Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

forme, valida per tutte le autorità e basata sul rischio. La conferenza viene coinvolta anche nella definizione dei requisiti e delle misure standard.

La soluzione proposta garantisce l’indipendenza delle autorità federali nell’ambito dell’esecuzione. Poiché le autorità federali non possono essere assoggettate alle disposizioni esecutive del Consiglio federale, tutte le misure e tutti i requisiti minimi vincolanti per tutte le autorità devono essere fissati nella legge stessa. Di conseguenza, l’avamprogetto contiene anche numerose disposizioni che, dal punto di vista della gerarchia normativa, avrebbero potuto essere definite in un’ordinanza. L’avamprogetto garantisce anche una sufficiente autonomia a livello di esecuzione per i Cantoni e per determinate organizzazioni assoggettate alla legge e alle disposizioni esecutive del Consiglio federale. Inoltre, crea la necessaria base legale formale, attualmente mancante, per la conclusione di trattati internazionali da parte del Consiglio federale nel campo della sicurezza delle informazioni.

Organizzazione della sicurezza delle informazioni

Nel presente avamprogetto, l’organizzazione specialistica della sicurezza delle informazioni viene adeguata a questa nuova realtà complessa e dinamica. Ciò avviene su due livelli organizzativi:

 organizzazione interna:

 gestione della sicurezza delle informazioni: nell’ambito della gestione della sicurezza delle informazioni, le autorità federali devono basarsi su norme tecniche riconosciute a livello internazionale e consolidate nella pratica (per es. le norme DIN ISO/IEC 27001 e 27002);

 incaricati della sicurezza delle informazioni: le autorità federali devono designare un incaricato della sicurezza delle informazioni che si occuperà della gestione di tutte le questioni relative alla sicurezza delle informazioni, nonché un suo sostituto;

 organizzazione inter-autorità:

 servizio specializzato della Confederazione per la sicurezza delle informazioni: determinati organi esistenti devono essere raggruppati in un nuovo servizio specializzato per trovare una soluzione sistematica ai problemi di competenza riconosciuti e accumulare maggiori conoscenze specialistiche interdisciplinari. Data l’indipendenza delle singole autorità federali, questo servizio specializzato, con compiti di assistenza e consulenza, non dispone della facoltà di impartire istruzioni a tutte le autorità. Nelle sue disposizioni esecutive, il Consiglio federale disciplinerà la collocazione e i compiti dettagliati del servizio specializzato;

 Conferenza degli incaricati della sicurezza delle informazioni: quest’organo serve principalmente a garantire un’esecuzione della legge uniforme e valida per tutte le autorità. All’occorrenza saranno consultati anche esperti provenienti dai Cantoni, dal mondo scientifico o dall’economia privata;

 servizi specializzati per i controlli di sicurezza relativi alle persone: per garantire l’indipendenza dei controlli, il Consiglio federale impiegherà come finora almeno due servizi specializzati;

 servizio specializzato per la sicurezza aziendale: per lo svolgimento della procedura di sicurezza relativa alle aziende, il Consiglio federale deve impiegare un servizio specializzato.

Ripercussioni

La legge consentirà di migliorare in modo sostanziale la gestione della sicurezza delle informazioni in seno alla Confederazione e, pertanto, di ridurre i relativi rischi, in parte anche di natura finanziaria. L’esperienza insegna che, a medio termine, una gestione efficiente della sicurezza delle informazioni può addirittura consentire risparmi in termini di costi. Per la Confederazione, tuttavia, la legge avrà anche ripercussioni dirette a livello finanziario e di personale. Al momento non è ancora possibile procedere a una stima esatta del fabbisogno supplementare, che sarà illustrato in maniera trasparente nel messaggio. I principali fattori di costo sono i seguenti:

 l’organizzazione, la gestione e il controllo della sicurezza delle informazioni;

 il rafforzamento dei controlli e degli audit;

 i controlli di sicurezza relativi alle persone;

 la procedura di sicurezza relativa alle aziende;

 l’istituzione di un servizio specializzato della Confederazione per la sicurezza delle informazioni e i rela-

tivi compiti.

Va osservato che la legge stessa non fissa quasi nessuna misura dettagliata e che, pertanto, non è direttamente attuabile. Le autorità federali interessate devono emanare le proprie disposizioni esecutive. Per valu-