Ordinanza
sulla protezione contro i ciber-rischi nell’Amministrazione federale
(Ordinanza sui ciber-rischi, OCiber)

La pre­sen­te or­di­nan­za di­sci­pli­na l’or­ga­niz­za­zio­ne dell’Am­mi­ni­stra­zio­ne fe­de­ra­le vol­ta al­la pro­te­zio­ne con­tro i ci­ber-ri­schi, non­ché i com­pi­ti e le com­pe­ten­ze dei di­ver­si ser­vi­zi nel set­to­re del­la ci­ber­si­cu­rez­za.

La pre­sen­te or­di­nan­za si ap­pli­ca:

a.

al­le uni­tà am­mi­ni­stra­ti­ve dell’Am­mi­ni­stra­zio­ne fe­de­ra­le cen­tra­le di cui all’ar­ti­co­lo 7 dell’or­di­nan­za del 25 no­vem­bre 1998³ sull’or­ga­niz­za­zio­ne del Go­ver­no e dell’Am­mi­ni­stra­zio­ne;

b.⁴

al­le au­to­ri­tà, or­ga­niz­za­zio­ni e per­so­ne di cui all’ar­ti­co­lo 2 ca­po­ver­so 2 dell’or­di­nan­za del 25 no­vem­bre 2020⁵ sul­la tra­sfor­ma­zio­ne di­gi­ta­le e l’in­for­ma­ti­ca (OT­DI) che s’im­pe­gna­no a ri­spet­tar­la.

Nel­la pre­sen­te or­di­nan­za s’in­ten­de per:

a.

ci­ber­si­cu­rez­za: lo sta­to au­spi­ca­bi­le in cui il trat­ta­men­to dei da­ti e in par­ti­co­la­re lo scam­bio di da­ti tra per­so­ne e or­ga­niz­za­zio­ni me­dian­te in­fra­strut­tu­re di in­for­ma­zio­ne e co­mu­ni­ca­zio­ne fun­zio­na co­me pre­vi­sto;

b.

ci­be­rin­ci­den­te: un even­to non in­ten­zio­na­le o pro­vo­ca­to in­ten­zio­nal­men­te da per­so­ne non au­to­riz­za­te, che com­pro­met­te la con­fi­den­zia­li­tà, l’in­te­gri­tà, l’ac­ces­si­bi­li­tà o la trac­cia­bi­li­tà di da­ti o che può cau­sa­re di­sfun­zio­ni;

c.

ci­ber-ri­schio: il pe­ri­co­lo di un ci­be­rin­ci­den­te, la cui en­ti­tà cor­ri­spon­de al pro­dot­to del­la pro­ba­bi­li­tà che si rea­liz­zi e del­la por­ta­ta del dan­no;

d.

re­si­lien­za: la ca­pa­ci­tà di un si­ste­ma, di un’or­ga­niz­za­zio­ne o di una so­cie­tà di re­si­ste­re a per­tur­ba­zio­ni di ori­gi­ne in­ter­na o ester­na e di man­te­ne­re il re­go­la­re fun­zio­na­men­to o di ri­pri­sti­nar­lo il più ra­pi­da­men­te e com­ple­ta­men­te pos­si­bi­le;

e.

si­cu­rez­za in­for­ma­ti­ca: l’aspet­to del­la ci­ber­si­cu­rez­za che ri­guar­da i si­ste­mi tec­ni­ci;

f.

di­ret­ti­ve in ma­te­ria di si­cu­rez­za in­for­ma­ti­ca: i re­qui­si­ti di si­cu­rez­za che ri­guar­da­no l’or­ga­niz­za­zio­ne, i pro­ces­si, le pre­sta­zio­ni di ser­vi­zi e la tec­ni­ca;

g.

in­fra­strut­tu­re cri­ti­che: i pro­ces­si, i si­ste­mi e le in­stal­la­zio­ni es­sen­zia­li per il fun­zio­na­men­to dell’eco­no­mia o il be­nes­se­re del­la po­po­la­zio­ne;

h.⁶

og­get­ti in­for­ma­ti­ci da pro­teg­ge­re: ap­pli­ca­zio­ni, ser­vi­zi, si­ste­mi, re­ti, col­le­zio­ni di da­ti, in­fra­strut­tu­re e pro­dot­ti in­for­ma­ti­ci; più og­get­ti iden­ti­ci o con­nes­si tra lo­ro pos­so­no es­se­re rag­grup­pa­ti in un so­lo og­get­to in­for­ma­ti­co da pro­teg­ge­re.

¹ L’Am­mi­ni­stra­zio­ne fe­de­ra­le prov­ve­de af­fin­ché i suoi or­ga­ni e i suoi si­ste­mi pre­sen­ti­no un’ade­gua­ta re­si­lien­za ai ci­ber-ri­schi.

² Es­sa col­la­bo­ra con i Can­to­ni, i Co­mu­ni, il set­to­re eco­no­mi­co, la so­cie­tà, il mon­do scien­ti­fi­co e i part­ner in­ter­na­zio­na­li, nel­la mi­su­ra in cui ser­va a pro­teg­ge­re i suoi in­te­res­si in ma­te­ria di si­cu­rez­za, e pro­muo­ve lo scam­bio di in­for­ma­zio­ni.

Nell’am­bi­to del­la Stra­te­gia na­zio­na­le per la pro­te­zio­ne del­la Sviz­ze­ra con­tro i ci­ber-ri­schi (SN­PC), il Con­si­glio fe­de­ra­le de­fi­ni­sce il qua­dro stra­te­gi­co per il mi­glio­ra­men­to del­la pre­ven­zio­ne, dell’in­di­vi­dua­zio­ne pre­co­ce, del­la rea­zio­ne e del­la re­si­lien­za.

