Legge federale del 18 dicembre 2020 sulla sicurezza delle informazioni (LSIn) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Legge federale del 18 dicembre 2020 sulla sicurezza delle informazioni in seno alla Confederazione (Legge sulla sicurezza delle informazioni, LSIn)" shortForm="LSIn"/><FRBRname xml:lang="de" value="Bundesgesetz vom 18. Dezember 2020 über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG)" shortForm="ISG"/><FRBRname xml:lang="fr" value="Loi fédérale du 18 décembre 2020 sur la sécurité de l’information au sein de la Confédération (Loi sur la sécurité de l’information, LSI)" shortForm="LSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/it/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/it"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="it"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/it/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/it/xml"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.6"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Cancelleria federale"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/ITA" showAs="it"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>128 </docNumber></p><p><docTitle>Legge federale <br/>sulla sicurezza delle informazioni</docTitle></p><p>(LSIn) <inline name="man-font-weight-normal"><authorialNote><p> Nuovo testo giusta la cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></inline></p><p>del 18 dicembre 2020 (Stato 1° aprile 2025)</p></preface><preamble><p>L’Assemblea federale della Confederazione Svizzera,</p><p>visti gli articoli 54 capoverso 1, 60 capoverso 1, 101, 102 capoverso 1 e <br/>173 capoverso 1 lettere a e b nonché capoverso 2 della Costituzione federale<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1999/404" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>101</b></ref></p></authorialNote>;<br/>visto il messaggio del Consiglio federale del 22 febbraio 2017<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/fga/2017/647" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2017</b> 2563</ref></p></authorialNote>,</p><p>decreta:</p></preamble><body><chapter eId="chap_1"><num>Capitolo 1: </num><heading>Disposizioni generali</heading><article eId="art_1"><num><b>Art. 1</b></num><heading>Scopo</heading><paragraph eId="art_1/para_1"><num>1</num><content><blockList><listIntroduction eId="art_1/para_1/listintro"> La presente legge ha lo scopo di:</listIntroduction><item eId="art_1/para_1/lbl_a"><num>a. </num><p>garantire il trattamento sicuro delle informazioni di competenza della Confederazione nonché l’impiego sicuro dei mezzi informatici della Confederazione;</p></item><item eId="art_1/para_1/lbl_b"><num>b. </num><p>aumentare la capacità della Svizzera di fronteggiare le ciberminacce.<authorialNote><p> Nuovo testo giusta la cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></p></item></blockList></content></paragraph><paragraph eId="art_1/para_2"><num>2</num><content><blockList><listIntroduction eId="art_1/para_2/listintro"> Mira in tal modo a tutelare gli interessi pubblici seguenti:</listIntroduction><item eId="art_1/para_2/lbl_a"><num>a. </num><p>la capacità di decisione e d’azione delle autorità e organizzazioni della Confederazione; </p></item><item eId="art_1/para_2/lbl_b"><num>b. </num><p>la sicurezza interna ed esterna della Svizzera;</p></item><item eId="art_1/para_2/lbl_c"><num>c. </num><p>gli interessi della politica estera della Svizzera;</p></item><item eId="art_1/para_2/lbl_d"><num>d. </num><p>gli interessi della politica economica, finanziaria e monetaria della Svizzera; </p></item><item eId="art_1/para_2/lbl_e"><num>e. </num><p>l’adempimento degli obblighi legali e contrattuali delle autorità e organizzazioni della Confederazione in materia di protezione delle informazioni.