Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

Il capoverso 3 disciplina il caso di una funzione che soddisfa i criteri di cui all’articolo 33, ma ancora non è stata inserita nel relativo elenco. In questo caso il controllo può essere eseguito, sempre che l’autorità assoggettata lo consenta. L’elenco dovrà poi essere adeguato di conseguenza.

Capoverso 4: nel caso di membri di autorità che vengono eletti dal Popolo o di magistrati eletti dall’Assemblea federale, non può essere eseguito preliminarmente un controllo di sicurezza relativo alle persone, anche se queste persone spesso esercitano le attività più sensibili sotto il profilo della sicurezza.

Art. 35

Riguardo ai livelli di controllo, la LMSI non contiene alcuna normativa precisa. Il principio di legalità richiede però, a motivo della profonda ingerenza nei diritti fondamentali delle persone da sottoporre al controllo connessa con l’esecuzione del CSP, che le più importanti modalità dell’ingerenza vengano stabilite a livello di legge. Poiché i livelli di controllo sono determinanti per la gravità dell’ingerenza, devono essere disciplinati nella legge.

L’avamprogetto prevede ora (si veda il n. 1.2.4) i due livelli di controllo seguenti:

 lettera a: il controllo di sicurezza di base si applica alle attività sensibili sotto il profilo della sicurezza il

cui esercizio contrario alle prescrizioni o non appropriato può pregiudicare considerevolmente gli interessi di cui all’articolo 1 capoverso 2. Si tratta dunque implicitamente, in base al potenziale di danno menzionato, di quanto segue: (a) trattamento di informazioni classificate «CONFIDENZIALE»; (b) amministrazione, esercizio, verifica o manutenzione di mezzi TIC del livello di sicurezza «protezione elevata»; e (c) accesso alle zone di sicurezza nei quali vengono esercitate attività di cui ad (a) e a (b). Per l’accesso a zone di protezione 2 di un impianto militare è parimenti necessario un CSP di questo livello.

 Lettera b: il CSP ampliato si applica di conseguenza: (a) al trattamento di informazioni classificate «SE-

GRETO»; (b) all’amministrazione, all’esercizio, alla verifica o alla manutenzione di mezzi TIC del livello di sicurezza «protezione molto elevata»; e (c) all’accesso alle zone di sicurezza nelle quali vengono esercitate attività di cui ad (a) e a (b). Per l’accesso a zone di protezione 3 di un impianto militare è parimenti necessario un CSP di questo livello.

Spetta alle autorità assoggettate stabilire i livelli di controllo per le funzioni e i mandati corrispondenti.

Art. 36

I servizi specializzati CSP non possono in alcun caso avviare ed eseguire un CSP di propria iniziativa; necessitano sempre di un pertinente mandato. Da un lato, non può essere di competenza delle massime autorità avviare direttamente tutte le procedure di controllo, dall’altro, neppure ogni servizio dovrebbe poter conferire simili mandati di propria iniziativa. L’articolo 36 prevede perciò che ciascuna autorità assoggettata designi per il proprio ambito di competenza quei servizi che sono autorizzati ad avviare le procedure di controllo e a conferire il relativo mandato ai servizi specializzati CSP. Si tratta di una competenza formale. In questo contesto occorre segnalare che il servizio che chiede l’avvio del controllo sovente non coincide con il servizio che dopo il controllo, in applicazione dell’articolo 44, decide in merito all’attribuzione del compito sensibile sotto il profilo della sicurezza (servizio competente per l’attribuzione).

Purché lo reputi opportuno, il Consiglio federale può anche autorizzare determinati terzi ad avviare CSP. Ciò concerne in particolare le aziende che sovente esercitano per la Confederazione attività sensibili sotto il profilo della sicurezza e sono in possesso di una dichiarazione di sicurezza aziendale di cui all’articolo 68. Può anche essere il caso dei Cantoni o delle organizzazioni di cui all’articolo 2 capoverso 2 lettera e.

Art. 37

L’esecuzione del CSP richiede, in linea di principio, il consenso della persona interessata (cpv. 1). Secondo il capoverso 2, unicamente nell’ambito dell’esercito o della protezione civile possono venire eseguiti CSP senza il consenso della persona interessata. Questa eccezione è necessaria perché altrimenti, rifiutando il consenso, i militari e i militi della protezione civile impedirebbero l’esecuzione del controllo e quindi potrebbero sottrarsi al proprio obbligo di prestare servizio.

Art. 38

Il diritto vigente (art. 19 cpv. 3 LMSI) richiede che il CSP venga eseguito prima di attribuire la carica o la funzione o conferire il mandato. L’applicazione della (di per sé opportuna) normativa vigente, in pratica non può tuttavia avvenire senza un sostanziale aumento delle risorse di personale dei servizi specializzati. Perciò, nel capoverso 1 viene attenuata la norma per gli impiegati delle autorità e delle organizzazioni assoggettate: si richiede ancora che soltanto per questo gruppo di persone il CSP venga avviato prima dell’attribuzione della funzione. I datori di lavoro continuano ovviamente a essere liberi di attendere la dichiarazione del ser-