Rapporto esplicativo

Capoverso 3 lettera g: cfr. commento ad articolo 14 in combinazione con l’articolo 6 capoversi 2 e 3.

Art. 8 Gestione dei rischi

Capoverso 1: la valutazione dei rischi è una delle basi per un’efficace gestione dei rischi e, di conseguenza, per una sicurezza delle informazioni funzionale ed economica (cfr. le spiegazioni nel messaggio LSIn, pag. 2631 seg.). Le direttive sulla protezione di base TIC della Confederazione offrono una protezione in funzione dei rischi contro un gran numero di minacce. Servono alla sicurezza delle informazioni in rete della Confederazione e devono essere rispettate. Consentono una manutenzione poco onerosa, dal punto di vista della sicurezza, di mezzi informatici che non sono particolarmente sensibili sotto il profilo della sicurezza. In tal caso le unità amministrative non devono neanche eseguire valutazioni dei rischi complesse.

Va da sé che la valutazione dei rischi deve avvenire in modo «comprovabile». La comprovabilità non è legata a una forma determinata. In tal modo si intende rendere possibile, nel contesto della digitalizzazione, l’impiego di metodi di comprovabilità tecnologicamente neutri.

Capoverso 1 lettera a: in tale contesto, la valutazione dei rischi quanto alle loro ripercussioni sugli oggetti da proteggere (cfr. l’art. 7 cpv. 2) è anche assai tecnico-operativa e dipende dall’esigenza di confidenzialità, disponibilità, integrità e tracciabilità delle informazioni e del sistema informatico.

Capoverso 1 lettera b: il controllo dell’efficacia può ad esempio avvenire mediante test di penetrazione o la raccolta di indicatori rilevanti.

Capoverso 1 lettera c: cfr. commento alla gestione delle direttive di cui all’articolo 6.

Capoverso 1 lettera d: si richiede una decisione consapevole da parte del responsabile della sicurezza, vale a dire l’accettazione comprovabile di rischi residui sulla base di un accurato processo di analisi e di decisione.

Capoverso 3: fanno fede le istruzioni sulla politica della Confederazione in materia di gestione dei rischi nonché le direttive e i manuali correlati.

Art. 9 Autorizzazione ed elenco delle deroghe

Con gestione delle deroghe si intende la gestione delle eccezioni alle vigenti direttive in materia di sicurezza delle informazioni. Come avviene oggi con il NCSC, fondandosi sull’articolo 85 LSIn con l’OSIn il servizio specializzato della Confederazione per la sicurezza delle informazioni stabilirà quali requisiti minimi devono essere soddisfatti nel settore della sicurezza. Se un’unità amministrativa non è in grado di soddisfarli può chiedere una deroga. Il servizio specializzato può delegare la decisione sull’autorizzazione di deroghe. Il servizio specializzato della Confederazione per la sicurezza delle informazioni, il dipartimento o una determinata persona in seno all’Ufficio può decidere in merito alla deroga. In linea di principio, per il tramite della subdelega di cui al capoverso 2 è possibile riprendere l’odierna procedura relativa alle deroghe autorizzate secondo le attuali disposizioni dell’OCiber.

Art. 10 Collaborazione con terzi

Capoverso 1: sono considerati «terzi» ai sensi della LSIn tutte le autorità, organizzazioni e persone di diritto pubblico o privato che non sono né autorità né organizzazioni assoggettate e che, in linea di principio, agiscono indipendentemente da queste ultime due. Sono considerate terzi anche le unità amministrative decentralizzate, sempreché non rientrino nell’ambito di applicazione della LSIn (cfr. messaggio LSIn, pag. 2625 seg. e 2632), o talune organizzazioni che gestiscono infrastrutture critiche (art. 2 cpv. 5 LSIn).

Capoverso 3: le clausole in materia di sicurezza delle informazioni inserite nei contratti devono soddisfare i presupposti di cui all’articolo 9 LSIn (cfr. messaggio LSIn, commento all’art. 9).

Art. 11 Formazione e sensibilizzazione

Se l’Amministrazione federale e l’esercito vogliono migliorare in modo duraturo la propria sicurezza, devono sensibilizzare e formare i propri collaboratori e militari in modo che siano in grado di riconoscere autonomamente pericoli e minacce, di reagirvi correttamente e di presentare le pertinenti notifiche di sicurezza.