Legge sulla sicurezza delle informazioni: il Consiglio federale pone in consultazione le ordinanze
Berna, 24.08.2022 - Per l’entrata in vigore della legge sulla sicurezza delle informazioni (LSIn) devono essere elaborate tre ordinanze e una quarta deve essere oggetto di una revisione parziale. Nella sua seduta del 24 agosto 2022 il Consiglio federale ha avviato la procedura di consultazione. L’entrata in vigore della LSIn e delle disposizioni d’esecuzione è prevista per la metà del 2023.
La legge sulla sicurezza delle informazioni crea un quadro legale formale uniforme per tutte le autorità federali ai fini della sicurezza delle informazioni e disciplina le misure più importanti per la protezione delle loro informazioni e dei mezzi informatici. Contemporaneamente vengono colmante le lacune esistenti a livello giuridico e organizzativo. In vista dell’entrata in vigore a metà 2023, il Consiglio federale ha elaborato le disposizioni d’esecuzione a livello di ordinanza e avviato la procedura di consultazione per quattro ordinanze.
Tre nuove ordinanze e una revisione parziale
• Ordinanza sulla sicurezza delle informazioni (OSIn): la nuova OSIn riunisce, completa e sostituisce due ordinanze attualmente in vigore, vale a dire l’ordinanza sui ciber-rischi e l’ordinanza sulla protezione delle informazioni. Si applica principalmente all’Amministrazione federale e all’esercito. Le modifiche previste del diritto esistente concernono ad esempio le disposizioni sull’attuazione di un sistema di gestione della sicurezza delle informazioni, l’introduzione di un obbligo di accreditamento di mezzi informatici, l’innalzamento della soglia di classificazione per le informazioni classificate e l’introduzione di una gestione a posteriori (cosiddetta «aftercare») usuale a livello internazionale nell’ambito della sicurezza delle persone. Inoltre le direzioni degli uffici dell’Amministrazione federale saranno tenute a svolgere nuovi compiti e ad assumersi nuove competenze e responsabilità in ambito di sicurezza delle informazioni.
• Ordinanza sui controlli di sicurezza relativi alle persone (OCSP): comprende le disposizioni d’esecuzione concernenti i diversi controlli di sicurezza relativi alle persone. Sostituisce l’ordinanza sui controlli di sicurezza relativi alle persone, l’ordinanza sui controlli di sicurezza relativi alle persone nell’ambito degli impianti nucleari e tutte le ordinanze dipartimentali sui controlli di sicurezza relativi alle persone attualmente in vigore. I controlli di sicurezza relativi alle persone servono a valutare se sussiste un rischio per la sicurezza delle informazioni della Confederazione qualora una persona eserciti un’attività sensibile sotto il profilo della sicurezza nell’ambito della propria funzione. Secondo la nuova legge questi controlli dovranno essere ridotti al livello minimo indispensabile per individuare rischi considerevoli per la Confederazione. In tal modo si ridurrà notevolmente, in futuro, il numero di controlli effettuati. Questo obiettivo verrà, tra l’altro, raggiunto grazie al citato innalzamento dei valori soglia per la classificazione nell’ambito dell’OSIn.
• Ordinanza sulla procedura di sicurezza relativa alle aziende (OPSAz): disciplina i dettagli della procedura di sicurezza relativa alle aziende (PSA) introdotta dalla LSIn e sostituisce l’attuale ordinanza sulla tutela del segreto, limitata a mandati con contenuto classificato dal punto di vista militare. La procedura di sicurezza relativa alle aziende si applica a tutti i mandati sensibili sotto il profilo della sicurezza aggiudicati dalla Confederazione, in particolare ai mandati in cui vengono trattate informazioni classificate «confidenziale» o «segreto» oppure esercitati o amministrati mezzi informatici dei livelli di sicurezza «protezione elevata» o «protezione molto elevata».
• L’entrata in vigore della LSIn richiede inoltre adeguamenti dell’ordinanza sui sistemi di gestione delle identità e sui servizi di elenchi della Confederazione (OIAM): la revisione parziale comprende in particolare un’estensione del campo d’applicazione alle unità amministrative dell’Amministrazione federale decentralizzata, a condizione che abbiano accesso a sistemi informatici dell’Amministrazione federale centrale.
La procedura di consultazione dura fino al 24 novembre 2022.
L’obbligo di notifica dei ciberattacchi contro infrastrutture critiche richiede una revisione della LSIn
Queste quattro ordinanze coprono i capitoli 1-4 della LSIn. La revisione del capitolo 5 è ancora in corso, ragion per cui non sono ancora a disposizione ordinanze al riguardo. Sotto la direzione del Dipartimento federale delle finanze (DFF) dovrà essere introdotto un obbligo di notifica dei ciberattacchi contro le infrastrutture critiche. La procedura di consultazione concernente la revisione della LSIn si è conclusa il 14 aprile 2022.
Indirizzo cui rivolgere domande
Lorenz Frischknecht
Sostituto del capo della Comunicazione /
portavoce del DDPS
+41 58 484 26 17
Pubblicato da
Il Consiglio federale
https://www.admin.ch/gov/it/pagina-iniziale.html
Segreteria generale del DDPS
https://www.vbs.admin.ch/
Aggruppamento Difesa
http://www.vtg.admin.ch
Armasuisse
http://www.ar.admin.ch/
