Rapporto esplicativo

altro strumento per verificare l’affidabilità dei loro dipendenti. Il nuovo articolo 20a LPers offre a tal fine ai datori di lavoro i mezzi appropriati.

d. Elenchi delle funzioni

Al fine di tenere il numero dei controlli entro il limite auspicato, nell’allestire e nell’aggiornare gli elenchi delle funzioni nei quali figurano le funzioni da controllare occorre controllare meglio di oggi la legalità delle iscrizioni. L’intento è quindi che il DDPS gestisca a livello centrale gli elenchi delle funzioni e che li aggiorni costantemente su richiesta dei dipartimenti e della Cancelleria federale (CaF).

Gli elenchi delle funzioni per i quali è necessario un CSP secondo la LSIn sono problematici dal punto di vista della sicurezza delle informazioni. Essi forniscono una panoramica dell’insieme delle funzioni svolte dall’Amministrazione e dall’esercito che hanno accesso a informazioni classificate o che gestiscono o amministrano sistemi critici della Confederazione. Sebbene gli elenchi [delle funzioni] non contengano alcun nome dei detentori delle funzioni, nell’era dei media sociali è semplice per un potenziale aggressore collegare una funzione a un nome ottenendo così un obiettivo di spionaggio o di sabotaggio. Nell’ambito dell’esercito gli elenchi delle funzioni dettagliati possono inoltre consentire di trarre conclusioni sulla sua organizzazione di dettaglio, non pubblicata. Pertanto, fondandosi sull’articolo 6 della legge sulle pubblicazioni ufficiali del 18 giugno 2004¹³ (LPubb), non vanno pubblicati gli elenchi delle funzioni che contengono le funzioni da controllare secondo la LSIn. Per gli stessi motivi, anche gli elenchi delle funzioni secondo la legge del 23 marzo 2007¹⁴ sull’approvvigionamento elettrico (LAEl) non vengono pubblicati. Per contro, devono continuare a essere pubblicati gli elenchi delle funzioni che vengono sottoposte a un controllo per proteggere dalla corruzione o da un danno reputazionale.

Gli elenchi delle funzioni saranno stilati soltanto a partire dall’avvio della consultazione sul diritto d’esecuzione relativo alla LSIn. In primo luogo, occorre garantire che i criteri di controllo siano ampiamente accettati. Si tratta infatti di varie migliaia di iscrizioni potenziali che devono essere verificate prima di essere inserite negli elenchi delle funzioni definitivi. Informazioni dettagliate sull’onere per i CSP saranno pertanto disponibili soltanto dopo il termine della consultazione.

3.6 Ordinanza sulla procedura di sicurezza relativa alle aziende (OPSAz)

a. In generale

La LSIn (cfr. gli artt. 49–72 LSIn) introduce la cosiddetta procedura di sicurezza relativa alle aziende (PSA). La PSA si occupa della tutela della sicurezza delle informazioni nell’ambito dell’assegnazione di mandati sensibili sotto il profilo della sicurezza da parte delle autorità federali ad aziende che non sottostanno direttamente alla loro vigilanza. La PSA serve a verificare l’affidabilità delle aziende alle quali si intende affidare un mandato. Le aziende che sono sotto l’influenza di servizi d’informazione esteri non devono ottenere l’accesso a informazioni sensibili sotto il profilo della sicurezza o a mezzi informatici critici della Confederazione. A seguito della nuova procedura di sicurezza relativa alle aziende sarà abrogato il metodo di gestione del rischio per ridurre lo spionaggio da parte dei servizi di intelligence. La PSA consente inoltre di controllare e imporre l’attuazione della sicurezza delle informazioni durante l’esecuzione del mandato.

b. Oggetto e campo d’applicazione

La nuova ordinanza sulla procedura di sicurezza relativa alle aziende (OPSAz) disciplina i dettagli della procedura e sostituisce l’attuale ordinanza sulla tutela del segreto del 29 agosto 1990¹⁵, limitata a mandati con contenuto classificato dal punto di vista militare. L’OPSAz si applica all’insieme delle autorità e delle organizzazioni che rientrano nell’ambito di applicazione della LSIn. L’OPSAz si applica alle unità amministrative dell’Amministrazione federale decentralizzata soltanto se esse rientrano anche nel campo d’applicazione dell’OSIn (cfr. il n. 3.3 lett. b).

c. Acquisti assoggettati

Nell’ordinanza vengono definiti gli acquisti per i quali la procedura deve essere eseguita in ogni caso. Sono interessati i mandati nei quali vengono rese accessibili informazioni classificate SE-GRETO nonché gli acquisti di sistemi sensibili nei quali vengono trattate informazioni classificate CONFIDENZIALE di più organizzazioni o che vengono impiegati in più uffici e dipartimenti. Per

13 RS 170.512