Rapporto esplicativo

sviluppo di un’applicazione elettronica (art. 16c cpv. 1 lett. f) in modo da garantire che i dati provenienti da diverse applicazioni vengano presentati alle autorità esecutive in modo uniforme.

3.3 Allegato 2 OLR 2

Quest’allegato è destinato all’organismo di certificazione (art. 16d cpv. 1 e 16e).

Il numero 1 precisa i requisiti posti all’organismo di certificazione. Sulla base dei requisiti dell’OLR 2, l’organismo sviluppa e gestisce lo schema di certificazione, specifica i criteri di verifica e si basa su norme internazionali quali i Criteri generali per la valutazione della sicurezza informatica SN EN ISO/IEC 15408:2022 Information security, cybersecurity and privacy protection – Evaluation criteria for IT security (Common Criteria), le norme SN EN ISO/IEC 62443-4-1:2018 e 62443-4-2:2019 IT-Sicherheit für indu strielle Automatisierungssysteme, SN EN ISO/IEC 27034:2022 Information technology – Security tech niques – Application security e NF EN ETSI 303645:2024 CYBER – Cybersécurité pour l’Internet des objets grand public: Exigences de base ¹², nonché Mobile Application Security Verification Standard (MA- SVS) v2.1.0 dell’Open Worldwide Application Security Project (OWASP)¹³. Collabora con diversi attori, tra cui servizi di accreditamento nazionali, rappresentanti del settore e altri organismi di certificazione, tenendo conto dei requisiti dell’OLR 2.

Tutte le parti coinvolte nella certificazione sono tenute a mantenere la neutralità ed evitare conflitti di interesse. Le informazioni confidenziali come il codice sorgente e i documenti relativi alla sicurezza, ovvero i processi e i test impiegati per lo sviluppo dell’applicazione, rimangono protette.

Il numero 2 descrive gli elementi della verifica di conformità. I requisiti tecnici si basano sui Common Criteria e sul MASVS V2.1.0 dell’OWASP. Quest’ultimo offre un quadro riconosciuto per i test di sicu- rezza delle applicazioni mobili, al fine di garantire la protezione dalle minacce attuali.

Poiché le applicazioni mobili di cui all’OLR 2 dipendono da hardware e sistemi operativi esterni, la pro- cedura di verifica è strutturata come una combinazione di valutazione del prodotto e del processo. La pianificazione delle verifiche viene effettuata congiuntamente dall’organismo di certificazione e dal ri- chiedente. Nella prima fase, tutti i documenti rilevanti per la sicurezza vengono verificati sulla base di standard riconosciuti. Il livello di approfondimento della verifica varia da una verifica di base a una verifica critica fino a un controllo a campione. I metodi di verifica comprendono test propri, convalida mediante rapporti esterni e osservazione di test in cui vengono riprodotti e documentati singoli controlli.

Prima dell’osservazione di test, devono essere resi noti i piani dei test e gli strumenti e ne vanno verificati idoneità e capacità dimostrativa. Durante la verifica, il responsabile si assicura che tutte le disposizioni siano rispettate e che eventuali scostamenti siano documentati. Gli osservatori non intervengono attiva- mente nel processo. Al termine, il risultato viene documentato in modo dettagliato.

In una seconda fase viene effettuato un audit che deve essere sottoposto a diverse revisioni e, in caso di esito positivo, può essere rilasciato un certificato.

Dopo la prima certificazione è previsto un monitoraggio annuale al fine di verificare come sono gestiti gli incidenti e le modifiche e come vengono eseguiti gli audit. Se il monitoraggio rileva delle carenze, il certificato può essere temporaneamente sospeso. Mancanze gravi o non risolte ne comportano invece il ritiro. Il titolare del certificato ne è in ogni caso informato per iscritto. Se necessario, vengono effettuate verifiche successive per garantire che l’applicazione continui a soddisfare le disposizioni di legge.

Il numero 3 si riferisce alla modifica dei requisiti dei prodotti. L’organismo di certificazione deve informare il titolare del certificato qualora la modifica richieda una nuova verifica dell’applicazione.

3.4 Ordinanza sull’ammissione alla circolazione (OAC)

Art. 5a^biscpv. 1 lett. b n. 1 e 2, lett. c n. 2 e 3, art. 5k cpv. 1, art. 7 cpv. 1, art. 8 cpv. 5, art. 11 cpv. 1, frase introduttiva, art. 11b cpv. 1, 2 e 3 lett. a e b, art. 27 cpv. 1 lett. a, all. 1 secondo gruppo, lett. c e

n. 8, all. 2a, titolo, all. 3 n. 2.1, all. 3a lett. A, all. 4, titolo, n. 1, 2.1, 3 sottosezione, 4 e 6