Rapporto sui risultati

[Geben Sie Text ein]

re dei PF sono arrivati alla conclusione di non avere in sostanza informazioni classificabili come «AD USO INTERNO», «CONFIDENZIALE» o «SEGRETO» ai sensi di questa legge e che verosimilmente tale situazione non cambierà in futuro. Il rapporto esplicativo conforta tale conclusione. Di conseguenza non gestiscono nemmeno «mezzi TIC del livello di sicurezza "protezione elevata" o "protezione molto elevata"».

Articolo 22 Requisiti di sicurezza del livello di sicurezza «protezione di base»

Per insecor non è chiaro chi stabilisce i requisiti minimi. Il capoverso 1 è in contraddizione con il mandato legale dell’ODIC che ha il compito di definire i requisiti minimi per i mezzi TIC dell’Amministrazione federale (cfr. per es. art. 17 cpv. 1 lett. d OIAF). D’altra parte secondo il capoverso 2 «tali requisiti minimi devono essere soddisfatti da tutti i mezzi TIC». Chi controlla che vengano rispettati? In virtù di quali basi e requisiti? Sono necessarie precisazioni in tal senso.

It-rm chiede di completare il capoverso 1 con una frase del seguente tenore: «Al riguardo, devono essere rispettati gli standard minimi definiti dall’organo di coordinamento». Tale organo deve stabilire anche standard minimi per le corrispondenti esigenze di protezione.

Per quanto riguarda le infrastrutture TIC, LB propone, indipendentemente dai dubbi riguardanti l’ingerenza nella sovranità dei Cantoni (art. 3 Cost.) e dal principio della sussidiarietà (art. 5a e art. 43a Cost.), di assegnare al servizio specializzato della Confederazione la competenza di definire in modo unitario i requisiti per i tre livelli di sicurezza dei mezzi TIC per tutto il territorio svizzero; tale servizio dovrà emanare standard, istruzioni, raccomandazioni, liste di controllo o requisiti minimi. L’articolo 88 LSIn ne rappresenterebbe la base legale.

Articolo 23 Concetto in materia di sicurezza delle informazioni

SO ritiene che i contenuti minimi del concetto in materia di sicurezza delle informazioni debbano essere concretizzati nella legge o perlomeno nell’ordinanza.

Per privatim nel testo di legge non è chiaro che cosa sia concretamente un concetto in materia di sicurezza delle informazioni, quali siano i suoi contenuti (minimi) e quali effetti si vogliano ottenere. È quindi necessario valutare se nella legge, nell’ordinanza o nel messaggio relativo alla LSIn sia necessario concretizzare il contenuto di un concetto in materia di sicurezza delle informazioni — in caso contrario non sarebbe possibile garantire l’uniformità a livello federale per quanto riguarda la sicurezza delle informazioni e l’articolo 23 LSIn non avrebbe alcun effetto pratico.

Clusis si domanda per quale motivo l’analisi dei rischi e l’allestimento di un concetto in materia di sicurezza delle informazioni riguardino unicamente i mezzi TIC dei livelli di sicurezza «protezione elevata» e «protezione molto elevata». L’analisi dei rischi dovrebbe precedere le misure di sicurezza che si adottano in base ai livelli di sicurezza.

Poiché in precedenza non è stata formulata alcuna definizione, per insecor non è chiaro che cosa si intende per «concetto in materia di sicurezza delle informazioni». Nel concetto deve essere presa in considerazione unicamente la «sicurezza delle informazioni»? Che cosa significa esattamente? La protezione dei dati non rientra più in tale obbligo secondo quanto previsto nel metodo di gestione di progetti HERMES per sistemi d’informazione e nei concetti SIPD? Come bisogna affrontare a livello cantonale e comunale queste direttive e come applicare le relative misure (cfr. art. 89)? È necessario chiarire in modo approfondito questi aspetti.

Il Consiglio dei PF sottolinea che alcune istituzioni dispongono già di un concetto in materia di sicurezza delle informazioni.

Articolo 24 Verifiche della conformità e dell’efficacia

Privatim propone di integrare nell’articolo 24 LSIn «Verifiche della conformità e dell’efficacia» anche le conseguenze. È necessario disciplinare, o perlomeno esplicitare nel messaggio, se oltre all’efficacia deve essere verificata anche l’efficienza delle misure decise e adottate (cfr. art. 4 cpv. 4 LSIn). Bisognerebbe inoltre disciplinare che cosa accadrebbe nel caso in cui i risultati delle verifiche venissero ignorati.