Rapporto esplicativo

Rapporto esplicativo

1 Situazione iniziale

Il 18 dicembre 2020 l’Assemblea federale ha approvato la legge sulla sicurezza delle informazioni (LSIn).¹ Il termine per il referendum è scaduto inutilizzato a metà aprile 2021. La nuova legge crea un quadro legale formale uniforme per la sicurezza delle informazioni in seno alla Confederazione.

La nozione di «sicurezza delle informazioni» comprende la totalità dei requisiti e delle misure con cui vengono protette la confidenzialità, l’integrità, la disponibilità e la tracciabilità di informazioni e di dati di ogni tipo, nonché la disponibilità e l’integrità di mezzi informatici. Dato che oggi le informazioni vengono perlopiù trattate elettronicamente, si pone l’accento sulla «cibersicurezza». La nozione di «sicurezza delle informazioni» comprende però tutti i processi di elaborazione, dunque anche documenti cartacei e affermazioni orali, e non soltanto il trattamento elettronico. Nell’uso colloquiale, tuttavia, spesso le due nozioni sono utilizzate quale sinonimo.

Le ordinanze d’esecuzione della LSIn figuranti nel presente rapporto esplicativo sono state elaborate in collaborazione con rappresentanti delle altre autorità federali e dei Cantoni. Nel messaggio del 22 febbraio 2017² concernente la legge sulla sicurezza delle informazioni (messaggio LSIn) il Consiglio federale ha annunciato che avrebbe invitato le altre autorità federali e i Cantoni a esprimersi in merito a tutte le normative importanti (cfr. n. 1.5., pag. 2621). Così, da una parte, si può raggiungere un livello di sicurezza il più possibile uniforme e, dall’altra, tenere debitamente conto delle esigenze di tutte le autorità federali e dei Cantoni. Si svolge pertanto una procedura di consultazione.

2 Analisi di diritto comparato, in particolare con il diritto europeo

In molti Paesi europei le basi giuridiche per la sicurezza delle informazioni vengono adeguate alla nuova realtà della società dell’informazione. Dato che in parte gli ordinamenti giuridici e le strutture statali dei diversi Paesi si distinguono sostanzialmente, la gerarchia normativa e il campo d’applicazione delle corrispondenti normative possono difficilmente essere confrontati. Si può invece affermare che, in linea di principio, le disposizioni della LSIn e delle sue ordinanze d’esecuzione corrispondono, o sono perlomeno in sintonia, con le normative degli Stati presi in esame. Sotto il profilo organizzativo, grazie al servizio specializzato della Confederazione per la sicurezza delle informazioni quest’ultima disporrà di un unico punto di contatto nelle relazioni internazionali. La collaborazione internazionale nell’ambito della sicurezza delle informazioni sarà quindi più semplice ed efficiente.

3 Punti essenziali degli atti normativi

3.1 Entità del diritto d’esecuzione relativo alla LSIn

Il diritto d’esecuzione relativo alla LSIn comprende quattro ordinanze:

 una nuova ordinanza sulla sicurezza delle informazioni (OSIn; cfr. n. 3.3);

 una modifica dell’attuale ordinanza del 19 ottobre 2016³ sui sistemi di gestione delle identità e

sui servizi di elenchi della Confederazione (OIAM; cfr. n. 3.4);

 una nuova ordinanza sui controlli di sicurezza relativi alle persone (OCSP; cfr. n. 3.5);

 una nuova ordinanza sulla procedura di sicurezza relativa alle aziende (OPSAz; cfr. n. 3.6).

Il 12 gennaio 2022 il Consiglio federale ha avviato la procedura di consultazione concernente l’introduzione dell’obbligo di notifica dei ciberattacchi per i gestori di infrastrutture critiche. L’introduzione di un siffatto obbligo di notifica comporta il rimaneggiamento completo del capitolo 5 (Infrastrutture critiche) della LSIn. L’entrata in vigore di questa revisione della LSIn, ordinanza inclusa, è prevista per la fine del 2023. Non è quindi opportuno adottare una nuova ordinanza per le esigenze attuali che verrà completamente riveduta già pochi mesi dopo. Per tale motivo si rinuncia per ora a emanare disposizioni esecutive concernenti il capitolo 5 della LSIn.