Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

2.11 Legge sulla banca nazionale

Art. 16, rubrica e cpv. 5

In virtù dei suoi compiti di politica monetaria (vedi anche art. 1 cpv. 2 lett. d), la Banca nazionale va considerata come un’autorità assoggettata alla LSIn secondo l’articolo 2 capoverso 1 LSIn. Con l’adeguamento dell’articolo 16 LBN si rimanda espressamente al fatto che la LSIn si applica anche alla Banca nazionale. La rubrica dell’articolo è modificata in modo corrispondente.

3 Ripercussioni

3.1 Ripercussioni per la Confederazione

Le informazioni vengono protette in quanto una violazione della loro confidenzialità, disponibilità, integrità o tracciabilità (cfr. art. 4) può compromettere i diritti di terzi (ad es. dati personali, segreti d’affari o di fabbricazione), pregiudicare interessi pubblici essenziali (ad es. la capacità d’azione delle autorità federali, la sicurezza nazionale, le relazioni internazionali o l’approvvigionamento del Paese) o arrecare danni alle organizzazioni interessate (ad es. perdita di produttività o disfunzioni nell’esercizio). La sicurezza delle informazioni ha lo scopo di ridurre in modo possibilmente efficace ed economico la probabilità che subentri un danno simile, anche finanziario, come pure le eventuali ripercussioni di tale danno. I suoi costi devono pertanto essere ponderati con la corrispondente riduzione dei rischi.

Secondo le stime attuali, la legge comporterà un miglioramento notevole e durevole della sicurezza delle informazioni in seno alla Confederazione. In prima linea disciplina la gestione della sicurezza delle informazioni e aumentandone l’efficienza. Sovente una gestione efficiente migliora in particolare la sicurezza in modo più efficace, economico e durevole che non gli investimenti in misure tecniche. Inoltre, la prassi ha mostrato che un’ottimizzazione della gestione della sicurezza delle informazioni – in particolare quando quest’ultima è fondata su una gestione dei rischi efficace – a medio termine può addirittura generare risparmi. L’avamprogetto prevede anche diverse misure organizzative che, rispetto ad oggi, oltre a migliorare la protezione delle informazioni, dovrebbero comportare determinati risparmi in termini di costi, nella misura in cui vengono attuate coerentemente. L’innalzamento dei valori soglia per la classificazione, ad esempio, dovrebbe ridurre il numero di informazioni classificate e quindi il relativo dispendio (cfr. n. 1.2.3.4). Per quanto riguarda i controlli di sicurezza relativi alle persone (CSP), il valore soglia per l’esecuzione di un simile CSP sarà innalzato e, nel contempo, il numero di attività per il cui esercizio è necessario (e ammesso) un CSP verrà ridotto. Pertanto, in futuro i CSP dovrebbero diminuire (cfr. n. 1.2.4). Inoltre, ad esempio, la proposta standardizzazione dei requisiti e delle misure di sicurezza (cfr. art. 88), il miglioramento dello scambio di informazioni tra autorità federali e il sostegno alle autorità federali da parte del servizio specializzato della Confederazione per la sicurezza delle informazioni (cfr. art. 84-86) contribuiranno a fare in modo che non si debba «reinventare la ruota» per ogni progetto. Infine, la nuova regolamentazione agevolerà la cooperazione internazionale nel settore della sicurezza (cfr. n. 4.2).

Il necessario miglioramento della sicurezza delle informazioni a livello di Confederazione provocherà costi, che tuttavia potranno essere stimati oggettivamente solo dopo l’esecuzione della procedura di consultazione. A tale scopo sono necessarie in particolare varianti a livello di organizzazione e risorse in relazione agli incaricati della sicurezza delle informazioni e al servizio specializzato della Confederazione per la sicurezza delle informazioni nonché dati più precisi sul numero dei mezzi TIC esistenti che in futuro rientreranno nel livello di sicurezza «protezione molto elevata». Nel suo messaggio, il Consiglio federale presenterà in modo trasparente le ripercussioni finanziarie e in materia personale del disegno di legge.

I costi imputabili direttamente alla legge devono essere chiaramente delimitati dai costi delle misure che le singole autorità federali possono decidere liberamente nell’ambito dell’attuazione. La legge disciplina in particolare solo la gestione della sicurezza delle informazioni e non definisce né un livello di sicurezza da raggiungere né – salvo alcune eccezioni (cfr. più sotto) – misure dettagliate. Essa non è pertanto attuabile direttamente, in quanto le autorità federali devono emanare disposizioni proprie per il rispettivo ambito di competenza e dispongono al riguardo – ad eccezione del settore organizzativo – di un margine di manovra pressoché illimitato (cfr. art. 87 cpv. 1). In questo contesto devono definire il livello di sicurezza che intendono raggiungere (cfr. art. 5 cpv. 3 lett. a) e, su questa base, decidere, a livello di ordinanza, di istruzioni o addirittura di progetto, i requisiti e le misure dal punto di vista organizzativo, del personale, tecnico ed edile necessari al raggiungimento di questo livello. Quanto più il livello di sicurezza da raggiungere è elevato, tanto più i costi delle misure di sicurezza saranno alti. La legge in sé non ha influsso su questi costi. Pertanto, nella valutazione delle ripercussioni finanziarie e in materia di personale della legge non possono nemmeno essere quantificati.