</p></item></blockList></content></paragraph></article><article eId="art_2"><num><b>Art. 2</b></num><heading>Autorità e organizzazioni assoggettate</heading><paragraph eId="art_2/para_1"><num>1</num><content><blockList><listIntroduction eId="art_2/para_1/listintro"> La presente legge si applica alle autorità seguenti (autorità assoggettate):</listIntroduction><item eId="art_2/para_1/lbl_a"><num>a. </num><p>l’Assemblea federale;</p></item><item eId="art_2/para_1/lbl_b"><num>b. </num><p>il Consiglio federale;</p></item><item eId="art_2/para_1/lbl_c"><num>c. </num><p>i tribunali della Confederazione;</p></item><item eId="art_2/para_1/lbl_d"><num>d. </num><p>il Ministero pubblico della Confederazione e l’Autorità di vigilanza sul Ministero pubblico della Confederazione; </p></item><item eId="art_2/para_1/lbl_e"><num>e. </num><p>la Banca nazionale svizzera. </p></item></blockList></content></paragraph><paragraph eId="art_2/para_2"><num>2</num><content><blockList><listIntroduction eId="art_2/para_2/listintro"> Si applica alle organizzazioni seguenti (organizzazioni assoggettate):</listIntroduction><item eId="art_2/para_2/lbl_a"><num>a. </num><p>i Servizi del Parlamento;</p></item><item eId="art_2/para_2/lbl_b"><num>b. </num><p>l’Amministrazione federale;</p></item><item eId="art_2/para_2/lbl_c"><num>c. </num><p>le amministrazioni dei tribunali della Confederazione;</p></item><item eId="art_2/para_2/lbl_d"><num>d. </num><p>l’esercito;</p></item><item eId="art_2/para_2/lbl_e"><num>e. </num><p>le organizzazioni di cui all’articolo 2 capoverso 4 della legge del 21 marzo 1997<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2022_2022_2022" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.010</b></ref></p></authorialNote> sull’organizzazione del Governo e dell’Amministrazione (LOGA), per i loro compiti amministrativi.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_3"><num>3</num><content><blockList><listIntroduction eId="art_2/para_3/listintro"> Il Consiglio federale può limitare il campo d’applicazione della presente legge per le organizzazioni di cui all’articolo 2 capoversi 3 e 4 LOGA a quelle che:</listIntroduction><item eId="art_2/para_3/lbl_a"><num>a. </num><p>esercitano attività sensibili sotto il profilo della sicurezza; o</p></item><item eId="art_2/para_3/lbl_b"><num>b. </num><p>per l’adempimento dei loro compiti impiegano o accedono a mezzi informatici della Confederazione.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_4"><num>4</num><content><p> Può limitare a talune disposizioni della presente legge il campo d’applicazione secondo il capoverso 3. Al riguardo, tiene conto dell’autonomia esecutiva delle organizzazioni interessate in virtù delle rispettive disposizioni organizzative.</p></content></paragraph><paragraph eId="art_2/para_5"><num>5</num><content><p> Alle organizzazioni di diritto pubblico o privato che gestiscono infrastrutture critiche ma che non sono contemplate ai capoversi 1‒3 si applicano gli articoli 73<i>a</i>–79.<authorialNote><p> Nuovo testo del per. giusta la cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025  (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote> La legislazione speciale può dichiarare applicabili altre disposizioni della presente legge.</p></content></paragraph></article><article eId="art_3"><num><b>Art. 3</b></num><heading>Applicabilità ai Cantoni</heading><paragraph eId="art_3/para_1"><num>1</num><content><blockList><listIntroduction eId="art_3/para_1/listintro"> Ai Cantoni si applicano unicamente le disposizioni concernenti: </listIntroduction><item eId="art_3/para_1/lbl_a"><num>a. </num><p>le informazioni classificate, qualora essi trattino informazioni classificate della Confederazione; e</p></item><item eId="art_3/para_1/lbl_b"><num>b. </num><p>la sicurezza nell’impiego dei mezzi informatici, qualora essi accedano a mezzi informatici della Confederazione.</p></item></blockList></content></paragraph><paragraph eId="art_3/para_2"><num>2</num><content><p> Le disposizioni di cui al capoverso 1 non si applicano se i Cantoni garantiscono una sicurezza delle informazioni almeno equivalente.