Rapporto sui risultati

[Geben Sie Text ein]

Secondo it-rm ognuno ha opinioni diverse su quale sia la protezione adeguata per i differenti livelli di sicurezza o di classificazione. Per questo motivo è necessario che un servizio specializzato centrale, ovvero l’organo di coordinamento, sia autorizzato a definire quali misure di sicurezza minime debbano essere applicate al corrispondente fabbisogno di protezione o classificazione delle informazioni. Sulla base di ciò le autorità devono stabilire una procedura secondo il capoverso 1.

Secondo i commenti all’articolo 19 capoverso 1 unicamente le autorità assoggettate devono esplicitamente stabilire una procedura di sicurezza per i mezzi TIC; le organizzazioni assoggettate ne sono quindi escluse. Tuttavia, le disposizioni degli articoli 19‒27 fanno ripetutamente riferimento a quest’ultime. Per il Consiglio dei PF non è quindi chiaro quali siano gli obblighi concreti di queste organizzazioni.

Articolo 20 Analisi delle necessità di protezione e valutazione dei rischi

Secondo privatim l'articolo 20 LSIn deve essere completato affinché l'analisi delle necessità di protezione e la valutazione dei rischi non si debbano eseguire unicamente per l'impiego di nuove tecnologie, ma anche per l'impiego di nuovi sistemi IT. Mediante nuovi sistemi IT si generano nuovi rischi e vulnerabilità, tuttavia è anche possibile eliminare le carenze delle soluzioni esistenti e istituzionalizzare nuove misure e meccanismi di controllo.

Secondo l’articolo 20 capoverso 2 in caso di impiego di nuove tecnologie non solo le organizzazioni, ma anche le autorità, sono tenute a comunicare la valutazione dei rischi al servizio specializzato della Confederazione per la sicurezza delle informazioni. La BNS appoggia apertamente lo scambio, su base volontaria, degli esiti dalle valutazioni dei rischi. Tuttavia non è favorevole all’obbligo di comunicazione definito all’articolo 20 capoverso 2 poiché a causa della tecnologia impiegata (per es. software) si potrebbe risalire, ad esempio, a determinate attività per la concretizzazione di misure di politica monetaria. In tali ambiti, l’obbligo di comunicazione non produrrebbe il beneficio auspicato dallo scambio di informazioni poiché nessun’altra autorità o organizzazione assoggettata è attiva nel medesimo ambito aziendale della BNS. La formulazione dell’articolo 20 capoverso 2 come disposizione potestativa terrebbe conto della richiesta della BNS.

Per LB l’impiego di «nuove tecnologie» (il termine necessita di una precisazione: una generazione di mezzi TIC presente sul mercato, ma finora mai impiegata presso l’autorità assoggettata, può essere definita «nuova»?) nell’ambito dei mezzi TIC, caratterizzati da uno sviluppo tecnologico molto rapido, avviene (quasi) quotidianamente. Per le organizzazioni private l’obbligo di comunicare la valutazione dei rischi al servizio specializzato della Confederazione per la sicurezza delle informazioni è una questione delicata poiché ciò potrebbe causare la divulgazione di segreti d’affari. In linea di principio, per tutte le informazioni non liberamente accessibili al pubblico e provenienti da organizzazioni private che sarebbero comunicate alle autorità assoggettate o al servizio specializzato della Confederazione ai fini della sicurezza delle informazioni, deve essere garantito esplicitamente il segreto d’affari. LB propone di completare in tal senso la LSIn.

Articolo 21 Livelli di sicurezza dei mezzi TIC

Secondo it-rm il capoverso 2 lettera a deve essere completato con i criteri di sicurezza dell’attendibilità, dell’autenticità e dell’anonimato (cfr. anche l’osservazione all’art. 4 cpv. 2).

Per il Consiglio dei PF la classificazione dei mezzi TIC con i quali vengono trattati dati personali degni di particolare protezione continua a non essere chiara. Le pertinenti considerazioni a pagina 46 e 50 del rapporto esplicativo sono difficilmente comprensibili e non forniscono indicazioni chiare. In particolare è singolare l’affermazione a pagina 46 del rapporto esplicativo secondo cui, quando in un sistema d’informazione vengono trattati dati personali degni di particolare protezione, il corrispondente concetto in materia di sicurezza delle informazioni deve essere classificato. Concretamente, deve essere protetto il concetto, ma non i dati stessi: non avrebbe senso!

Il Consiglio dei PF reputa che tale disposizione sia formulata in modo estremamente vago (che cosa significa precisamente «protezione di base»?) e che comporti incertezze il cui chiarimento non dovrebbe essere lasciato alle disposizioni esecutive. Alcuni istituti del setto-