Rapporto esplicativo

mente secondo la norma ISO. Alcuni di essi sono certificati ufficialmente. Alle unità amministrative l’OSIn chiede unicamente un SGSI light: ciò significa che non devono attuare la norma ISO completa, ma soltanto i processi di gestione più importanti, che figurano nell’OSIn. Non è richiesta una certificazione esterna. Le unità amministrative e i dipartimenti possono tuttavia fissare un livello di ambizione più elevato.

e. Protezione di informazioni classificate e sicurezza informatica

I criteri per la classificazione delle informazioni e per l’attribuzione dei mezzi informatici ai vari livelli di sicurezza vengono allineati ai parametri della gestione dei rischi della Confederazione. Per loro stessa natura, questi criteri sono vaghi e devono essere interpretati. Per l’attuazione vengono realizzati ausili. In futuro la Confederazione procederà a un numero minore di classificazioni.

Per quanto riguarda le misure concrete adottate per la protezione delle informazioni classificate e per la garanzia della sicurezza informatica, l’OSIn riprende in gran parte le normative esistenti dell’OPrI e dell’OCiber. Le direttive dettagliate, compresi i requisiti tecnici, attualmente mancanti, per il trattamento elettronico delle informazioni classificate, verranno probabilmente elaborate entro la fine del 2023 adeguandole, ove possibile e opportuno, a standard internazionali.

f. Accreditamento in materia di sicurezza di mezzi informatici

Ora l’OSIn introduce un obbligo di accreditamento per un numero limitato di sistemi d’informazione sensibili sotto il profilo della sicurezza nei quali vengono trattate informazioni classificate CONFI-DENZIALE o SEGRETO (p. es. un’applicazione per la videocomunicazione confidenziale). L’OSIn colma così una lacuna che oggi rende difficile la collaborazione internazionale nell’ambito della sicurezza. Un accreditamento di sicurezza viene richiesto all’estero e nella cooperazione internazionale se si intende trattare informazioni protette di un’autorità (o di uno Stato) in un sistema di un’altra autorità (o di un altro Stato). Un accreditamento dimostra che il sistema ricevente soddisfa i requisiti di sicurezza prestabiliti e che i rischi residui sono sostenibili secondo lo stato della tecnica. Se non può essere concesso un accreditamento di sicurezza, il Consiglio federale deve valutare i rischi residui e decidere in merito all’impiego del mezzo informatico.

g. Sicurezza delle persone

L’assunzione della responsabilità dei rischi per la sicurezza riferiti a persone è un compito direttivo permanente. Introdotto ora con la LSIn, l’articolo 20a della legge del 24 marzo 2000⁸ sul personale federale (LPers) consente alle unità amministrative, se necessario per tutelare i propri interessi, di esigere dai candidati a un impiego e dagli impiegati che presentino un estratto del casellario giudiziale e del registro delle esecuzioni. La prassi ha mostrato che, dopo avere superato un controllo di sicurezza relativo alle persone (CSP), è piuttosto raro che si affronti di nuovo la questione dei rischi per la sicurezza riferiti a persone. Ai sensi di una gestione a posteriori (cosiddetta «aftercare») usuale a livello internazionale, i collaboratori che sono stati sottoposti a CSP devono pertanto notificare al proprio datore di lavoro circostanze derivanti dal proprio contesto privato e professionale che possono minacciare la sicurezza (p. es. ricattabilità a causa di un forte indebitamento nel casinò). La gestione di un rischio eventualmente accresciuto è compito del datore di lavoro. Questi può esigere dai collaboratori anche durante il termine previsto per la ripetizione del CSP estratti ai sensi dell’articolo 20a LPers. A seconda del singolo caso una siffatta notifica può anche portare a una ripetizione straordinaria del CSP.

h. Responsabili della sicurezza e incaricati della sicurezza delle informazioni

Una novità importante nell’OSIn riguarda le direzioni. Nell’ordinanza verranno assegnati loro compiti, competenze e responsabilità concreti nell’ambito della sicurezza delle informazioni che, in caso di bisogno, possono delegare a un membro della loro direzione (responsabili della sicurezza). I responsabili della sicurezza vigilano sul SGSI dell’ufficio e prendono tutte le decisioni importanti nel suddetto ambito. Le attività di vigilanza operativa sono compito degli incaricati della sicurezza delle informazioni di cui all’articolo 37. Con l’OSIn gli odierni ruoli degli «incaricati della sicurezza informatica» e degli «incaricati della protezione delle informazioni» vengono uniti nel nuovo ruolo degli «incaricati della sicurezza delle informazioni». I loro compiti verranno precisati di conseguenza e integrati dall’esercizio del SGSI.

Ai sensi degli articoli 37–38 e 41–42 LOGA, i dipartimenti sono responsabili della direzione, del coordinamento e della vigilanza della sicurezza delle informazioni nel dipartimento stesso. Essi