Rapporto esplicativo

Art. 35 Zone di sicurezza

Capoverso 1: la creazione di zone di sicurezza ha lo scopo di ridurre il potenziale di danni a seguito di spionaggio o sabotaggio in zone molto sensibili (come i locali dei server o i locali di condotta) (cfr. messaggio LSIn pag. 2628, 2644 seg.).

Capoverso 2: la conferma del requisito di sicurezza per le zone di sicurezza non significa un accreditamento di sicurezza di cui all’articolo 23. Le zone di sicurezza non vanno inoltre confuse con locali a prova d’intercettazione, per i quali occorrono misure edili e organizzative nettamente più ampie.

Capoverso 3: fondandosi sull’articolo 85 LSIn e previa consultazione dei servizi dell’Amministrazione federale e dell’esercito competenti per la sicurezza degli oggetti, il servizio specializzato della Confederazione per la sicurezza delle informazioni emana direttive concernenti i requisiti di sicurezza per le zone di sicurezza e la loro istituzione. Tali direttive si applicano soltanto ai servizi di cui all’articolo 2 capoversi 1–3.

Sezione 7: Organizzazione di sicurezza

Una novità importante nell’OSIn riguarda le direzioni. Nell’ordinanza verranno assegnati loro compiti, competenze e responsabilità concreti nell’ambito della sicurezza delle informazioni che, in caso di bisogno, possono delegare a un membro della loro direzione (responsabili della sicurezza). I responsabili della sicurezza vigileranno sul SGSI dell’ufficio e prenderanno tutte le decisioni importanti nel suddetto ambito. Le attività di vigilanza operativa sono compito degli incaricati della sicurezza delle informazioni. Con l’OSIn gli odierni ruoli degli «incaricati della sicurezza informatica» e degli «incaricati della protezione delle informazioni» vengono uniti nel nuovo ruolo degli «incaricati della sicurezza delle informazioni». I loro compiti verranno precisati di conseguenza e integrati da compiti rilevanti per il SGSI.

A livello dei dipartimenti si applica un modello analogo. Ai sensi degli articoli 37, 38, 41 e 42 LOGA, i dipartimenti sono responsabili della direzione, del coordinamento e della vigilanza della sicurezza delle informazioni nel dipartimento stesso. Essi definiscono in particolare la politica in materia di sicurezza delle informazioni e l’organizzazione della sicurezza del dipartimento. La responsabilità operativa per la sicurezza va assunta dal segretario generale. Come è avvenuto finora, gli incaricati della sicurezza delle informazioni svolgono i compiti di coordinamento e di vigilanza operativi (cfr. l’art. 81 LSIn).

L’organizzazione di sicurezza nella sezione 7 descrive i vari ruoli e le varie funzioni previsti. Taluni ruoli, ad esempio quello degli incaricati della sicurezza delle informazioni delle unità amministrative (cfr. l’art. 37), possono essere occupati da più persone su temi specifici, a seconda delle esigenze di un ufficio. Lo stesso vale per tutti gli altri ruoli di cui agli articoli 37 segg. OSIn. Nessun ruolo è vincolato a una sola persona. Fa eccezione quello di cui all’articolo 35: il responsabile della sicurezza della CaF e delle unità amministrative può essere unicamente rappresentato da una sola persona.

I sostituti devono essere idonei per tutti i compiti del ruolo primario dal punto di vista tecnico e personale. Il sostituto deve essere istruito o formato in modo da essere in grado di supplire al ruolo primario in modo adeguato in qualsiasi momento e, soprattutto, in situazioni di emergenza.

Art. 36 Responsabili della sicurezza della Cancelleria federale e delle unità amministrative

Capoverso 1: con «responsabile» si intende l’obbligo personale di rendere conto all’organo superiore. Esso presuppone che la persona responsabile abbia il potere, in particolare finanziario, di adottare, verificare o correggere misure. Da ciò occorre distinguere l’obbligo di attuare misure di vigilanza. In tal caso, la persona incaricata è responsabile dello svolgimento e l’unica tenuta a rispondere di esso.

Capoverso 2: con la delega della responsabilità per la sicurezza si delega anche l’obbligo personale di rendere conto. Per tale motivo, la delega dovrebbe essere comprovabile (cfr. commento ad art. 8 cpv. 2 lett. a).

Capoverso 3 lettera b: in linea di principio, tutte le decisioni importanti concernenti la sicurezza delle informazioni sono interessate da questo ruolo.

Capoverso 4: gli incaricati della sicurezza delle informazioni di cui all’articolo 37 OSIn possono, ad esempio, ricevere l’incarico per il tramite di istruzioni interne o della definizione di obiettivi annuali