Rapporto esplicativo

e. Consentire la digitalizzazione

Nei progetti legislativi si deve tenere conto fin dall’inizio delle esigenze della digitalizzazione. Quando compiti, processi e procedure vengono verificati da un punto di vista giuridico o ridefiniti, occorre garantire che le nuove prescrizioni consentano la digitalizzazione.

3.3 Ordinanza sulla sicurezza delle informazioni (OSIn)

a. Oggetto

La nuova ordinanza sulla sicurezza delle informazioni (OSIn) sostituisce l’ordinanza sui ciber-rischi del 27 maggio 2020⁵ (OCiber) e l’ordinanza sulla protezione delle informazioni del 4 luglio 2007⁶ (OPrI). L’OSIn disciplina la gestione della sicurezza delle informazioni, la protezione delle informazioni classificate, la sicurezza informatica e le misure adottate per la sicurezza personale e fisica. Essa definisce i compiti, le competenze e le responsabilità pertinenti nell’Amministrazione federale e nell’esercito.

b. Campo d’applicazione

L’OSIn si applica al Consiglio federale, all’Amministrazione federale e all’esercito. Le unità amministrative dell’Amministrazione federale decentralizzata di cui all’articolo 7a dell’ordinanza del 25 novembre 1998⁷ sull’organizzazione del Governo e dell’Amministrazione (OLOGA) vengono assoggettate all’OSIn soltanto se i loro compiti sono sensibili sotto il profilo della sicurezza o possono rappresentare un rischio considerevole per l’Amministrazione federale centrale. Questi presupposti sono soddisfatti se le unità amministrative decentralizzate accedono a mezzi informatici dell’Amministrazione federale centrale del livello di sicurezza «protezione elevata» o «protezione molto elevata», se esse stesse impiegano siffatti mezzi informatici oppure se trattano informazioni classificate della Confederazione. La CaF e i dipartimenti possono inoltre chiedere al Consiglio federale di assoggettare ulteriori unità amministrative decentralizzate.

Le organizzazioni di cui all’articolo 2 capoverso 4 LOGA alle quali sono attribuiti compiti amministrativi ma che sono al di fuori dell’Amministrazione federale vengono completamente escluse dal campo d’applicazione della LSIn e di conseguenza anche dell’OSIn. Sono considerate terzi.

L’OSIn si applica, per analogia, all’Assemblea federale, ai tribunali della Confederazione, al Ministero pubblico della Confederazione e alla sua Autorità di vigilanza nonché alla Banca nazionale svizzera se non emanano proprie prescrizioni.

c. Collaborazione con i Cantoni

Ove i Cantoni trattino informazioni classificate della Confederazione, si applicano le relative prescrizioni della LSIn e dell’OSIn. Quando accedono a mezzi informatici della Confederazione, si applicano loro le direttive della LSIn e dell’OSIn sulla sicurezza informatica. In pratica, come avviene oggi, i Cantoni dovranno soddisfare i requisiti di sicurezza fissati dall’ufficio federale responsabile del mezzo informatico in applicazione di suddette direttive. Essi possono tuttavia esentarsi dalle direttive del diritto federale se garantiscono di propria iniziativa una sicurezza delle informazioni equivalente. Ciò presuppone che essi emanino proprie prescrizioni di sicurezza, allineate agli standard federali, che applicano nel proprio ambito di competenza. Gli standard federali determinanti sono le norme e i requisiti tecnici per la protezione di base dell’informatica nella Confederazione nonché per la protezione delle informazioni classificate. I Cantoni non sono tenuti ad attuare un sistema di gestione della sicurezza delle informazioni (SGSI).

d. Gestione della sicurezza delle informazioni

Tutte le unità amministrative devono essere tenute ad attuare la propria sicurezza delle informazioni tramite un sistema di gestione della sicurezza delle informazioni (SGSI). Un SGSI è uno strumento di gestione e serve alla pianificazione, all’attuazione, alla verifica e al miglioramento sistematici della sicurezza delle informazioni. Esso comprende le prescrizioni e le procedure necessarie a tal fine e mostra a chi, all’interno dell’organizzazione, sono riconducibili quali compiti, competenze e responsabilità. Con «SGSI» si rinvia implicitamente alla norma ISO/IEC 27001, che vale quale standard sia nel settore privato sia, sempre più, nelle amministrazioni pubbliche. Varie unità amministrative e vari dipartimenti hanno già deciso di attuare la propria sicurezza delle informazioni sistematica-

5 RS 120.73

6 RS 510.411