Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

Il capoverso 2 stabilisce le competenze per la verifica e l’approvazione del concetto in materia di sicurezza delle informazioni. Per assicurare che il concetto in materia di sicurezza delle informazioni venga verificato da personale comprovatamente competente, la legge richiede che sia l’incaricato della sicurezza delle informazioni (art. 84) a procedere a queste verifiche. Si tratta di esaminare se il concetto adempie i requisiti formali, giuridici e aziendali, così che descriva l’effettivo stato della sicurezza delle informazioni e mostri nel dettaglio i rischi residui da sostenere. L’ideale sarebbe che l’incaricato della sicurezza delle informazioni accompagni l’allestimento del concetto in materia di sicurezza delle informazioni per riconoscere precocemente eventuali problemi e risolverli in modo mirato. In seguito il concetto in materia di sicurezza delle informazioni deve essere approvato dall’autorità o dall’organizzazione stessa. Questa approvazione ha luogo già nella fase di pianificazione o in quella concettuale, dunque ancora prima che il progetto TIC si trovi nella fase di realizzazione. In questo modo si intende garantire che la direzione assuma precocemente la propria responsabilità riguardo alla sicurezza delle informazioni. Essa non deve trovarsi nella situazione di dover decidere praticamente alla vigilia dell’entrata in servizio del mezzo TIC (si veda l’art. 25), quando sono già stati impiegati notevoli mezzi finanziari.

Capoverso 3: il concetto in materia di sicurezza delle informazioni non è un documento che deve essere allestito semplicemente una volta (in occasione della pianificazione dell’impiego di un mezzo TIC) e poi rimane in forma invariata. Le misure pianificate spesso non coincidono con quelle effettivamente attuate. Perciò, il concetto in materia di sicurezza delle informazioni deve essere costantemente aggiornato per descrivere l’attuale stato della sicurezza. Anche nel caso di mutamenti dei rischi deve essere adeguato di conseguenza.

Art. 24

Il capoverso 1 richiede, per tutti i mezzi TIC che ottengono il nullaosta per la messa in funzione in conformità con i criteri di sicurezza, una prova che la procedura di sicurezza è stata eseguita conformemente al diritto e che sono state attuate le misure della protezione di base o eventualmente del concetto in materia di sicurezza delle informazioni. Le autorità assoggettate devono stabilire chi deve eseguire questa verifica.

Capoverso 2: per i mezzi TIC del livello di sicurezza «protezione molto elevata» si richiede in più che venga verificata l’efficacia delle misure attuate. In occasione di tale verifica dell’efficacia vengono eseguiti attacchi reali contro il mezzo TIC, così da identificare e correggere prima della messa in funzione eventuali falle nella sicurezza e punti deboli che qualcuno potrebbe sfruttare a proprio vantaggio (p. es. mediante test di penetrazione, penetration test). La verifica dell’efficacia viene richiesta solamente per i mezzi TIC del livello «protezione molto elevata», perché è connessa a un onere finanziario non indifferente (dallo 0,5 al 2 per cento del totale dei costi di investimento).

Art. 25

Capoverso 1: la direzione dell’autorità o dell’organizzazione beneficiaria delle prestazioni assume la responsabilità della sicurezza delle informazioni. Si richiede perciò che la stessa direzione dell’autorità o dell’organizzazione rilasci il nullaosta per la messa in funzione dei propri mezzi TIC in conformità con i criteri di sicurezza.

Capoverso 2: il nullaosta di sicurezza significa che l’autorità o l’organizzazione conosce i rischi residui identificati ed è anche disposta a sostenerli. Se ritiene che i rischi residui siano ancora troppo elevati, può rifiutare il nullaosta e richiedere l’applicazione di misure aggiuntive atte a ridurre i rischi.

Art. 26

Per una gestione efficace dei rischi è necessario mantenere una visione d’insieme su tutti i mezzi TIC impiegati. Le autorità e le organizzazioni assoggettate devono perciò registrare in un inventario o in un portafoglio i mezzi TIC che impiegano. Tutti i mezzi TIC devono potere essere attribuiti a una persona o a un servizio competente.

L’inventario deve fra l’altro contenere i livelli di sicurezza dei mezzi TIC, il nome della persona o la denominazione del servizio competenti, le documentazioni di sicurezza, nonché tutte le dovute informazioni sul sistema che sono necessarie per ripristinare l’esercizio nel caso di un disturbo o di una interruzione del funzionamento dei mezzi TIC.

Art. 27

Autorità, organizzazioni o terzi che gestiscono mezzi TIC su mandato delle autorità e delle organizzazioni assoggettate, sono responsabili di garantire la sicurezza delle informazioni nell’esercizio di tali mezzi. I fornitori di prestazioni interni rientrano tutti nel campo d’applicazione della presente legge e devono perciò applicare anche gli articoli 19-26 alle proprie attività. I fornitori di prestazioni esterni, per contro sono considerati terzi ai sensi dell’articolo 8 e devono essere obbligati contrattualmente a osservare le misure della pre-