</p></content></paragraph></article><article eId="art_4"><num><b>Art. 4</b></num><heading>Rapporto con altre leggi federali</heading><paragraph eId="art_4/para_1"><num>1</num><content><p> La legge del 17 dicembre 2004<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2006/355" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>152.3</b></ref></p></authorialNote> sulla trasparenza (LTras) prevale sulla presente legge.<authorialNote><p> Nuovo testo giusta la cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_4/para_1_bis"><num>1bis</num><content><p> Le informazioni provenienti da terzi di cui l’Ufficio federale della cibersicurezza (UFCS) viene a conoscenza nella sua attività di ricezione e analisi di segnalazioni secondo il capitolo 5 non possono essere rese accessibili secondo la LTras. Non sono considerati terzi le autorità, le organizzazioni e le persone menzionate all’articolo 2 capoverso 1 LTras. <authorialNote><p> Introdotto dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/168" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 168</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p> Nel caso di informazioni la cui protezione è disciplinata anche in altre leggi federali, le disposizioni della presente legge si applicano a titolo completivo.</p></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Definizioni</heading><paragraph eId="art_5/para"><content><blockList><listIntroduction eId="art_5/para/listintro">Ai sensi della presente legge s’intende per:</listIntroduction><item eId="art_5/para/lbl_a"><num>a. </num><p><i>mezzi informatici:</i> mezzi delle tecnologie dell’informazione e della comunicazione, segnatamente applicazioni, sistemi d’informazione e collezioni di dati nonché installazioni, prodotti e servizi che servono all’elaborazione elettronica delle informazioni;</p></item><item eId="art_5/para/lbl_b"><num>b. </num><blockList><listIntroduction eId="art_5/para/lbl_b/listintro"><i>attività sensibile sotto il profilo della sicurezza:</i></listIntroduction><item eId="art_5/para/lbl_b/lbl_1"><num>1. </num><p>il trattamento di informazioni classificate «confidenziale» o «segreto», </p></item><item eId="art_5/para/lbl_b/lbl_2"><num>2. </num><p>l’amministrazione, l’esercizio, la manutenzione e la verifica di mezzi informatici del livello di sicurezza «protezione elevata» o «protezione molto elevata»,</p></item><item eId="art_5/para/lbl_b/lbl_3"><num>3. </num><p>l’accesso a zone di sicurezza, in particolare alle zone di protezione 2 o 3 di un’opera secondo la legislazione sulla protezione delle opere militari;</p></item></blockList></item><item eId="art_5/para/lbl_c"><num>c. </num><p><i>infrastrutture critiche: </i>le infrastrutture per l’approvvigionamento di acqua potabile e di energia, le infrastrutture nei settori dell’informazione, della comunicazione e dei trasporti nonché altri processi, sistemi e installazioni essenziali per il funzionamento dell’economia e per il benessere della popolazione;</p></item><item eId="art_5/para/lbl_d"><num>d.<authorialNote><p> Introdotta dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote> </num><p><i>ciberincidente:</i> un evento che si verifica nell’utilizzo di mezzi informatici e che compromette la confidenzialità, la disponibilità o l’integrità delle informazioni o la tracciabilità del loro trattamento;</p></item><item eId="art_5/para/lbl_e"><num>e.<authorialNote><p> Introdotta dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote> </num><p><i>ciberattacco: </i>un ciberincidente provocato intenzionalmente;</p></item><item eId="art_5/para/lbl_f"><num>f.<authorialNote><p> Introdotta dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote> </num><p><i>ciberminaccia</i><i>:</i> qualsiasi circostanza o evento che ha il potenziale di provocare un ciberincidente;</p></item><item eId="art_5/para/lbl_g"><num>g.<authorialNote><p> Introdotta dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>;  <ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>).