Rapporto sui risultati

[Geben Sie Text ein]

viene tuttavia menzionata unicamente la «tracciabilità»; è quindi necessario includere anche il concetto di «autenticità». In questo modo è possibile garantire anche l’autenticità delle informazioni, ciò che rappresenta un aspetto importante della sicurezza delle informazioni.

Il PS svizzero ritiene che nell’articolo 4 manchi il principio di proporzionalità. Il PS propone quindi la seguente aggiunta: «^3bisAssicurano la proporzionalità delle misure di protezione adottate, le quali sono ammesse soltanto finché hanno raggiunto il loro scopo o è evidente che ciò non potrà avvenire. Tali misure non devono inoltre comportare alcun svantaggio in manifesta sproporzione con il risultato auspicato».

FER propone di concentrarsi sulla classificazione delle informazioni e non su una competenza valutata nell’ottica di un eventuale pregiudizio per gli interessi di cui all’articolo 1 capoverso 2. L’obiettivo consiste nel definire una strategia preventiva e non di reagire, o addirittura reagire in modo esagerato, in caso di eventi che richiedono, a posteriori, l’adeguamento delle procedure esistenti.

Insecor constata che nel testo tedesco al capoverso 3 appare all’improvviso l’abbreviazione «mezzi TIC» per il termine «tecnologie dell’informazione e della comunicazione». Poiché tale espressione viene menzionata più volte in articoli precedenti, la relativa abbreviazione dovrebbe apparire già all’inizio dell’avamprogetto di legge, ovvero nell’articolo 1 capoverso 1.

Per it-rm al capoverso 2 deve essere aggiunta una nuova lettera «e. siano attendibili». L’attendibilità presuppone anche la correttezza del contenuto, ovvero l’acquisizione e il trattamento corretto e completo delle informazioni. L’attendibilità delle informazioni è un fattore centrale. Il cittadino deve poter fare affidamento sulla correttezza delle informazioni contenute nei registri (protezione della buona fede). Se le informazioni contenute nei registri dovessero rivelarsi errate ne risulterebbe un gran numero di contestazioni o addirittura procedure litigiose. Per it-rm occorre inoltre aggiungere una nuova lettera «f. siano autentiche o anonime». I dati e le informazioni sono autentiche quando sono riconducibili a una persona o a un apparecchio. In caso contrario risulterebbe un problema di sicurezza poiché non è possibile sapere chi ha avuto accesso alle informazioni e le ha inviate. Per accertare la legittimità di una richiesta online di dati e informazioni confidenziali, in primo luogo è necessaria una conferma dell’attendibilità concreta della responsabilità della richiesta. Ciò richiede il controllo dell’autenticità della richiesta. L’anonimato ha lo scopo opposto dell’autenticità, ovvero l’impossibilità di attribuire le informazioni. Il segreto di voto presuppone la protezione dell’anonimato. Ciò che deve essere protetto nel quadro del segreto di voto è l’impossibilità di attribuire il voto a una persona naturale.

Articolo 5 Massima responsabilità direttiva

Per insecor non è chiaro perché nel capoverso 1 la massima responsabilità direttiva sia attribuita unicamente alle «autorità assoggettate» e non anche alle «organizzazioni assoggettate» (ovvero, ad esempio, all’«Amministrazione federale»). In considerazione delle responsabilità già menzionate nella LOGA (RS 172.010) non è possibile che l’amministrazione federale non consideri la sicurezza come «affare dei capi» (cfr. Rapporto esplicativo, commento all’articolo 5, p. 41). Per quanto concerne il capoverso 4, il personale non dovrebbe unicamente essere «informato» regolarmente e conformemente al rispettivo livello, ma anche «formato e obbligato». Una semplice informazione in merito alla sicurezza delle informazioni non è mai stata efficace.

It-rm ritiene che la verifica delle tecnologie dell’informazione secondo lo stato della dottrina e della tecnica stabilita nel capoverso 1 lettera a non sia applicabile nell’ambito delle tecnologie dell’informazione poiché sarebbe un’operazione interminabile. L’it-rm è dell’avviso che l’organo di coordinamento per l’elaborazione e l’aggiornamento di uno standard minimo debba assumersi la responsabilità della verifica. Le autorità dovrebbero quindi basare la propria verifica su tali direttive. In caso contrario ci sarebbe il pericolo che l’entità della verifica venga definita individualmente dalle autorità, ciò che comprometterebbe l’omogeneità delle misure di sicurezza e della loro applicazione. It-rm propone di includere un rimando all’articolo 88 LSIn e in tale sede completare il trattamento della questione della verifica e autorizzare