Rapporto esplicativo

Capoverso 6: quando i Cantoni trattano informazioni classificate della Confederazione, si applicano le disposizioni del capoverso 4 di questa ordinanza. Se essi accedono ai suoi mezzi informatici, si applicano loro le disposizioni riguardanti l’attribuzione ai livelli di sicurezza (art. 28), le misure di sicurezza (art. 29), la sicurezza durante l’esercizio (art. 30) e le misure per la protezione fisica (art. 35). I Cantoni possono tuttavia esentarsi dalle direttive del diritto federale se garantiscono di propria iniziativa una sicurezza delle informazioni equivalente. Ciò presuppone che essi emanino proprie prescrizioni di sicurezza, allineate agli standard federali, che applicano nel proprio ambito di competenza. Gli standard federali determinanti sono le norme e i requisiti tecnici per la protezione di base dell’informatica nella Confederazione nonché per la protezione delle informazioni classificate. I Cantoni non sono tenuti ad attuare un sistema di gestione della sicurezza delle informazioni (SGSI) secondo gli articoli 5 segg.

Vi è una «sicurezza delle informazioni equivalente» se misure di sicurezza diverse da quelle previste nell’OSIn, secondo lo stato della tecnica conformemente all’articolo 85 capoverso 1 LSIn producono un effetto comparabile e per lo meno altrettanto elevato o forte. I Cantoni valutano in primo luogo a propria discrezione se vi è una sicurezza delle informazioni equivalente.

Nel termine «Cantoni», oltre ai Cantoni stessi ai sensi dell’articolo 3 della Costituzione federale (Cost.)¹⁷, sono compresi enti, istituti o fondazioni di diritto pubblico assoggettati al diritto amministrativo del rispettivo Cantone. Da parte loro, i Cantoni devono valutare caso per caso se un’organizzazione o un istituto (ad es. un ospedale, una centrale elettrica o anche un istituto finanziario) è da considerarsi un «Cantone» ai sensi della LSIn o dell’OSIn. Se un Cantone non rientra nel campo d’applicazione della LSIn viene trattato come «terzo» ai sensi dell’articolo 9 LSIn (cfr. commento ad art 10).

Capoverso 6 lettera b: con «accesso a mezzi informatici» si intendono tutti i tipi di accessi tecnici da parte dei Cantoni ai mezzi informatici della Confederazione. La questione dell’accesso deve essere chiarita in ogni singolo caso. In ultima analisi, è la Confederazione a decidere se vi è un accesso.

Sezione 2: Principi Art. 3 Obiettivi in materia di sicurezza

I mezzi informatici delle organizzazioni che sono assoggettate all’OSIn presentano sempre più interfacce tecniche comuni. In virtù di ciò i rischi o le minacce per la singola organizzazione o i rispettivi fornitori non possono essere considerati separatamente. La sicurezza delle informazioni è necessariamente un compito interconnesso che richiede un obiettivo comune e una procedura coordinata.

Capoverso 1: il Consiglio federale si adopera affinché la protezione di informazioni e mezzi informatici sia garantita secondo un approccio basato sul rischio. Oggi non basta più attuare la sicurezza semplicemente in base a una lista di controllo. I responsabili sono tenuti a esercitare una gestione del rischio attiva, a conoscere le minacce alla sicurezza delle informazioni e le loro potenziali ripercussioni sulle attività, ad adeguare l’onere per minimizzare i rischi alle loro dimensioni ovvero a concentrarsi sui rischi maggiori e ad applicare le misure più efficaci per minimizzare i rischi. Con l’approccio basato sul rischio occorre focalizzarsi non soltanto sui rischi (effetti negativi), ma anche sulle possibilità e opportunità (effetti positivi) di nuove idee, applicazioni o tecnologie. Con «resilienza» si intende la resistenza di un’organizzazione e la rapida ripresa del normale esercizio dopo un incidente legato alla sicurezza.

Art. 4 Responsabilità

Capoversi 1 e 2: conformemente all’articolo 45 LOGA i direttori degli aggruppamenti e degli uffici sono responsabili nei confronti dei propri superiori per la direzione delle unità amministrative subordinate a loro nonché per l’adempimento dei compiti loro affidati. Ciò include la responsabilità per la sicurezza delle informazioni. Oggi il NCSC definisce direttive minime in materia di sicurezza delle informazioni che servono alla protezione dell’intera Amministrazione federale e che le unità amministrative, con margine di manovra limitato, devono attuare. Dette direttive non esentano tuttavia le unità amministrative dalla loro responsabilità di valutare costantemente i rischi e, se necessario, di adottare misure più estese. Riguardo alla competenza dei dipartimenti di suddividere diversamente taluni compiti, cfr. commento ad articolo 39 capoverso 3.