Rapporto sui risultati

Diritto d’esecuzione relativo alla legge sulla sicurezza delle informazioni Rapporto sui risultati

3.1.1 Valutazione dell’attuabilità e comprensibilità

Dalla procedura di consultazione è emerso che le disposizioni di attuazione della LSln e la loro applicazione sono sostanzialmente comprensibili per quasi tutti i Cantoni (AG, AI, AR, BL, BS, BE,

GE, GL, GR, LU, NE, NW, OW, SH, SZ, SO, SG, TI, TG, UR, VD, VS, ZG e ZH). Tuttavia, ci sono

ancora degli aspetti poco chiari in merito alle ripercussioni. Oltre ai costi di attuazione, la mancanza di chiarezza riguarda anche la sicurezza delle informazioni «equivalente» e le direttive applicabili e prescrizioni minime non ancora disponibili. Per alcuni partecipanti alla consultazione (FR (SITel), JU e VD), i costi di attuazione sono difficili da valutare a causa di questi aspetti poco chiari.

Diversi Cantoni prevedono di introdurre una propria legislazione sulla sicurezza delle informazioni (AG, BE, FR) o stanno esaminando se e in quale forma le disposizioni necessarie devono o possono essere emanate o le basi esistenti adattate (NW, SH, UR e ZH).

Secondo BL manca chiarezza per quanto riguarda i Comuni e altre organizzazioni, come gli istituti di diritto pubblico e le aziende dei Cantoni, anch’essi collegati ai sistemi di informazione della Confederazione. Il diritto d’esecuzione del 24 agosto 2022 non chiarisce chi è responsabile del rispetto delle misure di sicurezza da parte di queste organizzazioni. I Cantoni non potrebbero esserlo per i Comuni. Per questo motivo, una soluzione nell’ambito del quadro proposto sarebbe molto più efficace se tutti coloro che desiderano collegarsi alle risorse informative della Confederazione fossero tenuti a rispettare le direttive federali per le rispettive connessioni. Questa soluzione garantirebbe molta più chiarezza e semplicità e le misure di sicurezza potrebbero essere attuate in modo efficace.

Per AR non è chiaro se la Costituzione impegni i Cantoni a garantire la sicurezza generale delle informazioni – al di fuori delle direttive sulla sicurezza dei dati (personali) nel quadro della protezione dei dati personali, della personalità o della sfera privata. È ovvio, d’altra parte, che anche la protezione dei dati personali trarrebbe beneficio da un incremento della sicurezza generale delle informazioni.

FR (SITel) propone che nella definizione delle direttive ancora mancanti siano unificati i requisiti tecnici della Confederazione che risultano ancora eterogenei. Ad esempio, la Confederazione dispone attualmente di tre infrastrutture a chiave pubblica (Public Key Infrastructure, PKI) parallele. Per il Cantone FR è difficile capire quale sicurezza garantire se la Confederazione propone requisiti ambigui. Se l’Amministrazione digitale Svizzera potesse servire a qualcosa, sarebbe innanzitutto la funzione di organo federale in relazione ai sistemi di informazione e quindi anche nell’ambito della sicurezza delle informazioni. L’Amministrazione digitale Svizzera sarà maggiormente coinvolta nelle questioni riguardanti i Cantoni e i loro sistemi di informazione. Senza un organo federale, il panorama informativo cantonale diventerebbe difficile da gestire, soprattutto per quei Cantoni che non dispongono di bilanci simili a quelli della Confederazione.

JU e VD auspicano che le ordinanze illustrino quali saranno le ripercussioni e le aspettative nei confronti dei Cantoni.

SG definisce i requisiti di sicurezza del Cantone accordandoli il più possibile ai requisiti stabiliti dalla Confederazione in merito alla protezione di base. L’armonizzazione del SGSI cantonale in questo senso è già in via di attuazione. Un’analisi dell’impatto mostrerà quali misure concrete dovranno essere in seguito adottate nei progetti. In conformità con le direttive della Confederazione, i diritti di accesso devono essere concessi alle persone responsabili degli uffici che ne necessitano per adempiere i compiti attribuiti loro dalla legge.

Per TI non è chiaro in che misura i collaboratori delle unità amministrative e giudiziarie dell’amministrazione cantonale, così come altri servizi esterni che svolgono compiti in conformità con le norme federali, debbano essere sottoposti a CSP. L’impossibilità di consultare l’elenco completo ed esaustivo delle funzioni da controllare solleva dubbi sull’attuazione pratica.