</p></authorialNote> </num><p><i>vulnerabilità</i><i>:</i> una ciberminaccia riconducibile a punti deboli o errori nei mezzi informatici.</p></item></blockList></content></paragraph></article></chapter><chapter eId="chap_2"><num>Capitolo 2: </num><heading>Misure generali</heading><section eId="chap_2/sec_1"><num>Sezione 1: </num><heading>Principi</heading><article eId="art_6"><num><b>Art. 6</b></num><heading>Sicurezza delle informazioni</heading><paragraph eId="art_6/para_1"><num>1</num><content><p> Le autorità e organizzazioni assoggettate provvedono affinché le necessità di protezione delle informazioni per le quali sono competenti siano valutate sotto il profilo di un eventuale pregiudizio degli interessi di cui all’articolo 1 capoverso 2.</p></content></paragraph><paragraph eId="art_6/para_2"><num>2</num><content><blockList><listIntroduction eId="art_6/para_2/listintro"> Provvedono affinché, conformemente alle rispettive necessità di protezione, tali informazioni:</listIntroduction><item eId="art_6/para_2/lbl_a"><num>a. </num><p>siano accessibili soltanto alle persone autorizzate (confidenzialità);</p></item><item eId="art_6/para_2/lbl_b"><num>b. </num><p>siano disponibili quando sono necessarie (disponibilità);</p></item><item eId="art_6/para_2/lbl_c"><num>c. </num><p>non possano essere modificate senza autorizzazione o per inavvertenza (integrità);</p></item><item eId="art_6/para_2/lbl_d"><num>d. </num><p>siano trattate in maniera documentabile (tracciabilità).</p></item></blockList></content></paragraph><paragraph eId="art_6/para_3"><num>3</num><content><p> Provvedono affinché i mezzi informatici che esse impiegano per l’adempimento dei loro compiti legali siano protetti dall’utilizzazione abusiva e dalle perturbazioni.</p></content></paragraph><paragraph eId="art_6/para_4"><num>4</num><content><p> Al riguardo, tengono conto dei principi di adeguatezza, economicità e facilità d’uso.</p></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Responsabilità direttiva suprema</heading><paragraph eId="art_7/para_1"><num>1</num><content><p> Le autorità assoggettate provvedono, nel rispettivo ambito di competenza, affinché la sicurezza delle informazioni sia organizzata, applicata e verificata secondo lo stato della scienza e della tecnica.</p></content></paragraph><paragraph eId="art_7/para_2"><num>2</num><content><blockList><listIntroduction eId="art_7/para_2/listintro"> Stabiliscono:</listIntroduction><item eId="art_7/para_2/lbl_a"><num>a. </num><p>i loro obiettivi in materia di sicurezza delle informazioni;</p></item><item eId="art_7/para_2/lbl_b"><num>b. </num><p>i parametri per la gestione dei rischi;</p></item><item eId="art_7/para_2/lbl_c"><num>c. </num><p>le conseguenze in caso di inosservanza delle prescrizioni.</p></item></blockList></content></paragraph></article><article eId="art_8"><num><b>Art. 8</b></num><heading>Gestione dei rischi</heading><paragraph eId="art_8/para_1"><num>1</num><content><p> Le autorità e organizzazioni assoggettate provvedono affinché nel rispettivo ambito di competenza i rischi per la sicurezza delle informazioni siano costantemente valutati.</p></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p> Adottano le misure necessarie per evitare i rischi o ridurli a un livello accettabile.</p></content></paragraph><paragraph eId="art_8/para_3"><num>3</num><content><p> I rischi considerati accettabili devono essere formalmente accettati.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b></num><heading>Collaborazione con terzi</heading><paragraph eId="art_9/para_1"><num>1</num><content><p> Le autorità e organizzazioni assoggettate che collaborano con terzi provvedono affinché i requisiti e le misure previsti dalla presente legge siano iscritti nelle convenzioni e nei contratti corrispondenti.