Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

chiave, i cassetti devono essere chiusi a chiave, il cestino dei rifiuti non deve contenere informazioni classificate ecc.). Il controllo può avere luogo anche in assenza delle persone interessate, ad esempio durante la notte.

Conformemente al capoverso 4, in determinate zone di sicurezza l’autorità o l’organizzazione deve avere la possibilità, se necessario, di esercitare un impianto di telecomunicazione che provoca interferenze di cui all’articolo 34 capoverso 1^terdella legge del 30 aprile 1997 sulle telecomunicazioni (LTC; RS 784.10). L’effettiva necessità e le condizioni per l’esercizio di un simile impianto vengono valutate in virtù della LTC.

Nel capoverso 5 vengono fatte salve le prescrizioni per zone di sicurezza conformemente ai trattati internazionali (art. 90) e le corrispondenti prescrizioni sulla protezione di impianti militari. In entrambi i casi, l’allestimento di una zona di sicurezza o di una zona di protezione non costituisce un’opzione, bensì un obbligo (si veda, p. es., ISA CH-EU).

2.1.3 Controlli di sicurezza relativo alle persone

Art. 32

Il controllo di sicurezza relativo alle persone (CSP) è una misura preventiva per la protezione contro gli autori di reati dall’interno. È intesa a identificare il rischio di un pregiudizio per gli interessi di cui all’articolo 1 capoverso 2 che è connesso con l’esercizio di un’attività sensibile sotto il profilo della sicurezza da parte di una determinata persona. Si tratta dunque di stimare la probabilità che una determinata persona da sottoporre al controllo pregiudicherà intenzionalmente o per negligenza gli interessi di cui all’articolo 1 capoverso 2. A tale scopo vengono rilevati dati rilevanti sulla condotta di vita di questa persona. Basandosi su questi dati, specialisti formati a tale scopo (Risk Profiler) procedono a una valutazione del rischio per la sicurezza. Rimane inteso che una simile valutazione non può essere mai assolutamente affidabile.

Dopo avere preso atto della valutazione del rischio da parte del servizio specializzato CSP competente, è unicamente l’autorità o l’organizzazione assoggettata a decidere se vuole sostenere un eventuale rischio elevato, se vuole ridurlo mediante determinate condizioni o se vuole evitarlo non assumendo o licenziando la persona in questione.

Per la comprensione della normativa proposta sono fondamentali due punti:

 la valutazione del rischio per la sicurezza da parte del servizio specializzato CSP competente rappresenta

una raccomandazione. Per la decisione in merito a un’eventuale assunzione o un eventuale incarico è competente unicamente il servizio che assume o che conferisce mandati. Di conseguenza, il rischio non viene mai sostenuto dal servizio specializzato CSP competente per la valutazione del rischio per la sicurezza. Ciò vale sia nel caso di una dichiarazione di rischio (sussiste un rischio per la sicurezza) sia nel caso di una dichiarazione di sicurezza (non sussiste alcun rischio per la sicurezza). Anche se alla persona sottoposta al controllo è stata rilasciata una dichiarazione di sicurezza, i superiori non vengono esonerati dall’obbligo di identificare eventuali rischi elevati connessi con tale persona e, se del caso, farvi fronte;

 il CSP deve venire impiegato in funzione dei rischi. La presente legge stabilisce chiari presupposti per

l’esecuzione del controllo. Ciò non significa che quelle funzioni, che finora sono state sottoposte al controllo in via supplementare, sarebbero meno importanti o non sarebbero esposte a un rischio elevato. Per queste funzioni e per tutte le altre funzioni che non vengono sottoposte al controllo, la responsabilità della valutazione del rischio per la sicurezza viene però unicamente e solamente assunta dalla linea gerarchica. Con la proposta introduzione di un nuovo articolo 20a LPers, in futuro i datori di lavoro di cui all’articolo 3 LPers disporranno a tal fine di mezzi idonei (estratti del casellario giudiziale e del registro esecuzioni e fallimenti).

Art. 33

L’articolo 33 disciplina, in combinato disposto con l’articolo 34 capoverso 1, l’assoggettamento dei membri delle autorità e delle organizzazioni assoggettate. Le autorità assoggettate (dunque non le organizzazioni di cui all’articolo 2 cpv. 2) devono emanare per il loro ambito di competenza un elenco di quelle funzioni per l’adempimento dei cui compiti è necessario esercitare un’attività sensibile sotto il profilo della sicurezza e che quindi vanno sottoposte al controllo. Per i presupposti materiali per iscrivere una funzione nell’elenco delle funzioni non viene però semplicemente ripreso l’attuale sistema. Come menzionato al numero 1.2.4, pur prescindendo dal criterio della periodicità, in particolare nel trattamento di informazioni classificate, decisiva per l’assoggettamento degli impiegati federali al controllo di sicurezza relativo alle persone è però la questione se il titolare di una determinata funzione per l’ adempimento dei propri compiti deve esercitare un’attività sensibile sotto il profilo della sicurezza. Se una simile attività è necessaria per l’adempimento dei