Rapporto esplicativo

Capoverso 1 lettera a

L’autorizzazione a impiegare il voto elettronico presuppone che siano soddisfatti tutti i requisiti di diritto federale. Non spetta in primis all’Amministrazione federale controllare se il sistema impiegato e i processi operativi soddisfano effettivamente tali requisiti. Questo controllo dettagliato deve essere affidato preferibilmente a un servizio di certificazione esterno, accreditato dal Servizio di accreditamento svizzero (SAS) (cfr. in merito art. 7 cpv. 2 lett. b–f e art. 7 cpv. 3 lett. b–e OVE). Il trasferimento del compito di controllo a un servizio di certificazione esterno aumenta l’indipendenza istituzionale della verifica e contribuisce alla garanzia della qualità. Deve essere possibile rinunciare all’accreditamento del servizio di certificazione soltanto in singoli casi. In base al diritto vigente è quanto accade con la certificazione del protocollo crittografico, la cui verifica richiede conoscenze altamente specialistiche di cui fondamentalmente dispongono le università e i politecnici. Un accreditamento non contribuirebbe molto a migliorare la garanzia della qualità, dato che la qualifica del servizio di verifica risulta in primo luogo dal suo curriculum scientifico. Il protocollo crittografico può dunque essere controllato in modo adeguato anche senza un accreditamento da parte del SAS.

I certificati sono validi soltanto per una durata limitata e devono in genere essere rinnovati ogni tre anni. Sull’arco di questo periodo, il servizio di certificazione svolge inoltre controlli intermedi periodici. I certificati e gli attestati di cui all’articolo 8d capoverso 1 lettera a vanno inviati alla Cancelleria federale. Lo stesso va fatto per il loro rinnovo. La Cancelleria federale può così verificare che vi siano tutti i certificati necessari e che siano validi.

Capoverso 1 lettera b

Per poter impiegare il voto elettronico i Cantoni devono gestire i rischi. Mediante una valutazione metodica devono costantemente identificare, analizzare e valutare i rischi del voto elettronico. Se la situazione cambia, devono adottare o far adottare misure affinché i rischi si mantengano a un livello sufficientemente contenuto. Alcuni rischi legati al voto elettronico sono inerenti al sistema tecnico. In questo caso, spetta in primo luogo al fornitore del sistema adottare le misure necessarie. I Cantoni che utilizzano il sistema in questione devono tuttavia essere a conoscenza dei rischi esistenti e delle misure adottate. Altri rischi riguardano invece i processi organizzativi all’interno dei Cantoni stessi. Dato che tali processi possono variare da un Cantone all’altro, ogni Cantone deve fare una propria valutazione. La gestione dei rischi è esaminata nell’ambito della certificazione dell’infrastruttura e del suo esercizio (cfr. in merito allegato all’OVE, n. 5.3).

Nell’ambito della procedura di autorizzazione il Consiglio federale verifica se i rischi sono stati valutati in modo plausibile e se, tenuto conto di tutte le circostanze, possono essere considerati accettabili. Spetta al servizio accreditato verificare, nell’ambito della procedura di certificazione, se la gestione dei rischi da parte dei Cantoni e dei fornitori di sistemi soddisfa gli standard in materia di sicurezza dell’informazione.