Rapporto esplicativo

Cpv. 3: oltre alle segnalazioni che riguardano direttamente la sicurezza, devono essere remunerate anche quelle con una relazione indiretta, purché contribuiscano a migliorare il sistema. Le segnalazioni con una relazione indiretta sono per esempio quelle che consentono di migliorare la qualità del codice sorgente. In effetti, la qualità del codice sorgente è tra l’altro determinante per la leggibilità e dunque anche per la probabilità di scovare errori. L’ammontare della remunerazione finanziaria deve essere fissato secondo l’importanza della lacuna e dovrà essere sufficientemente elevato per incitare effettivamente le persone del pubblico con le necessarie conoscenze specialistiche a partecipare.

Le basi legali della CaF definiscono soltanto le condizioni quadro del programma bug bounty. Le modalità in dettaglio del programma, ad esempio la definizione di categorie che consentano di valutare la gravità delle lacune o stabilire la remunerazione finanziaria, rientrano nella sfera di competenza dei Cantoni o del gestore del sistema. La Confederazione verifica nell’ambito della procedura di autorizzazione in che misura la procedura scelta dai Cantoni e dall’organo competente secondo il capoverso 2 abbia permesso di raggiungere gli obiettivi del programma bug bounty.

Art. 14 Principi applicabili alla ripartizione dei compiti e delle responsabilità

I compiti e le responsabilità sono stati finora disciplinati nell’allegato. La loro ripartizione è ora disciplinata nella parte principale dell’OVE.

Cpv. 1: i principali compiti attribuiti ai Cantoni sono definiti nell’allegato. Vi figurano per esempio la concezione del materiale di voto e la comunicazione con gli aventi diritto di voto su questioni concrete relative al voto.

Cpv. 2: il Cantone può delegare i compiti menzionati a organizzazioni esterne, anche se continua a mantenere la responsabilità generale secondo il capoverso 1. Esso assume dunque ad esempio integralmente i rischi connessi all’esecuzione di un compito anche se lo ha delegato. In deroga al capoverso 1, la comunicazione su questioni concernenti il funzionamento del sistema può essere delegata quando si tratta di aspetti molto tecnici che necessitano di conoscenze specialistiche.

Cpv. 3: gli organi preposti all’esercizio operano su istruzione del Cantone e si assumono nei suoi confronti la responsabilità del loro operato.

Cpv. 4: l’organizzazione e le modalità concrete dell’impiego dei verificatori sono rette dal diritto cantonale.

Art. 15 Compiti dell’organo responsabile a livello cantonale

I compiti dell’organo responsabile a livello cantonale sono al momento disciplinati nell’allegato. In futuro saranno disciplinati nella parte principale dell’OVE.

Lett. a: la direttiva sovraordinata in materia di sicurezza dell’informazione definisce gli obiettivi, il quadro e le responsabilità per quanto riguarda la sicurezza dell’informazione. Comprende anche un catalogo di direttive per la sicurezza dell’informazione a livello inferiore e precisa le modalità della sua gestione. È comunicata a tutti collaboratori e deve essere verificata e adeguata a scadenze regolari.

Lett. b: la direttiva in materia di classificazione ed elaborazione delle informazioni definisce un quadro di sicurezza vincolante per l’esercizio generale del sistema. È comunicata ai collaboratori interessati e deve essere verificata e adeguata a scadenze regolari.

Lett. c: la direttiva in materia di gestione dei rischi definisce in particolare il campo d’applicazione e i limiti della gestione dei rischi relativi alla sicurezza dell’informazione, l’organizzazione della gestione dei rischi, i criteri sulla sostenibilità dei rischi e il metodo per effettuare un’analisi dei rischi. Deve essere verificata e adeguata a scadenze regolari.

Lett. d: esempi di misure: effettuare un’analisi dei rischi, verificare la conformità con le direttive in materia di sicurezza dell’informazione, rielaborare direttive in materia di sicurezza dell’informazione, mettere a disposizione strumenti adeguati.