Rapporto esplicativo

Le unità amministrative garantiscono la formazione generale concernente la sicurezza delle informazioni (p. es. campagne di sensibilizzazione e di consapevolezza o corsi di formazione introduttivi a intervalli regolari) per tutto il personale, nonché i fondi necessari, il tempo e le relative risorse (cfr. l’art. 4 cpv. 4). Ciò contrariamente ai superiori diretti, che secondo questa disposizione sono responsabili della formazione adeguata alla funzione dei propri collaboratori (cfr. commento ad art. 4 cpv. 4).

Art. 12 Gestione degli incidenti

Capoverso 1: le unità amministrative sono responsabili della gestione degli incidenti legati alla sicurezza e delle lacune nella sicurezza. Con «incidente legato alla sicurezza» si intende un evento in cui la sicurezza delle informazioni o le pertinenti direttive di sicurezza vengono violate o sono state violate. Anche un «quasi incidente legato alla sicurezza» è considerato un incidente legato alla sicurezza. Si è in presenza di un siffatto incidente se la sicurezza delle informazioni avrebbe potuto essere violata. È invece considerata una «lacuna nella sicurezza» un difetto in un mezzo informatico il cui utilizzo può violare la sicurezza delle informazioni. È importante stabilire in anticipo chi, in caso di emergenza, decide in merito a misure immediate e chi deve essere consultato o informato nel caso si adottino siffatte decisioni. Chi detiene la competenza decisionale riguardo a misure immediate deve avere la necessaria comprensione degli effetti di una siffatta misura.

Capoverso 2: questa disposizione è conforme all’attuale diritto (cfr. l’art. 14 cpv. 4 lett. c OCiber), salvo che ora devono essere notificati anche i «quasi incidenti legati alla sicurezza».

Capoversi 3 e 6: con la disposizione potestativa si sottolinea che il servizio specializzato della Confederazione per la sicurezza delle informazioni può fornire sostegno ma, appunto, non è tenuto a farlo. Il sostegno di suddetto servizio specializzato viene fornito, in linea di massima, su richiesta delle unità amministrative o dei dipartimenti e, oltre che dal significato e dall’importanza dell’incidente, dipende dalle loro risorse (cfr. anche il cpv. 6).

Capoverso 4: cfr. i nuovi obblighi di notifica per violazioni della sicurezza dei dati ai sensi della futura legge sulla protezione dei dati (nLPD, cfr. l’art. 24), la cui messa in vigore è prevista per il 1° settembre 2023.

Capoverso 5 lettere b e d: cfr. il messaggio LSIn, commento ad articolo 17 o ad articolo 88 LSIn.

Capoverso 5 lettera e: l’importanza politica elevata dipende dagli interessi politici coinvolti. Deve essere verificato caso per caso assieme alla persona responsabile della sicurezza del rispettivo dipartimento (cfr. l’art. 39).

Capoverso 7: con «direzione» si intende la competenza decisionale operativa. Tuttavia, l’unità amministrativa o il dipartimento interessato rimane responsabile della sicurezza (cfr. commento ad art. 4). Se il servizio specializzato della Confederazione per la sicurezza delle informazioni assume la direzione, può, ad esempio, disporre autonomamente misure immediate o ricorrere all’impiego di specialisti (incl. terzi di cui all’art. 10) a scopo di sostegno. I relativi costi sono interamente a carico dell’unità amministrativa responsabile o del dipartimento e assunti d’intesa con essi. L’assunzione della direzione deve avvenire in modo comprovabile (cfr. commento ad art. 8 cpv. 1).

Art. 13 Pianificazione dei controlli e degli audit

Attualmente la mancanza di controlli e di audit è una lacuna significativa nella gestione della sicurezza delle informazioni dell’Amministrazione federale e dell’esercito. Soltanto con audit adeguati le organizzazioni possono conoscere lo stato della sicurezza delle proprie informazioni, quali sono i rischi e quali sono le eventuali misure correttive necessarie (cfr. messaggio LSIn, pag. 2590). La disposizione prevede pertanto che le unità amministrative e i dipartimenti stabiliscano annualmente quali controlli e audit basati sul rischio effettueranno l’anno successivo e per quale motivo. Se si pianifica una verifica del SGSI ai sensi dell’articolo 5 capoverso 3 OSIn, occorre inserirla nel piano dei controlli e degli audit. Quest’ultimo e le relative risorse sono approvati dai responsabili della sicurezza dell’unità amministrativa (cfr. l’art. 36 cpv. 3 lett. d). L’articolo 13 non specifica quanti controlli e audit devono essere effettuati; la decisione spetta unicamente all’unità amministrativa. Con il piano dei controlli e degli audit da allestire imperativamente la direzione dell’ufficio deve prendere una decisione positiva e comprensibile.

I «controlli» ai sensi della presente ordinanza sono verifiche precise che hanno un campo d’applicazione limitato, si possono svolgere in modo informale con risorse limitate e spesso sono più convenienti rispetto agli audit. Un’unità amministrativa può, ad esempio, pianificare il controllo