Rapporto sui risultati

[Geben Sie Text ein]

l’organo di coordinamento a emanare le prescrizioni riguardanti le misure di verifica da eseguire per il relativo fabbisogno di protezione.

LB propone che l’articolo 5, come già accade per l’articolo 6, oltre alle autorità assoggettate includa anche le organizzazioni assoggettate. Poiché proprio nell’ambito dell’economia privata è auspicabile poter fare riferimento a un principio generale secondo cui la tutela della sicurezza delle informazioni è di competenza dell’organo direttivo supremo.

Sulla base del commento all’articolo 6, per il Consiglio dei PF non è chiaro se l’articolo 5 si applichi effettivamente anche alle unità decentrali della Confederazione. Tanto più che, per quanto riguarda la gestione dei rischi, nel settore dei PF verrebbero applicate disposizioni proprie.

Articolo 6 Gestione dei rischi

TG e PS chiedono di eliminare l’aggettivo «identificati» dall’ultima frase del secondo capoverso. Come indicato nell’avamprogetto, anche TG ritiene che i rischi debbano essere identificati, analizzati, valutati e verificati conformemente alla gestione dei rischi. Il capoverso 2 dell’articolo 6 è tuttavia eccessivamente aggrovigliato nella relativa sistematica terminologica. Non devono essere evitati unicamente i rischi «identificati», ma tutti i rischi. PS è dell’avviso che le autorità e le organizzazioni responsabili debbano, in generale, evitare o ridurre a un livello sostenibile i rischi – sia quelli identificati che quelli non ancora identificati.

Secondo it-rm, l’espressione «livello sostenibile» manca di concretezza e in fase di attuazione lascia ampio spazio a interpretazioni individuali. Tale indeterminatezza in un contesto tecnico suscita incertezze giuridiche. Inoltre, può comportare discordanze nel dispositivo di sicurezza. It-rm propone di integrare il seguente complemento: «L’organo di coordinamento stabilisce standard minimi per i rispettivi livelli di classificazione, i quali definiscono l’entità dei danni ritenuta tollerabile in caso di violazione o elusione della sicurezza delle informazioni».

Articolo 7 Requisiti e misure di sicurezza

TG ritiene che si possa stralciare il capoverso 2 poiché, per quanto riguarda la definizione dei requisiti e delle misure standard, l’articolo 88 dell’avamprogetto della LSIn (Sezione 2: Esecuzione) contiene già un riferimento allo stato della dottrina e della tecnica. Tale disposizione esecutiva nell’ultima parte dell’avamprogetto stabilisce quindi già che anche le misure di sicurezza menzionate nell’articolo 7 devono soddisfare lo stato (riconosciuto) della dottrina e della tecnica.

Secondo insecor è insolito il riferimento a un articolo di legge che si trova solo alla fine della presente legge. Insecor propone di includere già all’inizio della LSIn un’indicazione in merito ai «requisiti e alle misure standard» e in tale sede fare riferimento all’articolo 88.

Poiché secondo il rapporto esplicativo per le autorità e le organizzazioni che non sono subordinate al Consiglio federale non sussiste alcun obbligo di ottemperare agli standard di cui all’articolo 88, il Consiglio dei PF propone di precisare in tal senso l’articolo 7 capoverso 1.

Articolo 8 Collaborazione con terzi

Per privatim manca il principio secondo cui la responsabilità della tutela della sicurezza delle informazioni rimane delle autorità o organizzazioni che per l’adempimento dei loro compiti decidono di collaborare con terzi. Per dare maggiore rilievo a tale principio, l’articolo 8 LSIn deve essere completato con un passaggio concernente la responsabilità dell’autorità o dell’organizzazione committente.

Secondo it-rm, in linea di principio un contratto non giustifica l’accesso da parte di terzi esterni a segreti d’ufficio. Con la clausola inserita in questo articolo è tuttavia reso possibile per legge l’accesso di terzi a dati sensibili dal punto vista penale. Nel rapporto esplicativo occorrerebbe fare un riferimento esplicito a questo aspetto affinché il Parlamento ne sia consapevole. Se le autorità non sono titolari del segreto, ma unicamente depositarie del segreto, sarebbe preoccupante se collaborassero con terzi. Onde individuare per tempo un eventuale conflitto d’interessi, è quindi preferibile informare il titolare del segreto. Ai fini della certezza del diritto e della trasparenza nei confronti dei terzi interessati, it-rm ritiene che deve essere