Progetto

Allegato 2 (art. 16d cpv. 1 e 16e)

Requisiti degli organismi di certificazione

1. Aspetti generali

1.1 Organismo di certificazione

Ogni organismo di certificazione deve:

- operare con imparzialità ed evitare conflitti di interesse;

- garantire la riservatezza di informazioni proprietarie, codice sorgente e docu- mentazione di sicurezza;

- applicare lo schema di certificazione in modo coerente;

- tenere traccia di valutazioni e decisioni.

1.2 Schema di certificazione

Per verificare la conformità delle applicazioni elettroniche con i requisiti di cui all’ar- ticolo 16c capoversi 1 e 2, l’organismo di certificazione predispone uno schema di certificazione tenendo conto delle direttive di cui al numero 2.

Garantisce la conformità con i requisiti della presente ordinanza e con i pertinenti standard internazionali [p. es. norme SN/EN ISO 15408:2023 Information security, cybersecurity and privacy protection – Evaluation criteria for IT security (Common Criteria), ossia i criteri generali per la valutazione della sicurezza di tecnologie d’in- formazione, SN/EN IEC 62443-4-1:2018 e 62443-4-2:2019 IT-Sicherheit für indu- strielle Automatisierungssysteme, SN EN ISO/IEC 27034:2023 Information techno- logy – Security techniques – Application security e NF EN ETSI 303645:2024 CYBER

– Cybersécurité pour l’Internet des objets grand public: Exigences de base⁴ nonché Mobile Application Security Verification Standard (MASVS) v2.1.0 dell’Open Worldwide Application Security Project (OWASP)⁵].

Gestisce lo schema di certificazione e all’occorrenza lo aggiorna.

⁴Le norme possono essere consultate gratuitamente e ottenute a pagamento presso l’Asso-

ciazione svizzera di normazione (SNV), Sulzerallee 70, 8404 Winterthur; www.snv.ch (disponibili in tedesco, francese o inglese).

⁵Consultabile all’indirizzo: https://mas.owasp.org > MASVS (versione 2.1.0).

2025-... «%ASFF_YYYY_ID»