Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

Già oggi tutte le autorità federali sono tenute ad adottare misure per garantire la sicurezza delle informazioni. Determinante per la valutazione dei costi sono quindi le disposizioni della legge che definiscono nuovi compiti o modificano compiti e processi esistenti. Qui di seguito sono descritti i cinque fattori di costo più importanti dell’avamprogetto di legge:

1. organizzazione, gestione, attuazione e controllo della sicurezza delle informazioni (art. 5 cpv. 1 lett. a): la

nuova organizzazione richiesta dalla legge comporterà un impegno organizzativo da non sottovalutare e richiederà risorse finanziarie. In particolare nella fase di allestimento e di introduzione si dovranno acquisire le conoscenze tecniche che attualmente in parte mancano alle autorità federali. Per la gestione e l’esercizio di una simile organizzazione interna saranno competenti gli incaricati della sicurezza delle informazioni. Per ogni autorità nonché per i dipartimenti e la CaF la legge prevede almeno due incaricati della sicurezza delle informazioni. L’adempimento di questi compiti dovrà essere garantito principalmente con le risorse di personale disponibili. Il fabbisogno effettivo di personale risulterà tuttavia variabile e dipenderà dalle dimensioni dell’autorità o organizzazione (effettivo di personale), dal rispettivo settore di compiti nonché dal numero e dalla criticità dei mezzi TIC da esse impiegati;

2. verifiche e audit migliorati (art. 11 cpv. 2 nonché ad es. art. 24 cpv. 2): per l’esecuzione dei controlli, un

compito dirigenziale ordinario, è di principio competente la linea gerarchica. Gli incaricati della sicurezza delle informazioni eseguiranno anch’essi verifiche e audit su mandato della propria autorità o organizzazione. La legge prevede tuttavia due nuovi tipi di verifiche che comporteranno ripercussioni finanziarie e personali, ossia una verifica dell’efficacia indipendente e periodica delle misure adottate (art. 11 cpv. 2) nonché una verifica tecnica dell’efficacia dei mezzi TIC più critici (art. 24 cpv. 2). I costi che ne risultano dipenderanno dalla frequenza di questi controlli. Grossomodo si possono ipotizzare i seguenti dati:

 audit esterni (art. 11 cpv. 2): secondo le indicazioni del CDF, per una piccola verifica trasversale sono necessari, in base all’esperienza, circa 100 giorni/persona, mentre per un’ampia verifica trasversale si contano circa 300 giorni/persona;

 verifiche tecniche dell’efficacia (art. 24 cpv. 2): nella Confederazione sono impiegati approssimativamente da 50 a 70 sistemi TIC che in futuro saranno attribuiti al livello di sicurezza «protezione molto elevata» e che quindi dovranno essere sottoposti a una verifica dell’efficacia. In base all’esperienza, i costi per gli audit (spese per il personale) ammontano di regola dallo 0,5 per cento al 2 per cento delle spese totali per investimenti destinati al sistema TIC sottoposto all’audit;

3. controlli di sicurezza relativi alle persone (CSP; art. 32-55): uno degli obiettivi della legge è armonizzare

e snellire i CSP. Con le modifiche proposte, in futuro dovranno essere eseguiti meno CSP e quindi i relativi costi dovrebbero diminuire a medio termine;

4. procedura di sicurezza relativa alle aziende (art. 56-80): oggi per l’esecuzione della procedura di sicu-

rezza relativa alle aziende nel quadro di mandati militari classificati, il DDPS impiega due posti a tempo pieno. L’estensione al settore civile e alle altre autorità federali proposta dal Consiglio federale comporterà un aumento del numero delle aziende interessate e quindi un maggior fabbisogno di personale. Le aziende che si candidano per mandati di autorità estere per la cui esecuzione è necessaria un'attestazione di sicurezza relativa alle aziende devono sopportare i costi per la procedura di sicurezza da eseguire (art. 57 cpv. 3);

5. servizio specializzato della Confederazione per la sicurezza delle informazioni (art. 86): la creazione di

questo nuovo servizio comporterà costi di riorganizzazione che dipenderanno dall’attribuzione amministrativa del servizio specializzato nonché dall’entità della fusione di organi esistenti. Nonostante il servizio specializzato debba adempiere i suoi compiti principalmente con le risorse di personale esistenti dell’Amministrazione federale, sarà necessario personale supplementare. Il servizio specializzato non opererà solo per l’Amministrazione federale, ma anche per le altre autorità federali. Inoltre dovrà svolgere nuovi compiti, in particolare:

 esecuzione di verifiche e audit (art. 86 cpv. 1 lett. c): vedi più sopra il numero 2. Verifiche e audit migliorati;

 verifica dell’idoneità dal punto di vista della sicurezza di determinati processi, mezzi e prestazioni (art. 86 cpv. 1 lett. e). Questo nuovo compito è necessario per la standardizzazione auspicata e per la collaborazione internazionale;

 direzione e coordinazione dell’ambito della sicurezza delle informazioni in occasione di progetti importanti che coinvolgono più autorità (art. 86 cpv. 1 lett. f). Con questo nuovo compito si intende, da un lato, garantire che le competenze nell’ambito di questi progetti vengano chiaramente disciplinate e, dall’altro lato, anche che esperti riconosciuti accompagnino il progetto sotto il profilo della sicurezza;