Le mi­su­re di pro­te­zio­ne con­tro i ci­ber-ri­schi so­no sud­di­vi­se nei tre set­to­ri se­guen­ti:

a.

set­to­re del­la ci­ber­si­cu­rez­za: com­pren­de tut­te le mi­su­re vol­te a pre­ve­ni­re e ge­sti­re gli in­ci­den­ti e a mi­glio­ra­re la re­si­lien­za ai ci­ber-ri­schi, in­ten­si­fi­can­do a ta­le sco­po la col­la­bo­ra­zio­ne in­ter­na­zio­na­le;

b.

set­to­re del­la ci­ber­di­fe­sa: com­pren­de tut­te le mi­su­re mi­li­ta­ri e del Ser­vi­zio del­le at­ti­vi­tà in­for­ma­ti­ve che ser­vo­no a pro­teg­ge­re i si­ste­mi cri­ti­ci per la di­fe­sa na­zio­na­le, a re­spin­ge­re i ci­be­rat­tac­chi, a ga­ran­ti­re l’ef­fi­cien­za ope­ra­ti­va dell’Eser­ci­to in ogni si­tua­zio­ne e a crea­re le ca­pa­ci­tà e le com­pe­ten­ze per for­ni­re un sup­por­to sus­si­dia­rio al­le au­to­ri­tà ci­vi­li; vi rien­tra­no an­che le mi­su­re at­ti­ve vol­te a in­di­vi­dua­re le mi­nac­ce, iden­ti­fi­ca­re gli ag­gres­so­ri non­ché osta­co­la­re e bloc­ca­re gli at­tac­chi;

c.

set­to­re del per­se­gui­men­to pe­na­le del­la ci­ber­cri­mi­na­li­tà: com­pren­de tut­te le mi­su­re adot­ta­te dal­la po­li­zia e dai mi­ni­ste­ri pub­bli­ci di Con­fe­de­ra­zio­ne e Can­to­ni nel­la lot­ta con­tro la ci­ber­cri­mi­na­li­tà.

Il Con­si­glio fe­de­ra­le svol­ge le se­guen­ti fun­zio­ni:

a.

vi­gi­la­re sull’at­tua­zio­ne del­la SN­PC me­dian­te il con­trol­ling stra­te­gi­co e, all’oc­cor­ren­za, or­di­na­re prov­ve­di­men­ti;

b.

de­fi­ni­re, nell’am­bi­to del­le sue com­pe­ten­ze, in qua­li set­to­ri è ne­ces­sa­rio in­tro­dur­re o ade­gua­re di­ret­ti­ve in ma­te­ria di pro­te­zio­ne con­tro i ci­ber-ri­schi;

c.

ema­na­re istru­zio­ni sul­la pro­te­zio­ne dell’Am­mi­ni­stra­zio­ne fe­de­ra­le con­tro i ci­ber-ri­schi;

d.

au­to­riz­za­re de­ro­ghe al­le sue di­ret­ti­ve.

¹ Il Co­mi­ta­to ri­stret­to Ci­ber è com­po­sto:

a.

del de­le­ga­to al­la ci­ber­si­cu­rez­za (art. 6a dell’or­di­nan­za del 17 feb­bra­io 2010⁷ sull’or­ga­niz­za­zio­ne del Di­par­ti­men­to fe­de­ra­le del­le fi­nan­ze) qua­le rap­pre­sen­tan­te del Di­par­ti­men­to fe­de­ra­le del­le fi­nan­ze (DFF);

b.

di un rap­pre­sen­tan­te del Di­par­ti­men­to fe­de­ra­le del­la di­fe­sa, del­la pro­te­zio­ne del­la po­po­la­zio­ne e del­lo sport (DDPS);

c.

di un rap­pre­sen­tan­te del Di­par­ti­men­to fe­de­ra­le di giu­sti­zia e po­li­zia (DFGP);

d.

di un rap­pre­sen­tan­te dei Can­to­ni de­si­gna­to dal­la con­fe­ren­za dei Go­ver­ni can­to­na­li com­pe­ten­te.

² Il Co­mi­ta­to ri­stret­to Ci­ber è pre­sie­du­to dal de­le­ga­to al­la ci­ber­si­cu­rez­za.

³ Il Co­mi­ta­to ri­stret­to Ci­ber in­for­ma i rap­pre­sen­tan­ti del­le al­tre uni­tà am­mi­ni­stra­ti­ve del­la Con­fe­de­ra­zio­ne at­ti­ve nel set­to­re dei ci­ber-ri­schi sui pun­ti all’or­di­ne del gior­no e può in­vi­tar­li a sin­go­le se­du­te a sco­po con­sul­ti­vo. Per le que­stio­ni di po­li­ti­ca este­ra, il Co­mi­ta­to ri­stret­to Ci­ber coin­vol­ge il Di­par­ti­men­to fe­de­ra­le de­gli af­fa­ri este­ri (DFAE). Può inol­tre ri­cor­re­re a esper­ti at­ti­vi nel set­to­re eco­no­mi­co e in quel­lo del­le scuo­le uni­ver­si­ta­rie.

