Rapporto esplicativo

audit andrebbe accolto favorevolmente. A seconda del mandato è inoltre possibile verificare l’intero SGSI o soltanto determinate sue parti. L’unità amministrativa interessata ha il potere decisionale sulla scelta di un servizio di controllo indipendente. Siffatti controlli possono essere effettuati dalle strutture di vigilanza interne dei dipartimenti o da un’impresa esterna (cfr. le spiegazioni nel messaggio LSIn, pag. 2631). È ipotizzabile anche l’impiego di un pool di auditori SGSI provenienti dalle unità amministrative di un dipartimento o della Confederazione. Il continuo processo di miglioramento è fondamentale per garantire la sicurezza delle informazioni. Si tiene conto di tale processo mediante siffatte verifiche.

Capoverso 4: esso evidenzia lo stretto legame tra il SGSI e la gestione dei rischi della Confederazione, la gestione della continuità operativa e la gestione delle crisi. Si tratta di compiti di gestione che esulano dal campo d’applicazione dell’OSIn, ma che le unità amministrative devono allineare e coordinare strettamente tra loro.

Art. 6 Cura delle basi legali e degli obblighi contrattuali

Capoverso 1: un registro delle basi legali e degli obblighi contrattuali determinanti nel proprio settore di competenza nell’ambito della sicurezza delle informazioni serve a dimostrare il rispetto delle basi legali rilevanti che, ad esempio, occorre controllare nel contesto della misurazione dell’annuale raggiungimento degli obiettivi del SGSI (cfr. l’art. 5 cpv. 2 o la verifica SGSI secondo l’art. 5 cpv. 3). A causa delle crescenti catene di approvvigionamento nell’ambito della sicurezza delle informazioni, è imprescindibile disporre di un riepilogo degli obblighi da assolvere e dei diritti da rivendicare e, non da ultimo, favorire lo sfruttamento delle sinergie di altri contratti esistenti.

Capoverso 2: il servizio specializzato della Confederazione per la sicurezza delle informazioni ha carattere consultivo vincolante (obbligo di consultazione), ma non ha alcuna facoltà di impartire istruzioni sul piano del contenuto. Le valutazioni e le stime di un servizio specializzato della Confederazione assumono tuttavia un peso rilevante. Le deroghe dovrebbero essere sempre ben motivate e, in particolare, equivalenti. Questo obbligo di consultazione è retto da direttive rilevanti per la sicurezza (p. es. istruzioni e direttive) o progetti (p. es. progetti IT rilevanti sotto il profilo della sicurezza) delle unità amministrative o dei dipartimenti.

Art. 7 Inventariazione degli oggetti da proteggere

Capoverso 1: un inventario contiene un elenco di tutti gli oggetti da proteggere di cui all’articolo 7 capoverso 2 in un dato momento (cosiddetta lista dell’inventario).

Capoverso 2: oggi nell’OCiber si trovano soltanto gli «oggetti informatici da proteggere» (cfr. l’art. 3 lett. h OCiber), che sono coperti dalla lettera b. Tuttavia, le informazioni non vengono sempre elaborate in un unico sistema d’informazione dedicato. Questo è il caso, ad esempio, quando un compito viene svolto nell’ambiente informatico generale della Confederazione o quando le informazioni vengono elaborate in un cloud esterno. Con l’oggetto da proteggere «informazioni» ai sensi della lettera a si esclude pertanto la dipendenza da un determinato mezzo informatico e si valuta soltanto la protezione delle informazioni elaborate per l’adempimento del compito. In linea di principio, però, vengono utilizzati gli stessi criteri e metodi per valutare la necessità di protezione degli oggetti informatici da proteggere. Con la nozione di «compito della Confederazione» non si sottintende ogni compito, bensì importanti processi operativi di un’unità amministrativa. Le direttive del servizio specializzato della Confederazione per la sicurezza dell’informazione (cfr. l’art. 15) preciseranno questo aspetto.

Capoverso 3: soltanto una lista dell’inventario aggiornata può fornire la prova costante di tutte le informazioni concernenti gli oggetti da proteggere di cui alle lettere a–g.

Capoverso 3 lettera c: la possibilità dell’utilizzo condiviso dei relativi oggetti da proteggere (cfr. lett. e) fa riferimento al principio «once only». Le unità amministrative decidono a propria discrezione quali oggetti da proteggere vengono condivisi con altre unità amministrative.

Capoverso 3 lettera d: da un lato, il riepilogo dei vincoli contrattuali con terzi (cfr. commento ad art. 10 cpv. 1 OSIn), ad esempio con fornitori di tecnologie dell’informazione, serve a una gestione dei fornitori funzionante e consente di riconoscere precocemente le eventuali dipendenze della Confederazione dai fornitori (incl. valutazione del pericolo di grandi rischi). Dall’altro, esso permette di identificare rischi che per il tramite di questi fornitori possono avere ripercussioni sulla Confederazione.

Capoverso 3 lettera f: riguardo ai rischi residui, cfr. commento ad articolo 9.