Rapporto esplicativo

3.2 Condizioni generali e principi

Il Consiglio federale ha motivato nel messaggio LSIn la necessità formale e materiale della LSIn. Questa situazione iniziale e gli obiettivi e gli approcci di soluzione ivi connessi del Consiglio federale non hanno perso nulla quanto ad attualità. Fungono da base concettuale per il diritto d’esecuzione relativo alla LSIn. Lo stesso vale per la valutazione della minaccia, l’orientamento strategico della Svizzera e i principi operativi stabiliti dal Consiglio federale nell’aprile 2018 nella «Strategia nazionale per la protezione della Svizzera contro i cyber-rischi (SNPC) 2018-2022». Per l’attuazione della sicurezza delle informazioni nell’Amministrazione federale e nell’esercito occorre tenere conto di altre strategie, in particolare le strategie informatiche nazionali e interne alla Confederazione.

Per l’elaborazione del diritto d’esecuzione relativo alla LSIn sono stati definiti quali indicatori strategici i cinque principi seguenti:

a. Responsabilità in materia di sicurezza interconnessa

Conformemente all’articolo 45 della legge del 21 marzo 1997⁴ sull’organizzazione del Governo e dell’Amministrazione (LOGA), i direttori delle unità amministrative sono responsabili dell’esecuzione dei compiti loro assegnati, compresa la protezione delle proprie informazioni e dei propri mezzi informatici. In un contesto interconnesso e digitalizzato questa responsabilità considerata separatamente non è tuttavia sufficiente. Le informazioni vengono scambiate, i sistemi interconnessi e le raccolte di dati rese disponibili per un uso condiviso secondo il cosiddetto principio «once only». In tal modo, minacce e attacchi contro un’organizzazione o i suoi fornitori possono estendersi anche all’ambito di competenza di altre organizzazioni. La sicurezza delle informazioni è quindi necessariamente un compito interconnesso con responsabilità interconnessa che richiede obiettivi comuni, una procedura coordinata e standard minimi.

b. Approccio basato sul rischio

È risaputo che non è possibile raggiungere la sicurezza assoluta e che i rischi sono quindi inevitabili. Le direttive sulla protezione di base della Confederazione offrono una protezione in funzione dei rischi contro numerose minacce. Servono alla sicurezza delle informazioni interconnessa della Confederazione e devono essere rispettate. Per integrarle, nell’ambito della sicurezza delle informazioni i responsabili sono tenuti a esercitare una gestione del rischio attiva, nel contesto della quale punti deboli e minacce e le loro potenziali ripercussioni sull’adempimento dei compiti vengono consapevolmente considerati e resi prioritari. Ne risulta così una sicurezza adeguata. Con un siffatto approccio basato sul rischio, oltre che sui rischi, è possibile concentrarsi anche su possibilità e opportunità, nuove idee, applicazioni o tecnologie.

c. Armonizzazione e standardizzazione

Un’adeguata sicurezza delle informazioni è un presupposto per la fiducia nel Governo elettronico. Ciò vale non soltanto per l’ambito nazionale, ma anche per la crescente interconnessione delle autorità su scala internazionale. Occorre perciò perseguire un’armonizzazione nazionale e internazionale delle prescrizioni e una standardizzazione delle misure di sicurezza. Quest’ultima comporta ulteriori importanti vantaggi: da un lato, alle autorità responsabili dello sviluppo e ai servizi incaricati degli acquisti vengono indicati chiari requisiti di sicurezza, sui quali potranno fondarsi nell’implementazione della sicurezza nei mezzi informatici; dall’altro, consente di prevedere e pianificare in modo più semplice i costi della sicurezza nell’ambito dei progetti.

d. Neutralità tecnologica

Con l’avanzare della digitalizzazione emergono tecnologie, piani o forme di lavoro sempre nuovi rilevanti per la sicurezza. Le ordinanze devono essere in grado di tenere conto di sviluppi quali «nuvola informatica» («cloud computing»), «Internet delle cose» («Internet of Things»), «intelligenza artificiale» («artifical intelligence») o «computazione quantistica» («quantum computing») senza dovere essere continuamente adeguate. A livello di ordinanza occorre quindi stabilire innanzitutto principi, compiti, competenze e responsabilità. Le direttive imposte dalla tecnologia devono essere definite a livello delle istruzioni e degli standard tecnici.