⁴ Il Co­mi­ta­to ri­stret­to Ci­ber ha se­gna­ta­men­te i se­guen­ti com­pi­ti:

a.

va­lu­ta­re gli at­tua­li ci­ber-ri­schi non­ché il lo­ro pos­si­bi­le svi­lup­po in ba­se a in­for­ma­zio­ni pro­ve­nien­ti dai set­to­ri del­la ci­ber­si­cu­rez­za, del­la ci­ber­di­fe­sa e del per­se­gui­men­to pe­na­le del­la ci­ber­cri­mi­na­li­tà;

b.

va­lu­ta­re co­stan­te­men­te i di­spo­si­ti­vi esi­sten­ti nei set­to­ri del­la ci­ber­si­cu­rez­za, del­la ci­ber­di­fe­sa e del per­se­gui­men­to pe­na­le del­la ci­ber­cri­mi­na­li­tà ed esa­mi­na­re la lo­ro ade­gua­tez­za al­le mi­nac­ce;

c.

coa­diu­va­re, se ne­ces­sa­rio con il coin­vol­gi­men­to di al­tri ser­vi­zi, la ge­stio­ne in­ter­di­par­ti­men­ta­le de­gli in­ci­den­ti;

d.

in­for­ma­re il Co­mi­ta­to ri­stret­to Si­cu­rez­za del­la Con­fe­de­ra­zio­ne sui ci­ber­in­ci­den­ti e su­gli svi­lup­pi ri­le­van­ti per la po­li­ti­ca este­ra e la po­li­ti­ca di si­cu­rez­za.

⁵ I tre di­par­ti­men­ti rap­pre­sen­ta­ti nel Co­mi­ta­to ri­stret­to Ci­ber met­to­no a di­spo­si­zio­ne le in­for­ma­zio­ni ne­ces­sa­rie per la va­lu­ta­zio­ne con­giun­ta del­la si­tua­zio­ne.

⁶ Il Ser­vi­zio del­le at­ti­vi­tà in­for­ma­ti­ve del­la Con­fe­de­ra­zio­ne il­lu­stra la si­tua­zio­ne ge­ne­ra­le del­le ci­ber­mi­nac­ce all’at­ten­zio­ne del Co­mi­ta­to ri­stret­to Ci­ber.

¹ Il Con­si­glio fe­de­ra­le isti­tui­sce un Co­mi­ta­to di­ret­ti­vo del­la Stra­te­gia na­zio­na­le per la pro­te­zio­ne del­la Sviz­ze­ra con­tro i ci­ber-ri­schi (CD SN­PC).

² Il CD SN­PC si com­po­ne del de­le­ga­to al­la ci­ber­si­cu­rez­za, di rap­pre­sen­tan­ti dei Can­to­ni de­si­gna­ti dal­la con­fe­ren­za dei Go­ver­ni can­to­na­li com­pe­ten­te, di rap­pre­sen­tan­ti del set­to­re eco­no­mi­co e del­le scuo­le uni­ver­si­ta­rie, non­ché di rap­pre­sen­tan­ti del­le uni­tà am­mi­ni­stra­ti­ve a cui spet­ta la re­spon­sa­bi­li­tà prin­ci­pa­le nell’at­tua­zio­ne di una mi­su­ra con­for­me­men­te al pia­no di at­tua­zio­ne del­la SN­PC. Ogni di­par­ti­men­to e la Can­cel­le­ria fe­de­ra­le di­spon­go­no di al­me­no un rap­pre­sen­tan­te nel CD SN­PC.

³ Il CD SN­PC è pre­sie­du­to dal de­le­ga­to al­la ci­ber­si­cu­rez­za.

⁴ Il CD SN­PC ha i se­guen­ti com­pi­ti:

a.

as­si­cu­ra­re la coe­ren­za stra­te­gi­ca nell’at­tua­zio­ne del­le mi­su­re de­fi­ni­te nel­la SN­PC ed esa­mi­nar­ne co­stan­te­men­te l’avan­za­men­to me­dian­te un con­trol­ling stra­te­gi­co;

b.

pro­por­re mi­su­re spe­cia­li in ca­so di at­tua­zio­ne tar­di­va o in­com­ple­ta del­le mi­su­re de­fi­ni­te nel­la SN­PC;

c.

as­si­cu­ra­re lo svi­lup­po con­ti­nuo del­la SN­PC; a tal fi­ne, in col­la­bo­ra­zio­ne con il Co­mi­ta­to ri­stret­to Ci­ber, se­gui­re l’evo­lu­zio­ne del­le mi­nac­ce e, se ne­ces­sa­rio, ela­bo­ra­re pro­po­ste per ade­gua­re la SN­PC;

d.

pre­sen­ta­re ogni an­no al Con­si­glio fe­de­ra­le e al pub­bli­co un rap­por­to sull’at­tua­zio­ne del­la SN­PC;

e.

as­si­cu­ra­re che i ser­vi­zi coin­vol­ti del­la Con­fe­de­ra­zio­ne, dei Can­to­ni, del set­to­re eco­no­mi­co e del­le scuo­le uni­ver­si­ta­rie adot­ti­no una pro­ce­du­ra coor­di­na­ta per l’at­tua­zio­ne del­le mi­su­re de­fi­ni­te nel­la SN­PC;

f.

ga­ran­ti­re che, nell’at­tua­zio­ne del­le mi­su­re de­fi­ni­te nel­la SN­PC, sia­no con­si­de­ra­te la po­li­ti­ca del­la Con­fe­de­ra­zio­ne in ma­te­ria di ge­stio­ne dei ri­schi, la Stra­te­gia na­zio­na­le per la pro­te­zio­ne del­le in­fra­strut­tu­re cri­ti­che e le stra­te­gie del Con­si­glio fe­de­ra­le nel set­to­re in­for­ma­ti­co.

¹ Il co­mi­ta­to per la si­cu­rez­za in­for­ma­ti­ca (C-SI) si com­po­ne di un rap­pre­sen­tan­te del Cen­tro na­zio­na­le per la ci­ber­si­cu­rez­za (NC­SC⁸), de­gli in­ca­ri­ca­ti del­la si­cu­rez­za in­for­ma­ti­ca dei di­par­ti­men­ti e del­la Can­cel­le­ria fe­de­ra­le non­ché dell’in­ca­ri­ca­to del­la si­cu­rez­za in­for­ma­ti­ca dei ser­vi­zi stan­dard del­le tec­no­lo­gie dell’in­for­ma­zio­ne e del­la co­mu­ni­ca­zio­ne (TIC).

