Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

la PSA, allora raccomanda anche le misure di sicurezza che reputa opportune. In questo caso il servizio specializzato SA non dispone più di alcuna competenza di attuazione.

Art. 61

Dopo l’avvio della procedura, il servizio specializzato SA si mette in contatto con il servizio che conferisce il mandato (mandante) e discute i dettagli del mandato. D’intesa con il mandante, definisce i requisiti in materia di sicurezza delle informazioni per l’adempimento del mandato. Sempre che l’esercizio di un’attività sensibile sotto il profilo della sicurezza sia necessario già nell’ambito della procedura di aggiudicazione, anche per questa fase vengono stabiliti i requisiti. In particolare, ciò si verifica periodicamente se per l’allestimento di un’offerta durante la procedura di aggiudicazione è necessario conoscere informazioni classificate.

Art. 62

La nozione di «idoneità» va intesa nel senso della sistematica del diritto in materia di appalti pubblici. Anche se la garanzia della sicurezza delle informazioni non rappresenta un esplicito criterio di idoneità di cui all’articolo 9 LAPub, il presente avamprogetto lo introduce però per l’esecuzione di mandati sensibili sotto il profilo della sicurezza.

Capoverso 1: il mandante deve comunicare al servizio specializzato SA tutte le aziende che entrano in considerazione per l’aggiudicazione del mandato.

Capoverso 2: il servizio specializzato SA valuta quindi se tali aziende sono idonee per l’esecuzione del mandato sensibile sotto il profilo della sicurezza oppure se con il conferimento del mandato a una determinata azienda o a determinate aziende si crea un rischio per la sicurezza di cui all’articolo 64. Se sussiste un rischio per la sicurezza in relazione a un offerente/fornitore, questi non è quindi idoneo sotto il profilo della sicurezza delle informazioni.

Capoverso 3: il servizio specializzato SA non deve essere vincolato a istruzioni per valutare l’idoneità. Qui si tratta di eseguire la valutazione senza farsi condizionare da interessi di politica economica (si veda anche l’art. 42 cpv. 4 per il CSP).

Art. 63

L’articolo 63 costituisce la base legale formale per l’acquisizione dei dati in vista della valutazione dell’idoneità delle aziende sotto il profilo della sicurezza di cui all’articolo 62 capoverso 2.

Il capoverso 1 elenca quali dati può rilevare il servizio specializzato SA per la valutazione dell’idoneità. Le modalità per simili domande e le informazioni che vengono fornite di conseguenza vanno disciplinate a livello di ordinanza.

 Secondo la lettera a, sostanzialmente i dati necessari vengono acquisiti presso l’azienda stessa con il suo consenso (si veda anche l’art. 57);

 la lettera b costituisce la base legale formale per ulteriori informazioni che il servizio specializzato SA richiede al Servizio delle attività informative della Confederazione;

 la lettera c consente al servizio specializzato SA, se necessario, di acquisire dati sulla ditta dal registro di commercio o da Internet. Simili ricerche possono fornire importanti indicazioni sull’affidabilità della ditta (si veda l’art. 39 cpv. 1 lett. g per il CSP).

Capoverso 2: il servizio specializzato SA, ad esempio, sfrutterà questa possibilità se ditte estere si candideranno presso le autorità federali per un mandato sensibile sotto il profilo della sicurezza.

Art. 64

Questa disposizione è simmetrica all’articolo 42 (valutazione del rischio per la sicurezza nella CSP). I meccanismi di valutazione del rischio sono, in linea di massima, identici.

Secondo il capoverso 1 sussiste un rischio per la sicurezza quando vi sono indizi concreti che l’azienda con elevata probabilità eserciterà l’attività sensibile in materia di sicurezza in maniera contraria alle prescrizioni o non appropriata.

Il capoverso 2 elenca in seguito i tre più importanti motivi per un’elevata probabilità che il mandato venga eseguito in maniera contraria alle prescrizioni o non appropriata.

 Lettera a: ciò può, ad esempio, essere il caso se i dati acquisiti mostrano che l’azienda ha commesso reati che sono rilevanti per la sicurezza delle informazioni;

 lettera b: con questa disposizione si intende impedire il trasferimento di informazioni sensibili sotto il profilo della sicurezza alle aziende che per i loro rapporti di proprietà, le loro strutture organizzati-