Rapporto esplicativo

Art. 14 Contenuto ed esame del piano in materia di sicurezza

Capoverso 1: il sopralluogo assicura che con il piano in materia di sicurezza si possono imporre in modo mirato all’azienda le misure necessarie, idonee e adeguate alla situazione nel suo complesso. In tal modo, da una parte, il sopralluogo serve alla sicurezza delle informazioni e, dall’altra, tutela però anche l’azienda da un onere sproporzionato.

Capoverso 2: ai fini dell’allestimento del piano in materia di sicurezza, il servizio specializzato PSA specifica per l’azienda un contesto nel quale essa deve adottare e documentare le misure di sicurezza adeguate alla situazione complessiva. Devono essere documentate misure organizzative (p. es. gestione delle chiavi, sorveglianza dei locali), di personale (controlli di sicurezza relativi alle persone), tecniche (p. es. impiego di mezzi informatici) e fisiche (protezioni antiscasso).

Capoverso 3: l’allestimento di piani in materia di sicurezza può rivelarsi complesso, in particolare poiché all’azienda vengono accordati, consapevolmente, anche taluni margini di discrezionalità. Se il piano in materia di sicurezza non supera al primo tentativo la verifica da parte del servizio specializzato PSA (cfr. l’art. 59 cpv. 2 LSIn), quest’ultimo deve accordare all’azienda un termine suppletorio per migliorare il piano, impartendo anche istruzioni concrete riguardo ai punti a cui si deve porre rimedio e a come farlo.

Capoverso 4: per analogia con l’articolo 6 capoverso 3, questo termine ordinatorio è inteso fornire ai mandanti un orientamento per la pianificazione e il coordinamento della procedura di aggiudicazione e incitare il servizio specializzato PSA al rispetto dell’imperativo di celerità.

Art. 15 Controlli di sicurezza relativi alle persone

Capoverso 1: per eseguire un mandato sensibile sotto il profilo della sicurezza l’azienda deve organizzarsi in modo tale che a un CSP debba essere sottoposto soltanto un numero minimo di persone, strettamente necessario all’adempimento del mandato. Le domande di controlli per persone che svolgono attività soltanto potenzialmente sensibili sotto il profilo della sicurezza sono illecite e vengono respinte dal servizio specializzato PSA.

Capoverso 2: per ragioni di economia procedurale può avere senso che soprattutto grandi aziende siano autorizzate ad avviare autonomamente CSP. Ciò non cambia il fatto che il servizio specializzato PSA decide in via definitiva quali persone vengono effettivamente controllate.

Sezione 5: Dichiarazione di sicurezza aziendale e ripetizione della procedura Art. 16 Rilascio della dichiarazione di sicurezza aziendale

Non prevista dalla legge, la limitazione della dichiarazione di sicurezza aziendale a singoli elementi di attività sensibili sotto il profilo della sicurezza ai sensi dall’articolo 5 lettera b LSIn appare tuttavia compatibile con gli obiettivi della LSIn stessa, se non addirittura imposta dal principio di proporzionalità. Da un lato, ha senso che, ad esempio per il trattamento di informazioni classificate CONFI-DENZIALE, a un’azienda non vengano imposte misure di protezione onerose quanto quelle necessarie per il trattamento di informazioni classificate SEGRETO. Dall’altro, un piano in materia di sicurezza orientato alle informazioni classificate CONFIDENZIALE va obbligatoriamente adeguato se ora ne sono interessate anche informazioni classificate SEGRETO. Occorre garantire mediante decisione la certezza del diritto in merito al livello di trattamento ammesso.

Art. 17 Annunci dell’azienda

Capoversi 1 e 2: questi elenchi non esaustivi rendono concreto l’articolo 63 capoverso 2 LSIn quanto al contenuto dell’obbligo di annuncio concernente i cambiamenti rilevanti sotto il profilo della sicurezza nell’azienda.

Capoverso 3: un intervento tempestivo può essere agevolato dal fatto di agire già in presenza di un sospetto iniziale, senza attendere le ripercussioni di un incidente. Già il solo sospetto di un incidente viene pertanto dichiarato soggetto all’obbligo di annuncio.

Capoverso 4: oltre all’azienda, i cambiamenti e gli incidenti possono riguardare imprese subappaltatrici o fornitori dell’azienda. Mentre le imprese subappaltatrici autorizzate sono soggette autonomamente all’obbligo di annuncio primario di cui ai capoversi 1 e 2, ciò non vale per i fornitori che entrano in contatto soltanto indirettamente con l’attività sensibile sotto il profilo della sicurezza. Sempreché siano interessati da un incidente che può avere ripercussioni sull’attività sensibile sotto il profilo della sicurezza, anche tale evento deve essere annunciato dall’impresa.