Rapporto esplicativo

Lettera g

L’IdP deve stipulare un’assicurazione di responsabilità civile retta dal codice delle obbligazioni (cfr. sez. 9 art. 24).

Capoverso 3

Poiché l’evoluzione tecnica nel settore dell’identificazione e dell’autenticazione elettroniche è difficilmente prevedibile, il riconoscimento va rinnovato a intervalli regolari. L’IdP allestisce annualmente un rapporto sulla sicurezza relativo a tutti i sistemi di eID riconosciuti da esso gestiti e lo trasmette al Servizio di riconoscimento. Il Consiglio federale stabilisce la forma e il contenuto di tale rapporto.

Capoverso 4

Come in altri punti, anche qui il disciplinamento della procedura e dei dettagli tecnici è delegato al Consiglio federale, competente per legiferare a livello di ordinanza.

Vengono disciplinati a livello di ordinanza e di istruzione soprattutto gli standard applicabili e i protocolli tecnici per i sistemi di eID. L’applicazione degli standard e dei protocolli è regolarmente verificata dal Servizio di riconoscimento. In tal modo vengono riconosciuti anche i sistemi di eID.

Articolo 5 Livelli di sicurezza

Capoverso 1

Non tutte le transazioni richiedono il medesimo livello di sicurezza. Sovente, un livello di sicurezza superiore comporta un onere maggiore per l’acquisizione nonché maggiori difficoltà d’utilizzo e maggiori costi. Al fine di andare incontro alle esigenze del mercato, gli IdP devono dunque poter offrire tre diversi livelli di sicurezza, come prescritto anche dall’UE e dalla NIST. I gestori di servizi che utilizzano l’eID possono decidere autonomamente quale livello di sicurezza intendono applicare (cfr. art. 15 AP).

Per poter essere riconosciuto, un sistema di eID deve soddisfare perlomeno il livello di sicurezza basso. I sistemi di eID dei livelli di sicurezza significativo ed elevato soddisfano requisiti superiori a quelli minimi. Un’eID del livello elevato soddisfa dunque anche i requisiti posti ai livelli significativo e basso; non vale invece il contrario.

A dipendenza del livello di sicurezza del sistema, l’eID offre un differente grado di affidabilità. I livelli basso e significativo mirano a ridurre il rischio di un uso abusivo dell’identità, mentre il livello elevato mira a prevenire tale rischio.

Capoverso 2

I dettagli relativi ai diversi livelli di sicurezza saranno fissati a livello di ordinanza. I livelli si distinguono per la procedura di rilascio, la gestione e l’applicazione nonché eventualmente per altre misure di sicurezza tecniche od organizzative. I requisiti sono descritti nella legge nel modo più approfondito possibile per non dipendere dallo stato della tecnologia e saranno determinati in dettaglio e per i diversi supporti eID a livello di ordinanza o di istruzione.

Capoverso 3

Un’eID di un livello di sicurezza superiore deve poter essere impiegato anche presso un servizio che utilizza l’eID e richiede un livello inferiore. I titolari possono dunque utilizzare la loro eID presso tutti i servizi che utilizzano l’eID a condizione che l’eID abbia un livello di sicurezza equivalente o superiore a quello del servizio.