legali di mantenere il segreto (si vedano p. es. gli art. 47, 150, 153 e 154 LParl, gli art. 56 cpv. 2 e 59 cpv. 2 LTF, gli art. 16 cpv. 2, 18 cpv. 2, 27 e 28 PA, l’art. 40 cpv. 3 LTAF o gli art. 70, 170, 173 cpv. 2 e 194 cpv. 2 CPP, nonché gli art. 45, 48 cpv. 2, 77 PPM; si veda anche l’art. 58 dell’ordinanza del 24 ottobre 1979 concernente la giustizia penale militare [RS 322.2]).

Tuttavia, conformemente al capoverso 2, prima di decidere in merito alla comunicazione di informazioni classificate si può dare al servizio incaricato della classificazione l’opportunità di esprimersi quanto ai motivi di classificazione e consultarlo in merito alle eventuali ripercussioni di una comunicazione. L’organo o il tribunale competenti decideranno poi come procedere ulteriormente alla luce delle circostanze.

Art. 18

Gli obblighi qui formulati corrispondono dal profilo materiale ai vigenti articoli 15 e 16 OPrI. Purché il servizio incaricato della classificazione non risulti evidente dall’informazione, la comunicazione va fatta all’autorità di vigilanza competente che, avvalendosi del suo potere di apprezzamento, deve stabilire come procedere ulteriormente.

Art. 19

Il capoverso 1 richiede previamente dalle autorità assoggettate (ma non dalle organizzazioni) che stabiliscano una procedura per l’attuazione e il miglioramento continui della sicurezza delle informazioni nell’impiego di mezzi TIC. La procedura deve definire compiti, competenze e responsabilità inerenti alla sicurezza di quei servizi che pianificano e decidono l’impiego di mezzi TIC nonché li sviluppano, esercitano, amministrano, modificano, mantengono, verificano e infine li mettono fuori servizio. La procedura include in particolare i disciplinamenti materiali degli articoli 20-26.

Tutte le autorità federali utilizzano già oggi una simile procedura. Ma queste procedure devono essere sistematizzate e, dove necessario, completate. Le più importanti fasi procedurali devono venire uniformate. Spesso, inoltre, l’esecuzione della procedura non viene verificata o viene verificata soltanto parzialmente. Soltanto assai di rado le misure attuate vengono verificate quanto alla loro efficacia.

Conformemente al capoverso 2 la competenza per l’esecuzione della procedura di sicurezza spetta a quell’autorità o a quell’organizzazione che conferisce il mandato dell’impiego di mezzi TIC (beneficiario di prestazioni). Il beneficiario di prestazioni è infatti responsabile dei processi lavorativi e dell’attuazione dei requisiti di sicurezza. Deve perciò comunicare chiaramente le proprie esigenze aziendali e di sicurezza a quel servizio che gestisce i mezzi TIC (fornitore di prestazioni).