² In ca­si spe­ci­fi­ci pos­so­no es­se­re coin­vol­te al­tre per­so­ne con fun­zio­ne con­sul­ti­va.

³ Il C-SI è pre­sie­du­to dal rap­pre­sen­tan­te del NC­SC.

⁴ Il C-SI è l’or­ga­no con­sul­ti­vo del NC­SC per tut­te le que­stio­ni ine­ren­ti al­la si­cu­rez­za in­for­ma­ti­ca nell’Am­mi­ni­stra­zio­ne fe­de­ra­le.

¹ Il de­le­ga­to al­la ci­ber­si­cu­rez­za ha i se­guen­ti com­pi­ti:

a.

di­ri­ge­re il NC­SC;

b.

as­si­cu­ra­re un coor­di­na­men­to ot­ti­ma­le dei la­vo­ri in­ter­di­par­ti­men­ta­li nei set­to­ri del­la ci­ber­si­cu­rez­za, del­la ci­ber­di­fe­sa e del per­se­gui­men­to pe­na­le del­la ci­ber­cri­mi­na­li­tà;

c.

as­si­cu­ra­re la vi­si­bi­li­tà del­le at­ti­vi­tà del­la Con­fe­de­ra­zio­ne nel set­to­re dei ci­ber-ri­schi, con­tri­bui­re al­la crea­zio­ne di con­di­zio­ni qua­dro ot­ti­ma­li per un’eco­no­mia in­no­va­ti­va del­la ci­ber­si­cu­rez­za, fun­ge­re da prin­ci­pa­le per­so­na di ri­fe­ri­men­to del­la Con­fe­de­ra­zio­ne per le que­stio­ni ine­ren­ti ai ci­ber-ri­schi e rap­pre­sen­ta­re la Con­fe­de­ra­zio­ne nel­le com­mis­sio­ni e nei grup­pi di la­vo­ro ri­le­van­ti; as­si­cu­ra­re un coor­di­na­men­to ot­ti­ma­le dei la­vo­ri dei Can­to­ni e del­la Con­fe­de­ra­zio­ne vol­to a pro­teg­ge­re la Sviz­ze­ra dai ci­ber-ri­schi;

d.

rap­pre­sen­ta­re il NC­SC ne­gli sta­ti mag­gio­ri di cri­si del­la Con­fe­de­ra­zio­ne;

e.

ema­na­re di­ret­ti­ve in ma­te­ria di si­cu­rez­za in­for­ma­ti­ca;

f.⁹

de­ci­de­re sul­le de­ro­ghe al­le di­ret­ti­ve che ha ema­na­to; se que­ste de­ro­ghe ri­guar­da­no an­che le di­ret­ti­ve del­la Can­cel­le­ria fe­de­ra­le con­cer­nen­ti la tra­sfor­ma­zio­ne di­gi­ta­le e la go­ver­nan­ce del­le TIC, il de­le­ga­to al­la ci­ber­si­cu­rez­za con­sul­ta pre­via­men­te que­st’ul­ti­ma.

² Il de­le­ga­to al­la ci­ber­si­cu­rez­za in­for­ma re­go­lar­men­te il DFF, all’at­ten­zio­ne del Con­si­glio fe­de­ra­le, sul­lo sta­to del­la si­cu­rez­za in­for­ma­ti­ca nei di­par­ti­men­ti e nel­la Can­cel­le­ria fe­de­ra­le.

³ Egli può par­te­ci­pa­re all’ela­bo­ra­zio­ne di di­ret­ti­ve in­for­ma­ti­che dell’Am­mi­ni­stra­zio­ne fe­de­ra­le che ri­guar­da­no la ci­ber­si­cu­rez­za e a pro­get­ti in­for­ma­ti­ci ri­le­van­ti dal pro­fi­lo del­la si­cu­rez­za. Se­gna­ta­men­te può ri­chie­de­re in­for­ma­zio­ni, pro­nun­ciar­si in me­ri­to ed esi­ge­re mo­di­fi­che.

⁴ Egli può esi­ge­re ve­ri­fi­che del­la si­cu­rez­za in­for­ma­ti­ca do­po aver sen­ti­to il Con­trol­lo fe­de­ra­le del­le fi­nan­ze.

¹ Il NC­SC è il cen­tro di com­pe­ten­za del­la Con­fe­de­ra­zio­ne in ma­te­ria di ci­ber-ri­schi che coor­di­na i la­vo­ri del­la Con­fe­de­ra­zio­ne nel set­to­re del­la ci­ber­si­cu­rez­za. Es­so ha i se­guen­ti com­pi­ti:

a.

ge­sti­re il ser­vi­zio na­zio­na­le di con­tat­to per le que­stio­ni le­ga­te ai ci­ber-ri­schi; que­sto ser­vi­zio ri­ce­ve e ana­liz­za le se­gna­la­zio­ni dell’Am­mi­ni­stra­zio­ne fe­de­ra­le, del set­to­re eco­no­mi­co, dei Can­to­ni e del­la po­po­la­zio­ne e, se ne­ces­sa­rio, for­mu­la rac­co­man­da­zio­ni al ri­guar­do;

b.

for­ni­re, in­sie­me ai part­ner com­pe­ten­ti dell’Am­mi­ni­stra­zio­ne fe­de­ra­le, sup­por­to sus­si­dia­rio ai ge­sto­ri di in­fra­strut­tu­re cri­ti­che e pro­muo­ve­re tra que­sti lo scam­bio di in­for­ma­zio­ni sui ci­ber-ri­schi;

c.

