Rapporto esplicativo

essere aggiornati di conseguenza. Le altre autorità assoggettate disciplinano le competenze autonomamente.

Art. 8 Controlli presso gli impiegati cantonali e i terzi

Capoverso 1: in linea di principio, spetta ai Cantoni stabilire le funzioni di impiegati di un Cantone che sono soggette a un controllo di cui all’articolo 29 capoverso 1 lettera b LSIn. Affinché sia possibile assicurare una gestione uniforme, qui il DDPS va tuttavia dotato di una funzione regolatrice. Esso consulta il servizio specializzato della Confederazione per la sicurezza delle informazioni.

Capoverso 2: le funzioni dei terzi che eseguono un mandato per conto di un’autorità o un’organizzazione assoggettata che comporta l’esercizio di un’attività sensibile sotto il profilo della sicurezza, non possono essere predeterminate, bensì risultano dalle necessità dei singoli mandati. Per garantire anche in questo caso la necessità del controllo, le decisioni devono essere prese a livello centrale.

Art. 9 Controllo di affidabilità straordinario da parte dell’Ispettorato federale della sicu-

rezza nucleare

Il contenuto di questo articolo è conforme al vigente disciplinamento di cui all’articolo 5 OCSPN.

Sezione 4: Livelli di controllo

L’attribuzione della verifica dell’affidabilità secondo la legge sull’asilo al livello di controllo di sicurezza di base viene già stabilita nell’articolo 29a della legge sull’asilo del 26 giugno 1998²⁸ e non deve quindi più essere disciplinata nell’ordinanza.

Art. 10 Controlli di sicurezza relativi alle persone secondo la LSIn

Capoverso 1 lettera a: con «trattamento» si intende ogni gestione di informazioni, indipendentemente dai mezzi e dalle procedure applicati, in particolare la raccolta, la conservazione, la memorizzazione, l’utilizzazione, la modificazione, la comunicazione, l’archiviazione o la distruzione di informazioni. È il trattamento periodico di informazioni classificate. Qualora siffatte informazioni vengano trattate soltanto eccezionalmente e il loro trattamento non appartenga alla funzione vera e propria, non è richiesto un CSP.

Capoverso 1 lettera b: con «l’amministrazione, l’esercizio, la manutenzione e la verifica di mezzi informatici» vengono considerate tutte le attività di cui all’articolo 5 lettera b LSIn che sono connesse a particolari diritti d’accesso ai mezzi informatici della Confederazione o esercitando le quali persone sono in grado di pregiudicare considerevolmente gli interessi di cui all’articolo 1 capoverso 2 LSIn, ad esempio attraverso il furto di dati o il sabotaggio. Se gli utilizzatori di mezzi informatici esercitano un’attività sensibile sotto il profilo della sicurezza, si decide unicamente in base ai contenuti delle informazioni trattate. Di conseguenza, vengono inclusi principalmente amministratori e responsabili delle applicazioni dei sistemi. Il termine «esercizio» si riferisce all’attività dei fornitori di prestazioni ai sensi dall’articolo 19 LSIn. Tale termine va chiaramente distinto dall’espressione «gestire sistemi d’informazione» utilizzata nella legislazione sulla protezione dei dati per disciplinare in realtà l’impiego di sistemi d’informazione da parte dei beneficiari di prestazioni (cfr. p. es. art. 24 cpv. 1 LSIn). Attività sensibili sotto il profilo della sicurezza nell’ambito dello sviluppo o della creazione di sistemi d’informazione sono incluse nella lettera b quale parte dell’amministrazione e dell’esercizio.

Capoverso 1 lettera c: la delimitazione di questi locali o settori quali zone di sicurezza rappresenta una misura fisica di sicurezza delle informazioni, in particolare per proteggere locali dei server o determinati locali di condotta. Una zona di sicurezza deve essere protetta adeguatamente. Le persone che devono avere accesso a siffatte zone di sicurezza vanno quindi assoggettate a un controllo di sicurezza di base.

Capoverso 1 lettera d: sempreché trattati internazionali prevedano un controllo, il livello di controllo si rifà alle pertinenti direttive del trattato. Se il trattato non contiene alcuna normativa specifica, il controllo avviene sempre soltanto al livello di controllo di sicurezza di base.

Capoverso 2 lettere a e b: cfr. commento al capoverso 1 lettere a e b.