Rapporto esplicativo

A causa dei rapidi progressi dello sviluppo tecnologico e di minacce sempre più complesse nel settore della sicurezza delle informazioni, è necessario verificare ogni anno se c’è stato un cambiamento rilevante per la sicurezza. In tal modo decade anche il termine di cinque anni per la ripetizione della procedura di sicurezza ai sensi dell’articolo 14e capoverso 1 OCiber.

Art. 28 Assegnazione ai livelli di sicurezza «protezione elevata» e «protezione molto ele-

vata»

I prodotti informatici (cfr. la definizione legale all’art. 5 lett. a in combinato disposto con l’art. 17 LSIn) vengono ora suddivisi in tre livelli di sicurezza: «protezione di base», «protezione elevata» e «protezione molto elevata», diversamente dall’attuale OCiber che ne prevede soltanto due: «protezione di base» e «protezione elevata». Ai fini dell’attribuzione a uno dei tre nuovi livelli di sicurezza sono determinanti gli interessi pubblici della Confederazione ai sensi dell’articolo 1 capoverso 2 lettere a– e LSIn. La protezione di base si applica ora anche ai Cantoni (cfr. l’art 3 LSIn), a condizione che rientrino nel campo di applicazione della LSIn.

Contrariamente a quanto avviene per i criteri di attribuzione delle informazioni classificate ai vari livelli di sicurezza, nell’ambito dell’attribuzione dei mezzi informatici ai vari livelli di sicurezza ci si rifà a criteri finanziari. Ciò è dovuto al fatto che una violazione della disponibilità o dell’integrità delle informazioni trattate con mezzi informatici è meglio quantificabile rispetto, ad esempio, a una violazione della confidenzialità di un documento classificato. I criteri finanziari si rifanno ai criteri stabiliti nella matrice di valutazione della gestione dei rischi della Confederazione.

Art. 29 Misure di sicurezza

Capoverso 1: fondandosi sull’articolo 85 LSIn, il servizio specializzato della Confederazione per la sicurezza delle informazioni emana direttive concernenti i requisiti minimi per i relativi livelli di sicurezza secondo l’articolo 17 LSIn. Tali direttive si applicano soltanto ai servizi di cui all’articolo 2 capoversi 1–3.

Capoverso 2: il servizio specializzato della Confederazione per la sicurezza delle informazioni si adopera per un coordinamento opportuno con l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) e i consulenti per la protezione dei dati (cfr. anche l’art. 82 cpv. 1 LSIn) quanto alle questioni relative alla protezione dei dati e alla sicurezza dei dati basata sul rischio. Riguardo all’approccio basato sul rischio, si veda il commento ad articolo 4 capoverso 1. Le istruzioni del servizio specializzato di cui al capoverso 1 devono essere allineate alle vigenti disposizioni in materia di protezione dei dati. In tale contesto occorre osservare che le nozioni di «protezione elevata» e «protezione molto elevata» di cui all’articolo 17 LSIn non corrispondono alle nozioni di «rischio», «rischio esiguo» o «rischio elevato» del diritto in materia di protezione dei dati.

Capoverso 3: con le lettere a e b si distingue tra due tipi di rischio che richiedono un’attenzione particolare quanto all’efficacia delle misure di sicurezza. Per tale motivo, occorre una verifica pertinente appena si delineano cambiamenti sostanziali dei rischi, al più tardi però ogni cinque anni. La base legale per la verifica periodica si trova nell’articolo 18 capoverso 3 LSIn.

Capoverso 4: si veda il commento ad articolo 5 capoverso 4.

Art. 30 Sicurezza durante l’esercizio

Capoversi 1–4: i fornitori interni di prestazioni della Confederazione svolgono un duplice ruolo nell’attuazione della sicurezza delle informazioni. Da un lato, sono normali unità amministrative che devono attuare l’OSIn come tutte le altre unità amministrative. Dall’altro, hanno un’importanza cruciale anche per la sicurezza dei beneficiari di prestazioni. È quindi essenziale per la sicurezza che la ripartizione dei compiti e delle competenze sia chiara. I fornitori di prestazioni hanno un obbligo generale di fornire le proprie prestazioni informatiche secondo lo stato della tecnica e di mettere a disposizione dei propri beneficiari di prestazioni, a tempo debito, le necessarie informazioni rilevanti per la sicurezza. Incombe tuttavia alle unità amministrative (di norma in qualità di beneficiari) che nelle convenzioni sulle prestazioni vengano chiaramente definite le responsabilità per la sicurezza a livello operativo, incluso per la gestione delle vulnerabilità. Sono infatti responsabili della sicurezza dei propri dati e compiti.

Capoverso 5: questa vigilanza è una faccenda di mera sicurezza tecnica e non ha nulla a che vedere con un’eventuale sorveglianza dei collaboratori. I terzi, ad esempio, possono essere persone nell’ambito di un programma bug bounty.