ge­sti­re il «Com­pu­ter Emer­gen­cy Re­spon­se Team» (Gov­CERT); es­so co­sti­tui­sce il ser­vi­zio spe­cia­liz­za­to na­zio­na­le per la ge­stio­ne tec­ni­ca de­gli in­ci­den­ti, l’ana­li­si di pro­ble­ma­ti­che tec­ni­che, la va­lu­ta­zio­ne del­le mi­nac­ce dal pro­fi­lo tec­ni­co e il sup­por­to tec­ni­co del ser­vi­zio na­zio­na­le di con­tat­to;

d.

ge­sti­re il ser­vi­zio spe­cia­liz­za­to per la si­cu­rez­za in­for­ma­ti­ca del­la Con­fe­de­ra­zio­ne; que­sto ser­vi­zio ela­bo­ra di­ret­ti­ve in ma­te­ria di si­cu­rez­za in­for­ma­ti­ca, of­fre con­su­len­za al­le uni­tà am­mi­ni­stra­ti­ve per la ri­spet­ti­va at­tua­zio­ne e ri­le­va lo sta­to del­la si­cu­rez­za in­for­ma­ti­ca pres­so i di­par­ti­men­ti e la Can­cel­le­ria fe­de­ra­le;

e.

de­si­gna­re gli in­ca­ri­ca­ti del­la si­cu­rez­za in­for­ma­ti­ca del­la Con­fe­de­ra­zio­ne (ISIC);

f.

coor­di­na­re l’at­tua­zio­ne del­la SN­PC, ese­gui­re il con­trol­ling stra­te­gi­co e pre­pa­ra­re le se­du­te del Co­mi­ta­to ri­stret­to Ci­ber e del CD SN­PC;

g.

di­spor­re di un pool di esper­ti in­ca­ri­ca­ti di for­ni­re sup­por­to agli uf­fi­ci spe­cia­liz­za­ti nell’at­tua­zio­ne del­le mi­su­re de­fi­ni­te nel­la SN­PC non­ché nel­lo svi­lup­po, nell’at­tua­zio­ne e nell’esa­me di stan­dard e nor­me in ma­te­ria di ci­ber­si­cu­rez­za;

h.

con­tri­bui­re con in­for­ma­zio­ni mi­ra­te a sen­si­bi­liz­za­re l’Am­mi­ni­stra­zio­ne fe­de­ra­le e il pub­bli­co sui ci­ber-ri­schi, in­for­ma­re sul­la si­tua­zio­ne at­tua­le ed ema­na­re istru­zio­ni per l’ado­zio­ne di mi­su­re pre­ven­ti­ve e reat­ti­ve;

i.

ge­sti­re un’in­fra­strut­tu­ra di ana­li­si e co­mu­ni­ca­zio­ne re­si­lien­te in gra­do di fun­zio­na­re in­di­pen­den­te­men­te dal re­sto dell’in­for­ma­ti­ca del­la Con­fe­de­ra­zio­ne;

j.

in­for­ma­re il Co­mi­ta­to ri­stret­to Ci­ber sui ci­be­rin­ci­den­ti ri­le­van­ti e, se que­sti ul­ti­mi so­no d’in­te­res­se per la po­li­ti­ca este­ra e la po­li­ti­ca di si­cu­rez­za, an­che il Co­mi­ta­to ri­stret­to Si­cu­rez­za del­la Con­fe­de­ra­zio­ne.

² Il NC­SC può trat­ta­re i da­ti sui ci­be­rin­ci­den­ti e sui re­la­ti­vi flus­si di co­mu­ni­ca­zio­ne, qua­lo­ra ciò ser­va a pro­teg­ge­re di­ret­ta­men­te o in­di­ret­ta­men­te l’Am­mi­ni­stra­zio­ne fe­de­ra­le dai ci­ber-ri­schi. Può co­mu­ni­ca­re i da­ti a grup­pi sta­ta­li o pri­va­ti in­ca­ri­ca­ti del­la si­cu­rez­za, sem­pre che:

a.

il for­ni­to­re di da­ti ab­bia da­to il suo con­sen­so; e

b.

non sia vio­la­to al­cu­no ob­bli­go le­ga­le di man­te­ne­re il se­gre­to.

³ La co­mu­ni­ca­zio­ne di da­ti per­so­na­li all’este­ro è am­mes­sa sol­tan­to se so­no ri­spet­ta­te le per­ti­nen­ti pre­scri­zio­ni del­la le­gi­sla­zio­ne fe­de­ra­le sul­la pro­te­zio­ne dei da­ti.

⁴ I da­ti per­so­na­li de­gni di par­ti­co­la­re pro­te­zio­ne pos­so­no es­se­re trat­ta­ti so­lo se esi­ste la ne­ces­sa­ria ba­se le­ga­le che au­to­riz­za il lo­ro trat­ta­men­to me­dian­te i mez­zi in­for­ma­ti­ci del­la Con­fe­de­ra­zio­ne.

⁵ Nel ca­so di un ci­be­rin­ci­den­te che mi­nac­cia il cor­ret­to fun­zio­na­men­to dell’Am­mi­ni­stra­zio­ne fe­de­ra­le, do­po aver con­sul­ta­to i ser­vi­zi in­te­res­sa­ti il NC­SC as­su­me in se­no all’Am­mi­ni­stra­zio­ne fe­de­ra­le la re­spon­sa­bi­li­tà prin­ci­pa­le del­la sua ge­stio­ne. A tal fi­ne, gli so­no as­se­gna­ti i com­pi­ti e le com­pe­ten­ze se­guen­ti:

a.

ob­bli­ga­re, se ne­ces­sa­rio, i for­ni­to­ri e i be­ne­fi­cia­ri di pre­sta­zio­ni in­te­res­sa­ti a for­nir­gli tut­te le in­for­ma­zio­ni ne­ces­sa­rie;

b.

or­di­na­re, se ne­ces­sa­rio, mi­su­re ur­gen­ti;

c.

in­for­ma­re la di­re­zio­ne del­le uni­tà am­mi­ni­stra­ti­ve in­te­res­sa­te su­gli svi­lup­pi del­la si­tua­zio­ne.