</p></content></paragraph><paragraph eId="art_9/para_2"><num>2</num><content><p> Provvedono a un’adeguata verifica dell’applicazione delle misure. </p></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Procedura in caso di violazioni della sicurezza delle informazioni</heading><paragraph eId="art_10/para_1"><num>1</num><content><p> Le autorità e organizzazioni assoggettate provvedono affinché le violazioni della sicurezza delle informazioni siano individuate tempestivamente, le loro cause accertate e le eventuali ripercussioni ridotte al minimo.</p></content></paragraph><paragraph eId="art_10/para_2"><num>2</num><content><p> Le autorità assoggettate provvedono affinché in vista di eventuali violazioni gravi della sicurezza delle informazioni, tali da compromettere l’adempimento di compiti indispensabili della Confederazione, siano stabilite pianificazioni preventive e svolte corrispondenti esercitazioni.</p></content></paragraph></article><article eId="art_10_a"><num><b>Art. 10</b><i>a</i><authorialNote><p> Introdotto dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Trattamento di dati personali</heading><paragraph eId="art_10_a/para_1"><num>1</num><content><p> Le autorità e organizzazioni assoggettate possono trattare i dati personali utili a garantire la sicurezza delle informazioni, in particolare nei sistemi d’informazione previsti a tale scopo (applicazioni ISMS).</p></content></paragraph><paragraph eId="art_10_a/para_2"><num>2</num><content><blockList><listIntroduction eId="art_10_a/para_2/listintro"> Possono scambiarsi i dati personali di cui al capoverso 1 reciprocamente nonché con organizzazioni di diritto pubblico svizzere, internazionali ed estere, sempre che:</listIntroduction><item eId="art_10_a/para_2/lbl_a"><num>a. </num><p>ciò sia utile al fine di garantire la sicurezza delle informazioni;</p></item><item eId="art_10_a/para_2/lbl_b"><num>b. </num><p>non sia violato alcun obbligo legale o contrattuale di serbare il segreto;</p></item><item eId="art_10_a/para_2/lbl_c"><num>c. </num><p>siano rispettate le disposizioni della legislazione federale sulla protezione dei dati; e</p></item><item eId="art_10_a/para_2/lbl_d"><num>d. </num><p>queste organizzazioni assumano compiti legali nell’ambito della sicurezza delle informazioni corrispondenti a quelli dell’autorità o dell’organizzazione che ha trasmesso la comunicazione.</p></item></blockList></content></paragraph><paragraph eId="art_10_a/para_3"><num>3</num><content><p> Le autorità e organizzazioni assoggettate possono collegare tra loro i propri sistemi d’informazione, in particolare le applicazioni ISMS, e scambiarsi dati automaticamente o su richiesta tramite interfacce.</p></content></paragraph><paragraph eId="art_10_a/para_4"><num>4</num><content><p> Possono gestire moduli digitali finalizzati alla presentazione e al trattamento di richieste e segnalazioni nell’ambito della sicurezza delle informazioni e collegarli alle proprie applicazioni ISMS o ad altri sistemi d’informazione.</p></content></paragraph><paragraph eId="art_10_a/para_5"><num>5</num><content><blockList><listIntroduction eId="art_10_a/para_5/listintro"> Se necessario per far fronte a violazioni della sicurezza delle informazioni o per eliminare vulnerabilità, le autorità e organizzazioni assoggettate possono eseguire con i dati personali degni di particolare protezione ai sensi dell’articolo 5 lettera c della legge federale del 25 settembre 2020<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote> sulla protezione dei dati (LPD) di persone che sono o potrebbero essere coinvolte in tali violazioni o vulnerabilità o che sono o potrebbero esserne interessate le operazioni seguenti:</listIntroduction><item eId="art_10_a/para_5/lbl_a"><num>a. </num><p>trattarli;</p></item><item eId="art_10_a/para_5/lbl_b"><num>b. </num><p>scambiarseli reciprocamente o scambiarli con organizzazioni di diritto pubblico svizzere, internazionali ed estere, sempre che la condizione di cui al capoverso 2 lettera b sia soddisfatta.