Progetto

Ordinanza della CaF concernente il voto elettronico RU …

 la verifica viene di nuovo eseguita dopo 2-3 anni;

 la verifica viene eseguita di nuovo in caso di ogni modifica significativa dell’infrastruttura.

 la verifica ha luogo in caso di acquisizione di nuove significative informazioni riguardanti la sicurezza degli strumenti utilizzati e le situazioni di minaccia.

26.5 Verifica del sistema di gestione di sicurezza dell’informazione (art. 10 cpv. 2)

26.5.1 Oggetto: si verifica se l’ISMS del gestore del sistema è conforme alla

norma ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements. Il campo di applicazione dell’ISMS comprende tutte le unità organizzative del gestore del sistema responsabili sotto il profilo giuridico, amministrativo e operativo per il sistema.

26.5.2 Competenze: l’organismo di certificazione è accreditato dal Servizio di

accreditamento svizzero per eseguire audit ai sensi della norma ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements. La verifica è commissionata dal Cantone o dal gestore del sistema; il Cantone provvede allo svolgimento della verifica.

26.5.3 Durata di validità di un attestato: gli audit di ripetizione sono svolti negli

intervalli stabiliti dalla norma ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements. A ogni impiego è presentato un certificato valido e il relativo «Statement of Applicability» (SoA). Se viene pubblicata una nuova versione dello standard ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements, al più tardi dopo la scadenza del termine transitorio è provato il possesso di una certificazione valida dell’ISMS secondo la nuova versione. Il campo di applicazione dell’ISMS non può essere ristretto a favore di questa nuova certificazione.