⁶ Se, do­po un ci­be­rin­ci­den­te, le mi­su­re adot­ta­te han­no per­mes­so di ri­dur­re suf­fi­cien­te­men­te la mi­nac­cia per la con­fi­den­zia­li­tà o il fun­zio­na­men­to dell’Am­mi­ni­stra­zio­ne fe­de­ra­le e i ne­ces­sa­ri la­vo­ri suc­ces­si­vi non­ché il lo­ro fi­nan­zia­men­to so­no sta­ti de­fi­ni­ti, il NC­SC tra­smet­te la re­spon­sa­bi­li­tà del se­gui­to dei la­vo­ri ai ser­vi­zi in­te­res­sa­ti.

¹ Al­la fi­ne dell’an­no i di­par­ti­men­ti e la Can­cel­le­ria fe­de­ra­le ri­fe­ri­sco­no al NC­SC in me­ri­to al­lo sta­to del­la si­cu­rez­za in­for­ma­ti­ca.

² I for­ni­to­ri di pre­sta­zio­ni in­ter­ni di cui all’ar­ti­co­lo 9 OT­DI¹⁰ in­for­ma­no re­go­lar­men­te il NC­SC sul­le vul­ne­ra­bi­li­tà sco­per­te e sui ci­be­rin­ci­den­ti, non­ché sul­le mi­su­re pre­vi­ste e adot­ta­te per por­vi ri­me­dio.¹¹

³ I di­par­ti­men­ti e la Can­cel­le­ria fe­de­ra­le de­si­gna­no cia­scu­no un in­ca­ri­ca­to del­la si­cu­rez­za in­for­ma­ti­ca (ISID), che ope­ra su in­ca­ri­co di­ret­to del­la di­re­zio­ne del di­par­ti­men­to.¹²

⁴ Gli ISID han­no se­gna­ta­men­te i se­guen­ti com­pi­ti:

a.

coor­di­na­re tut­ti gli aspet­ti del­la si­cu­rez­za in­for­ma­ti­ca all’in­ter­no del di­par­ti­men­to o del­la Can­cel­le­ria fe­de­ra­le non­ché con i ser­vi­zi pre­po­sti al coor­di­na­men­to e al­la col­la­bo­ra­zio­ne in­ter­di­par­ti­men­ta­li;

b.

ela­bo­ra­re le ba­si ne­ces­sa­rie per l’at­tua­zio­ne del­le di­ret­ti­ve in ma­te­ria di si­cu­rez­za in­for­ma­ti­ca e per l’or­ga­niz­za­zio­ne a li­vel­lo di di­par­ti­men­to o del­la Can­cel­le­ria fe­de­ra­le.¹³

⁵ I di­par­ti­men­ti e la Can­cel­le­ria fe­de­ra­le di­sci­pli­na­no il rap­por­to tra l’ISID e l’in­ca­ri­ca­to del­la si­cu­rez­za in­for­ma­ti­ca del­le uni­tà am­mi­ni­stra­ti­ve (ISIU), se­gna­ta­men­te la re­spon­sa­bi­li­tà tec­ni­ca per le que­stio­ni di si­cu­rez­za.¹⁴

¹ Ogni uni­tà am­mi­ni­stra­ti­va de­si­gna il pro­prio ISIU, che ope­ra su in­ca­ri­co di­ret­to del­la di­re­zio­ne dell’uni­tà am­mi­ni­stra­ti­va. Il set­to­re Tra­sfor­ma­zio­ne di­gi­ta­le e go­ver­nan­ce del­le TIC del­la Can­cel­le­ria fe­de­ra­le (set­to­re TDT) de­si­gna inol­tre un in­ca­ri­ca­to del­la si­cu­rez­za in­for­ma­ti­ca per i ser­vi­zi stan­dard.

² Gli ISIU e l’in­ca­ri­ca­to del­la si­cu­rez­za in­for­ma­ti­ca per i ser­vi­zi stan­dard han­no i se­guen­ti com­pi­ti:

a.

ga­ran­ti­re una ra­pi­da at­tua­zio­ne del­le di­ret­ti­ve in ma­te­ria di si­cu­rez­za in­for­ma­ti­ca e l’ap­pli­ca­zio­ne del­le pro­ce­du­re di si­cu­rez­za (cap. 3a.);

b.

prov­ve­de­re af­fin­ché al mo­men­to dell’as­sun­zio­ne, e in se­gui­to pe­rio­di­ca­men­te, i col­la­bo­ra­to­ri ven­ga­no sen­si­bi­liz­za­ti e istrui­ti sui te­mi le­ga­ti al­la si­cu­rez­za in­for­ma­ti­ca e co­no­sca­no le com­pe­ten­ze e i pro­ces­si del­la si­cu­rez­za in­for­ma­ti­ca nel lo­ro am­bi­to la­vo­ra­ti­vo, a se­con­da del li­vel­lo ge­rar­chi­co e del­la fun­zio­ne;

c.

in­for­ma­re il re­spon­sa­bi­le dell’uni­tà am­mi­ni­stra­ti­va al­me­no ogni sei me­si sul­lo sta­to del­la si­cu­rez­za in­for­ma­ti­ca all’in­ter­no dell’uni­tà am­mi­ni­stra­ti­va.

