Rapporto esplicativo
Consultazione 2022/49: Diritto d’esecuzione della legge sulla sicurezza delle informazioni · 47 pagine
Fedlex · Rapporto esplicativo · Pagina 42Fedlex · Rapporto esplicativo
zato PSA ai fini di detta valutazione. D’altro canto, quest’ultimo deve a sua volta informare il mandante il più rapidamente possibile se, sulla base della propria acquisizione dei dati, emergono riscontri che possono indurre il mandante a escludere l’azienda.
Capoverso 2: in virtù di questo continuo scambio di informazioni, è giustificato che il servizio specializzato PSA per intanto continui a valutare un’azienda dubbia quanto alla sua idoneità finché il mandante non avrà deciso in merito a un’eventuale esclusione.
Capoverso 3: se nella procedura di aggiudicazione c’è già stata un’esclusione da parte del mandante, alla procedura di sicurezza relativa alle aziende manca l’oggetto della procedura. Si tratta quindi di un chiaro caso di cui all’articolo 51 capoverso 1 lettera c LSIn e la PSA va prontamente abbandonata per l’azienda in questione.
Art. 11 Scambio di informazioni
Questa disposizione riguarda il contenuto dello scambio di informazioni reciproco. Per la valutazione dell’idoneità, ad esempio, si mettono a disposizione del servizio specializzato PSA e del mandante, rispettivamente, indicazioni utili dal punto di vista del diritto d’aggiudicazione e riscontri rilevanti per la sicurezza ai fini della sua decisione sull’esclusione di cui all’articolo 44 LAPub.
Sezione 4: Piano in materia di sicurezza Art. 12 Incaricati della sicurezza aziendale
Capoverso 1: un’azienda annunciata dal mandante per la valutazione dell’idoneità deve designare un incaricato della sicurezza aziendale e annunciarlo al servizio specializzato PSA. Affinché i requisiti di sicurezza definiti possano produrre l’effetto necessario occorre che la direzione dell’azienda possa essere ritenuta responsabile al riguardo. L’incaricato della sicurezza aziendale deve quindi disporre di taluni diritti di impartire istruzioni in seno all’azienda, almeno nell’ambito della sicurezza. L’ideale sarebbe che l’incaricato sia membro della direzione e possa così intervenire nelle decisioni o che per lo meno agisca su mandato diretto di un membro.
Capoverso 2 lettera a: per esercitare un’influenza efficiente ed efficace sulla sicurezza delle informazioni dell’azienda, il servizio specializzato PSA necessita di un interlocutore attraverso il quale possano svolgersi tutti i contatti.
Capoverso 2 lettera b: l’incaricato della sicurezza risponde nei confronti del servizio specializzato PSA quanto all’attuazione del piano in materia di sicurezza. Il servizio specializzato PSA provvede affinché l’incaricato riceva una formazione e un perfezionamento adeguati.
Capoverso 2 lettera c: nei casi in cui l’azienda è stata autorizzata dal mandante a coinvolgere imprese subappaltatrici, l’incaricato della sicurezza aziendale è legittimato a presentare al servizio specializzato PSA la richiesta di avvio della procedura di sicurezza relativa alle aziende per suddette imprese (cfr. l’art. 4 cpv. 1 lett. c).
Art. 13 Comunicazione dell’aggiudicazione
Capoverso 1: di norma, i contratti quadro dovrebbero essere l’elemento attivante per il rilascio di una dichiarazione di sicurezza aziendale. Viceversa, i singoli rapporti di mandato connessi al contratto quadro possono, eventualmente, incidere sul rischio per la sicurezza delle informazioni tanto da richiedere un adeguamento del piano in materia di sicurezza. È quindi essenziale che il servizio specializzato PSA sia sempre al corrente della situazione dei mandati nell’azienda quanto alla loro sensibilità sotto il profilo della sicurezza.
Capoverso 2: le indicazioni che deve fornire il mandante e che sono necessarie per l’allestimento del piano in materia di sicurezza comprendono in particolare:
indicazioni sul livello della sensibilità sotto il profilo della sicurezza del mandato in base all’arti-
colo 5 LSIn;
la menzione delle persone alle quali è affidata l’esecuzione del mandato sensibile sotto il pro-
filo della sicurezza (per lo svolgimento di controlli di sicurezza relativi alle persone);
indicazioni sull’impiego di mezzi informatici aziendali, in particolare se vengono utilizzati in rete
o se ne vengono isolati.