Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

Capoverso 3: diversamente dalla dichiarazione di sicurezza nell’ambito del CSP, il rilascio o il mancato rilascio della DSA costituisce una decisione perché espleta effetti giuridici diretti per i partecipanti (si veda l’art. 69 segg.). Se non è d’accordo con la decisione del servizio specializzato SA, l’azienda può presentare ricorso contro questa decisione dinanzi al Tribunale amministrativo federale (art. 76 cpv. 1). La decisione viene comunicata anche al mandante, perché non può più affidare un’attività sensibile sotto il profilo della sicurezza all’azienda alla quale è stata rifiutata la DSA (art. 69). A quel momento il mandante ha probabilmente investito già molto denaro nel progetto e in questo caso, contrariamente all’articolo 65 capoverso 1, anch’esso ha dunque diritto di presentare ricorso.

Capoverso 4: limitando a cinque anni la durata di validità della DSA si intende garantire che si proceda periodicamente a una nuova valutazione dell’idoneità sotto il profilo della sicurezza di cui all’articolo 62 segg.. Grazie a essa sarà possibile tenere conto delle modifiche fondamentali nell’azienda che influiscono sulla sicurezza delle informazioni.

Art. 69

Il mandante è vincolato alla decisione del servizio specializzato SA. Esso non può più affidare un’attività sensibile sotto il profilo della sicurezza all’azienda alla quale è stata rifiutata la DSA (si veda l’art. 68 cpv. 3). Viceversa, le aziende con una DSA valida sono autorizzate a eseguire mandati sensibili sotto il profilo della sicurezza se è stato aggiudicato loro il pertinente mandato e il contratto si concretizza.

La DSA deve essere rilasciata prima che il mandante faccia eseguire il mandato all’azienda. Questa norma corrisponde al principio dell’articolo 38 capoverso 3 nell’ambito del CSP.

Art. 70

Capoverso 1: le aziende titolari di una DSA sono tenute a cooperare e collaborare. Il loro obbligo più importante consiste nell’applicare in permanenza le misure del concetto in materia di sicurezza.

Secondo il capoverso 2, queste aziende devono inoltre annunciare al servizio specializzato SA tutti i cambiamenti fondamentali per la salvaguardia della sicurezza delle informazioni nell’adempimento del mandato sensibile sotto il profilo della sicurezza. Ad esempio, vanno annunciati nuovi collaboratori ai quali deve essere affidato l’esercizio di attività sensibili sotto il profilo della sicurezza affinché nei loro confronti venga eseguito un CSP. L’azienda deve poi annunciare senza indugio al servizio specializzato SA se si è verificato un incidente rilevante sotto il profilo della sicurezza.

Art. 71

Il capoverso 1 autorizza il servizio specializzato SA a controllare nell’azienda il rispetto delle misure di sicurezza, previste nel concetto in materia di sicurezza e rilevanti per il mandato. Può verificare gli ambiti dell’azienda nei quali viene eseguito un mandato sensibile sotto il profilo della sicurezza. Può anche consultare documenti dell’azienda rilevanti per il mandato. Per sua stessa natura, l’ispezione può anche avvenire senza preavviso. Può essere eseguita solamente in compagnia o alla presenza di una persona appartenente all’azienda, di regola l’incaricato della sicurezza.

Capoverso 2: in presenza di indizi concreti di una minaccia per la sicurezza delle informazioni, il servizio specializzato SA può adottare le necessarie misure di protezione. Il servizio specializzato SA può, ad esempio, disporre l’immediata messa sotto chiave o restituzione di taluni documenti o materiali. Qualora la sicurezza delle informazioni non possa essere garantita diversamente, è persino autorizzato a sequestrare determinati documenti o materiali. Ciò vale anche per i casi nei quali, dopo il fallimento di un’azienda, i documenti o i mezzi TIC ancora esistenti devono essere separati rapidamente dalla massa fallimentare.

Art. 72

Capoverso 1: nell’aggiudicazione di altri mandati sensibili sotto il profilo della sicurezza, le aziende titolari di una DSA sono considerate idonee ai sensi dell’articolo 62. La loro idoneità non viene valutata di nuovo. Si applica una procedura semplificata, che il Consiglio federale disciplinerà a livello di ordinanza.

Secondo il capoverso 2, in siffatti casi occorre tuttavia esaminare se il concetto in materia di sicurezza in vigore deve essere adeguato. Ciò potrebbe ad esempio essere il caso se finora l’azienda in questione ha dovuto trattare «soltanto» informazioni classificate «CONFIDENZIALE», ma in futuro dovrà trattare anche informazioni classificate «SEGRETO».

Art. 73

Le aziende con sede in Svizzera che vogliono candidarsi per un mandato estero sensibile sotto il profilo della sicurezza, devono presentare alle autorità di quel Paese una dichiarazione di sicurezza delle autorità svizzere (si vedano l’art. 57 cpv. 1 lett. b e l’art. 68 cpv. 1). Il servizio specializzato SA rilascia perciò alle aziende con una DSA, su loro richiesta, una corrispondente attestazione.