Rapporto esplicativo

Cpv. 2: la gestione del sistema nel centro di calcolo del fornitore del sistema deve essere certificata conformemente alla norma ISO 27001. Un Cantone che non gestisce da sé un sistema può farsi certificare per i processi cantonali conformemente alla norma ISO 27001, ma non è obbligato a farlo.

Cpv. 3: la CaF e gli enti incaricati dello svolgimento della verifica secondo il capoverso 1 devono avere accesso ai necessari documenti presso i Cantoni e i suoi fornitori di servizi. Tra questi figurano tutti i documenti necessari per la verifica secondo il capoverso 1 e tutti i rapporti disponibili (inclusi i rapporti di certificazione), gli attestati e i certificati (certificato ISO 27001 secondo il capoverso 2 ed eventuali certificati cantonali).

Cpv. 4: i risultati delle verifiche che sono rilevanti per l’autorizzazione sono pubblicati. L’organo che ha commissionato una verifica è responsabile della pubblicazione. Esso pubblica gli attestati e i certificati che sono stati allestiti nell’ambito delle verifiche secondo i capoversi 1 e 2. Tra gli attestati rientrano anche i rapporti di verifica. I rapporti di verifica pubblicati devono essere comprensibili. Se fanno riferimento ad altri documenti, questi ultimi devono di norma essere pubblicati. Se non è possibile pubblicare documenti supplementari, i risultati delle verifiche devono essere resi comprensibili mediante una descrizione sommaria degli aspetti rilevanti della documentazione non pubblicata. Se l’organo sottoposto a verifica formula una replica a un rapporto di verifica, anche tale replica deve essere pubblicata. In casi motivati si può rinunciare alla pubblicazione. Le deroghe sono generalmente possibili in virtù del diritto in materia di trasparenza o di protezione dei dati. A tale proposito occorre ponderare tra interesse pubblico alla pubblicazione e interesse a salvaguardare la confidenzialità. Può ad esempio essere opportuno rinunciare alla pubblicazione di direttive interne, dati interni di un’impresa o dati di terzi.

Art. 11 Pubblicazione del codice sorgente e della documentazione relativa al sistema e al suo esercizio

Le condizioni vigenti per la pubblicazione del codice sorgente e dei documenti concernenti il sistema e il suo esercizio sono precisate. Il capoverso 1 contiene un nuovo elenco di documenti che devono essere pubblicati. Qui di seguito alcune spiegazioni di termini utilizzati:

Cpv. 1 lett. a: i «parametri rilevanti» comprendono tutte le informazioni e i dati che sono necessari per mettere il sistema in servizio presso di sé.

Cpv. 1 lett. b: la documentazione del software comprende in particolare il protocollo crittografico, la specificazione e la concezione, le istruzioni, i concetti del test, i rapporti concernenti lacune e correttivi e i risultati dei processi d’esame.

Cpv. 1 lett. c: comprende documenti che agevolano la messa in servizio del sistema per testarlo (p. es. istruzioni, FAQ, ecc.)

Cpv. 1 lett. d: comprende documenti che attestano la conformità ai requisiti dell’OVE. Vi figurano documenti che illustrano le misure essenziali di riduzione dei rischi menzionate nell’analisi dei rischi. Vale il principio che più la documentazione concerne l’esercizio, la manutenzione o la sicurezza di una parte affidabile del sistema o la manipolazione di un supporto con dati critici, più è importante procedere alla pubblicazione. Inoltre, valgono le deroghe previste dalle disposizioni della legislazione in materia di trasparenza.

Cpv. 1 lett. e: se il gestore del sistema viene a conoscenza di una lacuna nel codice sorgente pubblicato o nella documentazione, deve darne notizia descrivendo la lacuna e le eventuali misure adottate per porvi rimedio. Questo contribuisce alla comprensibilità, alla trasparenza e alla cooperazione con il pubblico.

Cpv. 2 lett. c: le deroghe motivate si fondano in particolare sul diritto in materia di trasparenza o di protezione dei dati. Inoltre, in casi motivati è possibile prescindere dalla pubblicazione di documenti non rilevanti o scarsamente rilevanti per la sicurezza del sistema e dell’esercizio, come descrizioni di processi operativi senza un legame diretto con il sistema oppure semplici precisazioni irrilevanti o di scarso rilievo per la sicurezza o che si deve ritenere siano state attuate correttamente. A tale proposito occorre ponderare tra interesse pubblico alla pubblicazione e interesse a salvaguardare la confidenzialità. Può ad esempio essere opportuno rinunciare alla pubblicazione di direttive interne, dati interni di un’impresa o dati di terzi.