Rapporto esplicativo

Art. 3 Autorità competente

Capoverso 1: l’autorità «servizio specializzato competente per l’esecuzione della procedura di sicurezza relativa alle aziende» (servizio specializzato PSA) deve essere aggregata sotto il profilo organizzativo. La pertinente decisione viene presa contestualmente a quella sull’aggregazione amministrativa del servizio specializzato della Confederazione per la sicurezza delle informazioni (cfr. n. 3.8).

Capoverso 2: in relazione con le procedure di sicurezza transfrontaliere relative alle aziende, il servizio specializzato PSA dipende dalla collaborazione con l’autorità di sicurezza svizzera designata, l’unica attraverso la quale si tengono i contatti con l’estero. Il coordinamento della procedura di sicurezza relativa alle aziende (PSA) con gli iter procedurali della suddetta autorità incombe al servizio specializzato PSA.

Sezione 2: Avvio della procedura di sicurezza relativa alle aziende Osservazione preliminare sulla sezione 2

L’avvio della procedura deve potere avere luogo quanto prima possibile nel processo d’acquisto. In questa prima fase occorre soprattutto chiarire se il mandato da aggiudicare è sensibile sotto il profilo della sicurezza e se è quindi soddisfatto il presupposto processuale centrale. Non vengono creati elementi pregiudicanti per la procedura di aggiudicazione.

Art. 4 Domanda di avvio della procedura

Capoverso 1 lettere a e b: gli incaricati della sicurezza delle informazioni garantiscono che aspetti inerenti alla sicurezza delle informazioni confluiscano già in una fase iniziale nelle considerazioni di un’aggiudicazione a terzi.

Capoverso 1 lettera c: le aziende che aggiudicano un subappalto assumono così a loro volta il ruolo di mandanti. Di conseguenza, purché vengano autorizzate a farlo dal proprio mandante, sono altresì tenute a presentare la domanda di avvio della procedura di sicurezza relativa alle aziende. È competente l’incaricato della sicurezza aziendale di cui all’articolo 12.

Capoverso 2: al Consiglio federale (salvo che per sé stesso) non spetta stabilire la competenza per l’avvio della procedura per le autorità assoggettate di cui all’articolo 2 capoverso 1 LSIn. Nell’OPSAz esso si limita pertanto a lasciare comunicare alle autorità assoggettate il servizio competente.

Capoverso 3 lettera a: la descrizione della prestazione edile, fornitura o prestazione di servizio serve al servizio specializzato PSA in particolare come indicatore di identificazione, specialmente poi se un’azienda esegue più mandati sensibili sotto il profilo della sicurezza.

Capoverso 3 lettera b: poiché la sensibilità sotto il profilo della sicurezza del mandato è il presupposto per l’avvio della PSA, si deve illustrare per lo meno con una motivazione sommaria fino a che punto sono soddisfatti i presupposti di cui all’articolo 5 lettera b LSIn. L’alleggerimento della prova grazie a una motivazione soltanto sommaria è inteso, in particolare, a consentire un avvio della procedura in una fase relativamente precoce al fine di toccare il meno possibile gli iter procedurali della procedura di aggiudicazione.

Capoverso 3 lettera c: nel singolo caso la PSA deve essere coordinata fin da subito con le disposizioni procedurali nel settore degli appalti pubblici. È pertanto propizio all’economia procedurale se già in questo stadio iniziale il mandante ha le idee chiare sulla procedura di aggiudicazione applicabile.

Art. 5 Esame della domanda

Capoverso 1: per quanto riguarda l’avvio della procedura, il servizio specializzato PSA gode di un margine di discrezionalità relativamente ampio che, tuttavia, deve sempre esercitare d’intesa con il mandante estero (cfr. l’art. 53 cpv. 2 LSIn).

Capoverso 2: con questa disposizione il Consiglio federale limita il potere discrezionale del servizio specializzato PSA e stabilisce in via definitiva le fattispecie per le quali deve essere obbligatoriamente avviata la PSA. Si tratta delle quattro configurazioni seguenti:

 lettera a: le aziende che operano nell’ambito della massima necessità di protezione di informa-

zioni e mezzi informatici devono sempre essere soggette alle disposizioni dell’OPSAz, a prescindere dal genere o dal luogo di adempimento del mandato;