Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

compiti inerenti alla funzione, allora - e solamente allora - la funzione deve essere inserita nell’elenco delle funzioni da sottoporre al controllo.

Alcuni esempi fittizi sono utili per spiegare l’applicazione del principio:

 nell’ambito dei suoi compiti, una collaboratrice dell’Ufficio federale dell’ambiente è competente per

l’esame dell’impatto sull’ambiente relativo alle costruzioni e agli impianti militari. Per adempiere i propri compiti deve trattare informazioni classificate e talvolta avere l’accesso a tali impianti. La sua funzione deve venire inserita nell’elenco delle funzioni;

 un collaboratore dell’Amministrazione federale delle finanze deve, eccezionalmente, valutare le ripercus-

sioni di una proposta, classificata «CONFIDENZIALE», del DFGP al Consiglio federale. Per simili affari sono normalmente competenti altri collaboratori che però sono assenti per ferie o malattia. In linea di massima, questo compito non fa parte della sua funzione, che di conseguenza non può essere menzionato nell’elenco;

 il personale di pulizia di un’autorità ha talvolta, senza volerlo, accesso a informazioni classificate quando,

nell’ambito dell’adempimento ordinario dei suoi compiti, pulisce gli uffici degli impiegati federali e questi ultimi non conservano o smaltiscono i supporti d’informazione conformemente alle prescrizioni. Tuttavia non fa parte del settore di compiti del personale di pulizia trattare informazioni classificate. Non può perciò venire inserito nell’elenco, a meno che non sia competente per la pulizia all’interno di una zona di sicurezza.

Il criterio della periodicità, anche se de facto sarà quasi sempre soddisfatto, de iure è irrilevante. Pure se, nell’elenco degli obblighi di una funzione, soltanto il 5 per cento del grado d’occupazione è previsto per l’adempimento di compiti sensibili sotto il profilo della sicurezza, questa funzione va inserita nell’elenco delle funzioni. Anche se magari la titolare della funzione interessata durante un lungo periodo non deve affatto adempiere simili compiti. L’eventualità dell’esercizio, inerente alla funzione, di un’attività sensibile sotto il profilo della sicurezza non è invece un motivo per inserire una funzione nell’elenco delle funzioni.

L’applicazione di questo approccio restrittivo presuppone che le autorità e le organizzazioni assoggettate abbiano una chiara visione d’insieme dei processi lavorativi interni e intersettoriali come pure dei compiti necessariamente connessi con attività sensibili sotto il profilo della sicurezza. Acquisire e mantenere una visione d’insieme in questo campo rappresenta nel contempo una sostanziale misura nel quadro della gestione dei rischi della sicurezza delle informazioni. I motivi per iscrivere una funzione nell’elenco delle funzioni devono essere dimostrabili: le descrizioni dei posti (o gli elenchi degli obblighi) delle rispettive funzioni devono contenere un’esatta definizione dei compiti per il cui adempimento è necessario l’esercizio di un’attività sensibile sotto il profilo della sicurezza. Inoltre, indipendentemente da un eventuale assoggettamento al controllo di sicurezza relativo alle persone, le autorità e le organizzazioni assoggettate devono adottare le necessarie misure organizzative e personali per limitare al minimo necessario la cerchia delle persone che devono esercitare attività sensibili sotto il profilo della sicurezza.

L’espressione «emanano» chiarisce che si tratta di una formale delega di legiferare alle autorità assoggettate. Gli elenchi delle funzioni si troveranno quindi in ordinanze o regolamenti. Riguardo all’Amministrazione federale occorre quindi, in linea di principio, mantenere l’attuale sistema, in virtù del quale il Consiglio federale designa queste funzioni nell’allegato all’OCSP (si veda il n. 1.2.4). In virtù dei disciplinamenti delle competenze in conformità con la LOGA, potrà però continuare ad autorizzare i dipartimenti e la Cancelleria federale a emanare i propri elenchi dettagliati.

Art. 34

Capoverso 1: l’articolo 34 stabilisce chi deve essere sottoposto al controllo.

 Lettera a: nel caso degli impiegati delle autorità e delle organizzazioni assoggettate, vengono sottoposte al

controllo solamente quelle persone la cui funzione è contenuta negli elenchi delle funzioni di cui all’articolo 33. L’elenco delle funzioni è dunque vincolante. Le eccezioni sono disciplinate nei capoversi 3 e 4.

 Lettera b: per terzi, il controllo viene eseguito se nell’ambito di un mandato, partecipano all’esercizio di

un’attività sensibile sotto il profilo della sicurezza.

 Lettera c: il presupposto per l’esecuzione del CSP nel contesto internazionale viene disciplinato da perti-

nenti trattati internazionali. In linea di massima, si applica la norma del capoverso 2.

Capoverso 2: il principio del capoverso 1 lettera b si applica anche alle persone che, su mandato di un’autorità estera o internazionale, devono esercitare un’attività sensibile sotto il profilo della sicurezza.