Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

organizzativo, il Consiglio federale deve decidere a livello di ordinanza come deve essere organizzata e diretta la sicurezza dell’informazione fino a questo livello.

Il capoverso 2 definisce in forma generale il settore di compiti e le competenze degli incaricati della sicurezza delle informazioni:

 la lettera a sottolinea che le competenze decisionali e la responsabilità per le decisioni nell’ambito della

sicurezza tecnica delle informazioni devono continuare a rimanere presso la linea gerarchica, dunque presso le autorità competenti e i servizi subordinati. Gli incaricati della sicurezza delle informazioni devono però assistere e sostenere la linea gerarchica nelle questioni tecniche;

 la lettera b stabilisce che, per incarico della propria autorità o organizzazione, gli incaricati della sicurezza

delle informazioni devono dirigere la sicurezza delle informazioni e la corrispondente gestione dei rischi sotto il profilo tecnico;

 la lettera c prevede che gli incaricati della sicurezza delle informazioni abbiano un obbligo generale di

verificare regolarmente il rispetto delle prescrizioni della presente legge, che redigano rapporti all’attenzione della propria autorità e che, in caso di accertata necessità di agire, debbano presentare una richiesta in tal senso;

 la lettera d rileva che gli incaricati della sicurezza delle informazioni possono annunciare incidenti accer-

tati rilevanti sotto il profilo della sicurezza sia al servizio specializzato della Confederazione per la sicurezza delle informazioni (art. 86) e alla Conferenza degli incaricati della sicurezza delle informazioni (art. 85), sia ai servizi che assumono i compiti riguardanti la sicurezza delle informazioni presso le infrastrutture critiche. Si rinuncia quindi a un obbligo generale di annuncio per tutte le autorità. Anche se la comunicazione di simili incidenti è assai raccomandabile, l’autonomia delle autorità non va però toccata.

Capoverso 3: gli incaricati della sicurezza delle informazioni devono essere indipendenti nella loro posizione e nell’assunzione dei loro compiti e non possono essere esposti ad alcun conflitto di interessi materiale. Nella pratica, la mancanza di una separazione delle funzioni porta di continuo a problemi nell’esecuzione delle direttive di sicurezza. Così oggi, ad esempio, la maggioranza degli incaricati della sicurezza delle TIC è ancora subordinata alle direzioni delle TIC. Spesso i responsabili delle TIC perseguono priorità diverse dalla sicurezza e, in ragione dell’urgenza e/o dei costi, nei progetti si rinuncia periodicamente ad attuare le necessarie misure di sicurezza. Agli incaricati della sicurezza delle informazioni non andrebbe neanche affidato l’esercizio diretto di mezzi TIC, né essi andrebbero impiegati quali responsabili di progetti non riguardanti in primo luogo la sicurezza delle informazioni, poiché proprio in questo accumularsi di compiti gli altri requisiti dell’azienda collidono periodicamente con una valutazione possibilmente obiettiva dei rischi per la sicurezza.

L’esatta collocazione della funzione è affidata alle autorità o ai dipartimenti e alla CaF. Basandosi su esperienze pratiche, la dottrina mostra tuttavia che gli incaricati della sicurezza delle informazioni sono più efficaci se vengono collocati relativamente vicino alla direzione dell’autorità perché così possono avere una migliore visione d’insieme dei processi lavorativi e valutare le esigenze aziendali. Sarebbe inoltre auspicabile, collocare gli incaricati della sicurezza delle informazioni in modo che possano assicurare uno stretto coordinamento con gli attuali gestori dei rischi, consulenti alla protezione dei dati, incaricati della sicurezza (protezione delle opere) ed eventualmente consulenti in materia di trasparenza.

Art. 85

In merito alla Conferenza, si veda il numero 1.3.2.2.

Il capoverso 1 stabilisce chi è membro permanente in questa Conferenza. In particolare devono essere rappresentati i dipartimenti e la Cancelleria federale.

Il capoverso 2 definisce i compiti della Conferenza, che servono tutti a coordinare efficacemente l’esecuzione. Il servizio specializzato della Confederazione per la sicurezza delle informazioni (si veda l’art. 86), da istituire ex novo, dovrà servire a consultare e coinvolgere la Conferenza su tutte le questioni importanti relative alla sicurezza delle informazioni. Particolarmente importante è la consulenza al servizio specializzato da parte della Conferenza nelle questioni riguardanti la strategia in materia di sicurezza delle informazioni. La Conferenza deve anche servire a riconoscere tendenze o rischi e a pianificare a lungo termine misure appropriate. Solamente così sarà possibile trovare soluzioni efficaci e creare il necessario consenso. Appare importante anche che il coordinamento con l’IFPDT venga sancito esplicitamente quale mandato (lett. d). Per i suoi accertamenti e la formazione di una propria opinione, la Conferenza può ricorrere anche a rappresentanti dei Cantoni e a esperti indipendenti.

Il capoverso 3 stabilisce che la Conferenza deve definire la propria organizzazione e i propri processi lavorativi e decidere inoltre sulla propria direzione.