Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

Art. 86

In merito al servizio specializzato della Confederazione per la sicurezza delle informazioni, si veda il n. 1.3.2.3.

Il capoverso 1 contiene un catalogo dei compiti e delle competenze, concernenti tutte le autorità, del futuro servizio specializzato:

 la lettera a obbliga il servizio specializzato a fornire consulenza alle autorità assoggettate e ai loro incari-

cati della sicurezza delle informazioni. Esse possono anche chiedere l’assistenza tecnica del servizio specializzato, in particolare nell’elaborazione di incidenti nell’ambito della sicurezza delle informazioni;

 secondo la lettera b, il servizio specializzato deve potere raccomandare misure di protezione preventive in

caso di minacce dirette alla sicurezza delle informazioni;

 lettera c: le autorità assoggettate o i servizi da esse autorizzati possono incaricare il servizio specializzato

di eseguire presso di loro determinati controlli e audit nell’ambito della sicurezza delle informazioni. Il servizio specializzato non può eseguire spontaneamente simili verifiche. In particolare per audit di sicurezza tecnici sono necessarie elevate conoscenze specialistiche che non tutte le autorità assoggettate dovrebbero procurarsi per sé: approntare un pool di esperti è più economico;

 lettera d: in virtù dell’articolo 20, le autorità e le organizzazioni assoggettate che vogliono impiegare nuo-

ve tecnologie sono tenute a eseguire una valutazione dei rischi. Per le tecnologie particolarmente importanti o che possono avere un ampio campo d’applicazione, devono potere chiedere al servizio specializzato di eseguire questa analisi dei rischi;

 la lettera e, su richiesta delle autorità e delle organizzazioni assoggettate, autorizza l’organo specializzato

a esaminare, per quanto riguarda aspetti rilevanti sotto il profilo della sicurezza, l’idoneità di determinati processi, mezzi, installazioni, oggetti e prestazioni di servizio. Nell’ambito della sicurezza delle informazioni a livello tecnico, i fornitori di prestazioni TIC sono, ad esempio, interessati a sapere se le soluzioni tecniche che sviluppano soddisfano i requisiti fissati dalla Confederazione. Se ciò è il caso, allora possono impiegarli molto più semplicemente per altri progetti o mezzi TIC. Lo stesso vale anche, ad esempio, per casseforti o per prestazioni di servizio. Anche se i requisiti sono soddisfatti, la responsabilità rimane tuttavia sempre dell’autorità o dell’organizzazione che impiega simili mezzi. Questa competenza è necessaria anche per il contesto internazionale: il servizio specializzato deve assumere il ruolo (oggi mancante), usuale a livello internazionale, della National Accreditation Authority (si veda il n. 4.2);

 lettera f: se vengono avviati importanti progetti che coinvolgono più autorità e hanno un sostanziale rap-

porto con la sicurezza delle informazioni, su richiesta delle autorità assoggettate il servizio specializzato deve assumere all’interno dei progetti la direzione e il coordinamento delle questioni inerenti alla sicurezza delle informazioni;

 lettera g: poiché le corrispondenti conoscenze specialistiche vanno raggruppate per la Confederazione nel

previsto servizio specializzato, quest’ultimo deve essere anche l’interlocutore della Confederazione per i servizi svizzeri, esteri e internazionali nell’ambito della sicurezza delle informazioni. Esso assumerà anche i necessari ruoli nell’ambito dei contatti internazionali tra autorità (si veda il n. 4.2.). Altre autorità o organizzazioni potranno però continuare a intrattenere contatti specialistici in questo settore;

 lettera h: il servizio specializzato dovrà allestire annualmente un rapporto per il Consiglio federale.

In conformità con il capoverso 3, nel suo diritto esecutivo il Consiglio federale deve disciplinare l’organizzazione del servizio specializzato. Per questo dovrà stabilire quali compiti deve esercitare il servizio specializzato stesso e quali adempiere in collaborazione con altri servizi federali. In questo contesto, il Consiglio federale dovrà ovviamente decidere anche sulla questione della loro collocazione.

Art. 87

Capoverso 1: l’autonomia delle autorità assoggettate non sarà messa in discussione. Esse non saranno assoggettate alle disposizioni d’esecuzione del Consiglio federale. Per contro, dovranno emanare per il proprio ambito le disposizioni necessarie per l’esecuzione della presente legge. Il capoverso stabilisce anche che il Consiglio federale può delegare alla Cancelleria federale l’emanazione di disposizioni esecutive in relazione con la gestione degli affari del Consiglio federale (si veda anche art. 15 cpv. 2 LOGA).

Capoverso 2: con questa normativa e l’articolo 70 LParl, l’Assemblea federale ha tutte le disposizioni necessarie affinché essa e i Servizi del Parlamento possano applicare direttamente la LSIn e le sue disposizioni d’esecuzione.

Nel capoverso 3 viene stabilito un cosiddetto «opting out»: le disposizioni d’esecuzione del Consiglio federale di cui al capoverso 1 si applicano, per analogia, a tutte le autorità assoggettate, sempre che non emanino