Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

ve o le loro relazioni d’affari, vengono ad esempio dirette da servizi informazioni esteri o da organizzazioni di stampo criminale;

 lettera c: se l’azienda è costituita da una singola persona sussiste (ditta individuale) o se per l’adempimento del mandato sono indispensabili determinate persone (p. es. perché queste persone sono esperti che non possono essere sostituiti o perché dirigono l’azienda e il mandato non può essere eseguito senza il loro impiego), il rilascio di una dichiarazione di rischio nell’ambito del CSP può avere quale conseguenza per queste persone che l’azienda nella sua totalità debba essere valutata come un rischio per la sicurezza.

Il capoverso 3 rileva che il rischio menzionato deve essere motivato dalle circostanze effettive dell’azienda interessata. In tale contesto, è irrilevante se all’azienda stessa o ai suoi collaboratori è imputabile una qualsivoglia colpa, ad esempio se la ditta cui appartiene l’azienda è diretta da persone legate a servizi informazioni o alla criminalità.

Art. 65

Capoverso 1: il servizio specializzato SA notifica all’azienda interessata la propria valutazione quanto all’idoneità. Se essa non è d’accordo con la valutazione del rischio, può presentare ricorso contro questa decisione dinanzi al Tribunale amministrativo federale (art. 76 cpv. 3). Il mandante può continuare la procedura di aggiudicazione o le sue trattative con tutte le aziende nelle quali non è riconoscibile alcun rischio per la sicurezza. Esso non è autorizzato a presentare ricorso e perciò viene solamente informato sulla valutazione.

Capoverso 2: se il servizio specializzato SA riconosce rischi per la sicurezza in relazione a un’azienda o più aziende, il mandante non può invece né aggiudicare il mandato a quell’azienda (o a quelle aziende), né stipulare il contratto con una simile azienda (o con simili aziende). Esso esclude dalla procedura di aggiudicazione l’azienda o le aziende in questione in quanto non idonee sotto il profilo della sicurezza. Il mandante è dunque vincolato alla valutazione del servizio specializzato SA. Il motivo consiste nel fatto che un’impresa o un’azienda alla quale viene rilasciata una dichiarazione di sicurezza aziendale, riceve un «sigillo di sicurezza» statale. La salvaguardia dell’integrità di questo sigillo può essere assicurata soltanto se la decisione sull’idoneità viene presa da specialisti.

Art. 66

Capoverso 1: appena il mandante ha aggiudicato il mandato, informa il servizio specializzato SA, che avvia le ulteriori fasi della procedura.

Capoverso 2: affinché sia garantita la necessaria sicurezza delle informazioni nell’azienda che deve esercitare l’attività sensibile sotto il profilo della sicurezza, occorre adottare pertinenti misure organizzative, in materia di personale, tecniche e fisiche. In un concetto in materia di sicurezza viene perciò stabilito come devono essere applicati i requisiti posti alla sicurezza delle informazioni già definiti dal servizio specializzato SA con il mandante dopo l’avvio della procedura (si veda l’art. 61).

Capoverso 3: di regola, le aziende hanno già adottato misure di sicurezza nei più svariati ambiti che devono soltanto essere ancora verificate e, ove necessario, completate dal servizio specializzato SA. Tutte le misure necessarie, quelle già adottate e quelle necessarie in aggiunta, vengono sancite nel concetto di cui al capoverso 2. Il servizio specializzato acquisisce i dati necessari direttamente presso l’azienda.

Art. 67

Capoverso 1: per i collaboratori che devono esercitare un’attività sensibile sotto il profilo della sicurezza viene eseguito un CSP. Queste persone vengono controllate in virtù dell’articolo 34 capoverso 1 lettera b ed eventualmente lettera c o dell’articolo 34 capoverso 2. Il livello di controllo si fonda sull’articolo 35.

Capoverso 2: il servizio specializzato SA decide successivamente al CSP, in modo vincolante, se alla persona sottoposta al controllo può essere affidata l’attività sensibile sotto il profilo della sicurezza.

Art. 68

Capoverso 1: appena l’azienda ha adottato le necessarie misure di sicurezza e ha così comprovatamente attuato il concetto in materia di sicurezza, il servizio specializzato SA le rilascia una dichiarazione di sicurezza aziendale (DSA). La DSA è una decisione secondo l’articolo 5 PA.

Capoverso 2: se il concetto in materia di sicurezza non viene attuato dall’azienda, il che finora in pratica è successo soltanto assai di rado, non vengono soddisfatti i requisiti relativi alla sicurezza delle informazioni. Perciò, in siffatti casi, il servizio specializzato SA rifiuta di rilasciare la DSA e dispone l’abbandono della procedura. Prima di poter disporre il rifiuto di rilasciare la DSA, il servizio specializzato SA deve accordare un termine suppletorio all’azienda affinché possa ottemperare ai suoi obblighi.