³ Le uni­tà am­mi­ni­stra­ti­ve so­no re­spon­sa­bi­li del­la si­cu­rez­za dei pro­pri og­get­ti in­for­ma­ti­ci da pro­teg­ge­re. Han­no le se­guen­ti fun­zio­ni:

a.

te­ne­re un in­ven­ta­rio dei lo­ro og­get­ti in­for­ma­ti­ci da pro­teg­ge­re e adot­ta­re le ne­ces­sa­rie mi­su­re di si­cu­rez­za; prov­ve­de­re se­gna­ta­men­te af­fin­ché la do­cu­men­ta­zio­ne di que­ste mi­su­re sia ag­gior­na­ta per ogni og­get­to in­for­ma­ti­co da pro­teg­ge­re;

b.

ga­ran­ti­re il ri­spet­to e l’at­tua­zio­ne del­le di­ret­ti­ve in ma­te­ria di si­cu­rez­za in­for­ma­ti­ca, del­le pro­ce­du­re di si­cu­rez­za non­ché del­le de­ci­sio­ni del Con­si­glio fe­de­ra­le, dell’NC­SC e dei di­par­ti­men­ti o del­la Can­cel­le­ria fe­de­ra­le nel lo­ro set­to­re di com­pe­ten­za;

c.

fat­to sal­vo l’ar­ti­co­lo 12 ca­po­ver­so 5, ge­sti­re i ci­be­rin­ci­den­ti che ri­guar­da­no i lo­ro og­get­ti in­for­ma­ti­ci da pro­teg­ge­re;

d.

in ca­so di ac­qui­si­zio­ne di pre­sta­zio­ni pres­so un for­ni­to­re ester­no, ga­ran­ti­re che le di­ret­ti­ve in ma­te­ria di si­cu­rez­za in­for­ma­ti­ca sia­no par­te in­te­gran­te del rap­por­to con­trat­tua­le con il for­ni­to­re;

e.

ve­ri­fi­ca­re in mo­do ap­pro­pria­to che i for­ni­to­ri ester­ni ri­spet­ti­no le di­ret­ti­ve in ma­te­ria di si­cu­rez­za in­for­ma­ti­ca;

f.

as­si­cu­ra­re che le re­spon­sa­bi­li­tà per la si­cu­rez­za in­for­ma­ti­ca a li­vel­lo ope­ra­ti­vo sia­no de­fi­ni­te ne­gli ac­cor­di di pro­get­to e di pre­sta­zio­ne tra i for­ni­to­ri di pre­sta­zio­ni e i be­ne­fi­cia­ri di pre­sta­zio­ni;

g.

prov­ve­de­re af­fin­ché le per­so­ne a cui la pre­sen­te or­di­nan­za non è ap­pli­ca­bi­le pos­sa­no ac­ce­de­re all’in­fra­strut­tu­ra in­for­ma­ti­ca del­la Con­fe­de­ra­zio­ne sol­tan­to se si im­pe­gna­no a ri­spet­ta­re le di­ret­ti­ve in ma­te­ria di si­cu­rez­za in­for­ma­ti­ca.

⁴ I for­ni­to­ri di pre­sta­zio­ni han­no le se­guen­ti fun­zio­ni:

a.

su ri­chie­sta, met­te­re a di­spo­si­zio­ne dei be­ne­fi­cia­ri di pre­sta­zio­ni in for­ma ade­gua­ta tut­te le in­for­ma­zio­ni ne­ces­sa­rie al­la pro­te­zio­ne de­gli og­get­ti in­for­ma­ti­ci da pro­teg­ge­re;

b.

ga­ran­ti­re di di­spor­re del­le ca­pa­ci­tà ne­ces­sa­rie al­le ana­li­si tec­ni­che e al­la ge­stio­ne dei ci­be­rin­ci­den­ti che pos­so­no ve­ri­fi­car­si ai lo­ro dan­ni o ai dan­ni dei be­ne­fi­cia­ri di pre­sta­zio­ni;

c.

co­mu­ni­ca­re sen­za in­du­gio ai be­ne­fi­cia­ri di pre­sta­zio­ni le vul­ne­ra­bi­li­tà sco­per­te e gli in­ci­den­ti le­ga­ti al­la si­cu­rez­za ri­guar­dan­ti i lo­ro og­get­ti in­for­ma­ti­ci da pro­teg­ge­re;

d.

de­fi­ni­re in col­la­bo­ra­zio­ne con i be­ne­fi­cia­ri di pre­sta­zio­ni un pro­ces­so di ge­stio­ne dei ci­be­rin­ci­den­ti; que­sto pro­ces­so di­sci­pli­na se­gna­ta­men­te le com­pe­ten­ze de­ci­sio­na­li per l’ado­zio­ne di mi­su­re ur­gen­ti.

⁵ Se un ci­be­rin­ci­den­te non può es­se­re ge­sti­to nell’am­bi­to del pro­ces­so de­fi­ni­to, gli in­te­res­sa­ti in­for­ma­no l’NC­SC al fi­ne di de­ter­mi­na­re l’ul­te­rio­re mo­do di pro­ce­de­re.

⁶ Le uni­tà am­mi­ni­stra­ti­ve con­sul­ta­no l’NC­SC in me­ri­to a di­ret­ti­ve e pro­get­ti in­for­ma­ti­ci ri­le­van­ti dal pro­fi­lo del­la si­cu­rez­za.

