Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione concernente la revisione della LCIP (revisione completa)

Allo stesso tempo, BSV AG chiede l’aggiunta di un nuovo capoverso (3) del seguente tenore:

«Le procedure di certificazione devono basarsi su standard tecnici internazionali ed essere oggettivamente verificabili nell’ambito di audit secondo le regole di questi standard».

Ai fini dello sviluppo e della garanzia della qualità, EVS ritiene importante che i fornitori di CIP rinnovino regolarmente la certificazione.

GdS propone di semplificare il capoverso 2 come segue: «Può prevedere procedure di certificazione per singoli elementi dell’infrastruttura informatica».

Secondo HIN, i requisiti di certificazione per le comunità e le comunità di riferimento e quelli per gli emittenti di strumenti d’identificazione necessari per la CIP devono essere modificati come segue: (1) il Consiglio federale stabilisce i requisiti di sicurezza («cosa») e la governance delle condizioni di certificazione; (2) il Consiglio federale delega la scelta degli standard di certificazione e, se del caso, il loro sviluppo («come») a un’organizzazione di standardizzazione esterna, indipendente e consolidata. I requisiti di certificazione devono essere sviluppati, referenziati e adottati congiuntamente da partner pubblici e privati secondo processi definiti e collaudati; (3) gli strumenti d’identificazione, le comunità (di riferimento) e i service provider devono essere certificati. I fornitori di prestazioni e le loro organizzazioni non devono essere certificati da organismi di certificazione esterni, ma devono essere sottoposti ad audit interni condotti mediante controlli a campione dalle rispettive comunità (di riferimento) (eccezione: l’ambito di applicazione è definito dallo standard selezionato, p. es. BSI, ETSI, NIST, ISO). La Confederazione garantisce che gli strumenti d’identificazione per i pazienti e il personale sanitario siano soggetti agli stessi standard di sicurezza.

ISSS parte dal presupposto che la procedura di certificazione disciplinata in dettaglio dagli articoli 11 segg. LCIP e dagli articoli 30 segg. OCIP sarà mantenuta anche dopo la revisione completa della LCIP.

it-rm critica la formulazione potestativa e chiede che la certificazione sia disciplinata per legge in base all’articolo 164 Cost. Formula varie proposte, tra cui quella di regolamentare anche le condizioni per ottenere la certificazione.

Data la natura particolarmente sensibile dei dati, i requisiti di certificazione devono rimanere elevati. D’altra parte, la Posta e Sanela rilevano che in sede di attuazione della procedura di accreditamento e di certificazione sono state riscontrate difficoltà di ordine procedurale. Anziché standardizzate e lineari, le procedure sono iterative, non pianificate e imprevedibili. Di conseguenza, risultano onerose in termini di tempo e costi per tutti i soggetti coinvolti. I ruoli e le responsabilità della comunità di riferimento, dei fornitori di tecnologie e degli organismi di certificazione e di accreditamento per quanto riguarda le procedure non sono chiaramente distinti tra loro e vi è un eccessivo margine di interpretazione in merito ai requisiti da soddisfare. Questo genera incertezza a livello giuridico e pianificatorio e crea inefficienze nei processi.

La Posta e Sanela propongono di stralciare dall’ordinanza gli audit annuali per il rinnovo della certificazione: questa misura contribuirà in modo significativo a semplificare i processi, senza ripercussioni sui requisiti. I due partecipanti ritengono inoltre che gli audit periodici debbano riguardare solo le modifiche apportate all’infrastruttura o ai software e che dovrebbe essere possibile semplificare gli audit qualora nuovi software, infrastrutture e/o processi siano costituiti del tutto o in parte da componenti già verificate. Ciò incentiverebbe l’introduzione di sistemi più in linea con le norme, accorcerebbe i cicli di consegna e consentirebbe lo sviluppo più rapido di soluzioni.

Secondo VFP, la costituzione e il mantenimento delle comunità e la manutenzione degli elementi dell’infrastruttura devono essere certificati, in modo da garantire anche processi di miglioramento continuo. L’associazione propone di adeguare il capoverso 2 come segue: «Può prevedere procedure di certificazione per singoli elementi dell’infrastruttura informatica necessari alla costituzione e al mantenimento di comunità o della comunità di riferimento nazionale online».