Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

proprie disposizioni d’esecuzione. Rimane inteso che il Consiglio federale consulta le altre autorità prima di emanare le proprie disposizioni d’esecuzione. Che il Consiglio federale sia competente, in maniera autonoma, per l’emanazione delle disposizioni d’esecuzione necessarie al controllo di sicurezza relativo alle persone e alla procedura di sicurezza relativa alle aziende risulta dal fatto che i relativi servizi competenti sono parte dell’Amministrazione federale, la cui organizzazione è affare del Consiglio federale.

Capoverso 4: prima che le organizzazioni di diritto pubblico o privato di cui all’articolo 2 capoverso 2 lettera e possano essere assoggettate alla legge, si deve valutare se esercitano attività della Confederazione sensibili sotto il profilo della sicurezza. Il Consiglio federale deve procedere a tale valutazione per queste organizzazioni e in seguito fissare a livello di ordinanza il campo d’applicazione dettagliato. Ciò può avvenire nelle disposizioni d’esecuzione della legislazione speciale o nelle disposizioni d’esecuzione della presente legge. Se necessario, il Consiglio federale può fare applicare da queste organizzazioni soltanto parti della legge (p. es. disposizioni sulla classificazione, sull’impiego delle TIC o sui controlli di sicurezza relativi alle persone).

Art. 88

Capoverso 1: per raggiungere il necessario livello di sicurezza uniforme, il Consiglio federale deve stabilire, secondo lo stato della dottrina e della tecnica, requisiti e misure standard. Non si tratta di requisiti e misure organizzative fondamentali bensì, in primo luogo, di requisiti di minore importanza, ad esempio:

 standard per rilevare le necessità di protezione di informazioni in relazione ai quattro criteri dell’articolo 4

capoverso 2;

 metodo standard per valutare il rischio di cui all’articolo 6 capoverso 1;

 standard per le misure organizzative, in materia di personale, tecniche ed edili di cui all’articolo 6 capo-

verso 2;

 requisiti standard per determinati processi e mezzi volti a proteggere informazioni classificate di cui agli

articoli 12-18;

 requisiti e misure standard per la protezione di base, per l’allestimento di piani di sicurezza delle informa-

zioni e per la sicurezza di mezzi TIC dei livelli di sicurezza «protezione elevata» e «protezione molto elevata» di cui agli articoli 19-27; ecc.

Capoverso 2: se necessario, il Consiglio federale delegherà a servizi subordinati l’elaborazione e l’adozione degli standard. Ciò concerne in primo luogo il servizio specializzato della Confederazione per la sicurezza delle informazioni, ma anche, ad esempio, fedpol nell’ambito della protezione delle opere. I fornitori di prestazioni TIC della Confederazione dovrebbero, parimenti, potere elaborare standard di sicurezza tecnici ed eventualmente, ai fini della standardizzazione, farli verificare dal servizio specializzato quanto alla loro idoneità per la Confederazione (si veda l’art. 86 cpv. 1 lett. e). Una simile delega da parte del Consiglio federale non deve però avvenire in modo globale. Determinate misure tecniche possono comportare notevoli conseguenze finanziarie che non necessariamente andrebbero decise da servizi subordinati. Anche nel caso di un’eventuale delega, il Consiglio federale deve dunque garantire che deciderà esso stesso le misure di ampia portata e più costose.

Capoverso 3: gli standard non sono vincolanti per le altre autorità assoggettate.

Art. 89

Capoverso 1: in casi nei quali i Cantoni o le loro autorità e i loro servizi rispettivi rientrano nel campo d’applicazione della legge (si veda l’art. 2 cpv. 2 lett. f), devono adottare le necessarie misure di sicurezza secondo la presente legge. I servizi federali non ricevono così però alcuna facoltà diretta di emanare istruzioni bensì, in linea di principio, sono i Cantoni stessi responsabili dell’esecuzione nel loro ambito di competenza.

Capoverso 2: il Consiglio federale deve disciplinare nel suo diritto esecutivo la verifica dell’applicazione delle misure e l’esecuzione di controlli di sicurezza relativi alle persone per gli impiegati cantonali. In particolare dovrà disciplinare come, eventualmente, le autorità federali controllano l’applicazione delle prescrizioni da parte dei Cantoni. Rimane inteso che, nel farlo, terrà conto dello statuto istituzionale dei Cantoni e in particolare della loro autonomia organizzativa.

Nel capoverso 3 i Cantoni vengono obbligati, per simili casi, a designare ciascuno un servizio quale interlocutore delle autorità e delle organizzazioni assoggettate competenti. In questo modo si intende garantire che lo scambio di informazioni abbia luogo sistematicamente e che l’applicazione delle misure secondo la presente legge avvenga in modo coordinato.