Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione concernente la revisione della LCIP (revisione completa)

4.1.19 Art. 11 lett. b e c

Devono essere certificati da un organismo riconosciuto:

b. abrogata

c. gli emittenti di strumenti d’identificazione, ad eccezione delle autorità federali.

Lettera c

Secondo GE, se la Confederazione gestisce componenti centrali critiche è opportuno che queste siano certificate anche da un organismo esterno.

VS e CARA sono del parere che tutte le componenti collegate alla CIP debbano essere verificate regolarmente al fine di garantire la sicurezza e la protezione dei dati e propongono l’aggiunta delle seguenti lettere:

«d. le componenti tecniche di cui all’articolo 14 e i processi necessari per la loro gestione e il loro funzionamento;

e. le componenti tecniche e organizzative dell’UCC collegate alla CIP».

Secondo MDS, la lettera b non dovrebbe essere abrogata bensì riformulata come segue: «b. la soluzione informatica utilizzata per la CIP».

Il partecipante auspica inoltre l’aggiunta di una nuova lettera: «d. gli emittenti di applicazioni sanitarie che consentono di consultare o di registrare dati nella CIP».

GdS ritiene che le interfacce d’accesso debbano essere certificate (p. es. per le applicazioni sanitarie) e propone di formulare l’articolo come segue:

«Devono essere certificati da un organismo riconosciuto:

a. il gestore (sul piano organizzativo e tecnico);

b. i portali o le interfacce d’accesso;

c. gli emittenti di strumenti d’identificazione, ad eccezione delle autorità federali».

HIN osserva che il messaggio menziona a più riprese le sfide legate alla procedura di certificazione. La certificazione degli strumenti d’identificazione è mantenuta e ne sono esclusi i portali d’accesso come pure la Confederazione in qualità di Identity Provider (IDP). D’altra parte, stando all’avamprogetto, le comunità di riferimento potranno emettere strumenti d’identificazione. In questo contesto, tuttavia, la procedura e l’obbligo di certificazione per le comunità di riferimento non sono disciplinati (cfr. rapporto esplicativo, n. 4.1.1, pag. 30) e questo genera una «distorsione della concorrenza». Non si capisce perché la Confederazione, in quanto IDP, non sia tenuta a certificarsi.

Secondo HIN, la legge deve stabilire che alle comunità di riferimento che emettono strumenti d’identificazione si applicano gli stessi requisiti di certificazione previsti per gli IDP. Questo vale anche per la Confederazione nel ruolo di IDP.

Secondo IG eHealth, tutti gli emittenti di strumenti d’identificazione devono essere trattati allo stesso modo, tanto più che anche la Confederazione deve procurarsi le componenti sul libero mercato e non è quindi ammissibile rinunciare alla sua certificazione in qualità di IDP. Alla luce di queste considerazioni, il gruppo d’interesse propone di stralciare la formulazione «ad eccezione delle autorità federali» alla lettera c.

ISSS chiede di precisare l’espressione «autorità». A suo parere, qualsiasi organizzazione che gestisce o accede a una CIP deve essere certificata dalla Confederazione (un riconoscimento statale non è sufficiente) e la certificazione deve essere rinnovata regolarmente (p. es. ogni tre anni). Nell’avamprogetto si afferma tuttavia che questi requisiti, necessari per ragioni di protezione dei dati e di sicurezza delle TIC, farebbero aumentare i costi della CIP.

it-rm ritiene che l’articolo debba includere anche i servizi centralizzati di ricerca di dati.