⁷ So­no re­spon­sa­bi­li del­lo svi­lup­po, dell’at­tua­zio­ne e dell’esa­me di stan­dard e nor­me in ma­te­ria di ci­ber­si­cu­rez­za nei lo­ro set­to­ri. Per quan­to pos­si­bi­le, l’NC­SC met­te a lo­ro di­spo­si­zio­ne esper­ti del pool di cui all’ar­ti­co­lo 12 ca­po­ver­so 1 let­te­ra g.

I col­la­bo­ra­to­ri dell’Am­mi­ni­stra­zio­ne fe­de­ra­le che uti­liz­za­no mez­zi in­for­ma­ti­ci so­no re­spon­sa­bi­li del lo­ro uti­liz­zo con­for­me al­le pre­scri­zio­ni.

¹ Le uni­tà am­mi­ni­stra­ti­ve ga­ran­ti­sco­no che tut­ti gli og­get­ti in­for­ma­ti­ci da pro­teg­ge­re sia­no sta­ti sot­to­po­sti a un’ana­li­si re­cen­te del bi­so­gno di pro­te­zio­ne. Per i pro­get­ti IT de­vo­no ese­gui­re l’ana­li­si del bi­so­gno di pro­te­zio­ne pri­ma dell’av­vio del pro­get­to.

² Nell’am­bi­to dell’ana­li­si del bi­so­gno di pro­te­zio­ne va­lu­ta­no gli aspet­ti del­la con­fi­den­zia­li­tà, dell’ac­ces­si­bi­li­tà, dell’in­te­gri­tà, del­la trac­cia­bi­li­tà e del­la mi­nac­cia di spio­nag­gio da par­te dei ser­vi­zi di in­for­ma­zio­ne.

Le uni­tà am­mi­ni­stra­ti­ve at­tua­no le di­ret­ti­ve per la pro­te­zio­ne di ba­se per tut­ti gli og­get­ti in­for­ma­ti­ci da pro­teg­ge­re e do­cu­men­ta­no l’at­tua­zio­ne.

¹ Se dall’ana­li­si del bi­so­gno di pro­te­zio­ne ri­sul­ta un bi­so­gno di pro­te­zio­ne ele­va­to, ol­tre all’at­tua­zio­ne del­le di­ret­ti­ve in ma­te­ria di si­cu­rez­za per la pro­te­zio­ne di ba­se le uni­tà am­mi­ni­stra­ti­ve de­fi­ni­sco­no, sul­la ba­se di un’ana­li­si dei ri­schi, ul­te­rio­ri mi­su­re di si­cu­rez­za, le do­cu­men­ta­no e le at­tua­no.

² Le uni­tà am­mi­ni­stra­ti­ve ri­le­va­no e do­cu­men­ta­no i ri­schi che non pos­so­no es­se­re ri­dot­ti o pos­so­no es­ser­lo sol­tan­to in mi­su­ra in­suf­fi­cien­te (ri­schi re­si­dui). Il com­mit­ten­te del pro­get­to, il re­spon­sa­bi­le dei pro­ces­si azien­da­li e la di­re­zio­ne dell’uni­tà am­mi­ni­stra­ti­va pren­do­no at­to dei ri­schi re­si­dui e ne dan­no con­fer­ma per scrit­to.

³ Spet­ta al re­spon­sa­bi­le dell’uni­tà am­mi­ni­stra­ti­va com­pe­ten­te de­ci­de­re se as­su­me­re i ri­schi re­si­dui no­ti.

¹ Le pro­ce­du­re di si­cu­rez­za de­vo­no es­se­re ese­gui­te al­me­no ogni cin­que an­ni.

² De­vo­no es­se­re ese­gui­te sen­za in­du­gio se l’og­get­to in­for­ma­ti­co da pro­teg­ge­re o la si­tua­zio­ne di mi­nac­cia su­bi­sco­no mo­di­fi­che ri­le­van­ti per la si­cu­rez­za.

La mo­di­fi­ca di al­tri at­ti nor­ma­ti­vi è di­sci­pli­na­ta nell’al­le­ga­to.

¹ Le au­to­ri­tà, le or­ga­niz­za­zio­ni e le per­so­ne di di­rit­to pub­bli­co o pri­va­to che, pri­ma dell’en­tra­ta in vi­go­re del­la pre­sen­te or­di­nan­za, si so­no im­pe­gna­te me­dian­te un ac­cor­do con l’Or­ga­no di­re­zio­ne in­for­ma­ti­ca del­la Con­fe­de­ra­zio­ne (ODIC) a ri­spet­ta­re le di­spo­si­zio­ni dell’or­di­nan­za del 9 di­cem­bre 2011¹⁹ sull’in­for­ma­ti­ca nell’Am­mi­ni­stra­zio­ne fe­de­ra­le sot­to­stan­no si­no al 31 di­cem­bre 2021 agli ob­bli­ghi del­la pre­sen­te or­di­nan­za nel­la mi­su­ra del re­gi­me pre­ce­den­te.²⁰

² Sot­to­stan­no al­la pre­sen­te or­di­nan­za a par­ti­re dal 1° gen­na­io 2022, sem­pre che l’ac­cor­do non sia sta­to sciol­to al più tar­di con ef­fet­to al 31 di­cem­bre 2021.

¹ Le di­ret­ti­ve sul­la si­cu­rez­za TIC ema­na­te dall’ODIC e le de­ro­ghe da es­so au­to­riz­za­te pri­ma dell’en­tra­ta in vi­go­re del­la pre­sen­te or­di­nan­za ri­man­go­no ap­pli­ca­bi­li.

² Il NC­SC de­ci­de in me­ri­to a even­tua­li mo­di­fi­che del­le di­ret­ti­ve e del­le de­ro­ghe au­to­riz­za­te.

La pre­sen­te or­di­nan­za en­tra in vi­go­re il 1° lu­glio 2020.