01.04.2021 - Al fine di semplificare la sistematica e il contenuto delle direttive in materia di sicurezza informatica e di ciber-rischi per l’Amministrazione federale, le «Istruzioni del Consiglio federale sulla sicurezza TIC nell’Amministrazione federale» sono state trasposte nell’ordinanza sui ciber-rischi (OCiber). A seguito della modifica è stato necessario adeguare di conseguenza le direttive sulla sicurezza informatica emanate dal delegato federale alla cibersicurezza. L’OCiber riveduta e le direttive entrano in vigore il 1° aprile 2021.
Con l’ordinanza del 27 maggio 2020 sui ciber-rischi (OCiber) il Consiglio federale ha emanato un atto specifico e mirato alla riduzione dei ciber-rischi e alla sicurezza informatica nell’Amministrazione federale.
Le direttive sulla procedura di sicurezza sono tuttavia state emanate ancora separatamente come istruzioni. Poiché questa soluzione non si è dimostrata né pratica né utile, le «Istruzioni del Consiglio federale sulla sicurezza TIC nell’Amministrazione federale» sono state abrogate e il loro contenuto è stato trasposto nell’OCiber.
In questo modo si è ottenuta una semplificazione della sistematica e del contenuto. In futuro le direttive relative al processo e alla relativa documentazione verranno emanate direttamente dal delegato federale alla cibersicurezza nel quadro delle direttive in materia di sicurezza informatica. Questo consente una maggiore flessibilità nell’adeguamento delle direttive e rafforza il ruolo del delegato.
I temi principali trasposti dalle istruzioni all’OCiber, sono i seguenti:
- i compiti degli incaricati della sicurezza informatica dei dipartimenti (ISID);
- la designazione degli incaricati della sicurezza informatica a livello di unità organizzativa (ISIU) nelle unità amministrative e la definizione dei loro compiti;
- la responsabilità dei collaboratori dell’Amministrazione federale nella gestione dei mezzi informatici;
- le direttive sulla procedura di sicurezza a livello di Confederazione, che costituiscono la base per lo svolgimento sicuro di tutti i processi aziendali informatici. Nel concreto si tratta, per esempio, dell’analisi del bisogno di protezione, dell’attuazione delle direttive sulla protezione di base, della procedura in caso di bisogno di protezione elevato ecc.
Il 1° aprile entra in vigore l’OCiber riveduta e nel contempo vengono abrogate le istruzioni.