</p></item></blockList></content></paragraph><paragraph eId="art_10_a/para_6"><num>6</num><content><p> Le autorità e organizzazioni assoggettate possono conservare i dati personali degni di particolare protezione fino a due anni dopo aver affrontato la violazione della sicurezza delle informazioni o dopo che è stata eliminata la vulnerabilità, ma al massimo per dieci anni.</p></content></paragraph><paragraph eId="art_10_a/para_7"><num>7</num><content><p> L’archiviazione dei dati è retta dalle disposizioni della legislazione in materia di archiviazione.</p></content></paragraph><paragraph eId="art_10_a/para_8"><num>8</num><content><p> Il trattamento dei dati personali da parte del UFCS<authorialNote><p> Nuova espressione giusta la cifra I dell’O del 7 mar. 2025, in vigore dal  1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/168" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 168</ref>). Di detta mod. è tenuto conto in tutto il presente testo.</p></authorialNote> nel quadro dell’adempimento dei suoi compiti è retto dagli articoli 75–79.</p></content></paragraph></article></section><section eId="chap_2/sec_2"><num>Sezione 2: </num><heading>Classificazione delle informazioni</heading><article eId="art_11"><num><b>Art. 11</b></num><heading>Principi della classificazione</heading><paragraph eId="art_11/para_1"><num>1</num><content><p> Le autorità e organizzazioni assoggettate provvedono affinché le informazioni che soddisfano i criteri di cui all’articolo 13 siano classificate.</p></content></paragraph><paragraph eId="art_11/para_2"><num>2</num><content><p> La classificazione è ridotta allo stretto necessario e per quanto possibile limitata nel tempo.</p></content></paragraph></article><article eId="art_12"><num><b>Art. 12</b></num><heading>Competenze</heading><paragraph eId="art_12/para_1"><num>1</num><content><p> Le autorità assoggettate designano le persone e i servizi competenti per la classificazione delle informazioni (servizi incaricati della classificazione).</p></content></paragraph><paragraph eId="art_12/para_2"><num>2</num><content><p> Le classificazioni possono essere modificate o soppresse soltanto dal servizio incaricato della classificazione o dal servizio al quale esso è subordinato.</p></content></paragraph><paragraph eId="art_12/para_3"><num>3</num><content><p> Il Consiglio federale disciplina la declassificazione degli archivi. </p></content></paragraph></article><article eId="art_13"><num><b>Art. 13</b></num><heading>Livelli di classificazione</heading><paragraph eId="art_13/para_1"><num>1</num><content><p> Sono classificate «ad uso interno» le informazioni la cui conoscenza da parte di persone non autorizzate può pregiudicare gli interessi di cui all’articolo 1 capoverso 2 lettere a‒d.</p></content></paragraph><paragraph eId="art_13/para_2"><num>2</num><content><p> Sono classificate «confidenziale» le informazioni la cui conoscenza da parte di persone non autorizzate può pregiudicare considerevolmente gli interessi di cui all’articolo 1 capoverso 2 lettere a‒d.</p></content></paragraph><paragraph eId="art_13/para_3"><num>3</num><content><p> Sono classificate «segreto» le informazioni la cui conoscenza da parte di persone non autorizzate può pregiudicare gravemente gli interessi di cui all’articolo 1 capoverso 2 lettere a‒d.</p></content></paragraph></article><article eId="art_14"><num><b>Art. 14</b></num><heading>Accesso a informazioni classificate</heading><paragraph eId="art_14/para_1"><num>1</num><content><blockList><listIntroduction eId="art_14/para_1/listintro"> Ottengono l’accesso a informazioni classificate soltanto le persone che offrono la garanzia di gestirle in modo appropriato e che:</listIntroduction><item eId="art_14/para_1/lbl_a"><num>a. </num><p>necessitano delle informazioni per l’adempimento di un compito legale; o </p></item><item eId="art_14/para_1/lbl_b"><num>b. </num><p>dispongono di un’autorizzazione di accesso convenuta contrattualmente e necessitano delle informazioni per l’adempimento dei compiti loro affidati.</p></item></blockList></content></paragraph><paragraph eId="art_14/para_2"><num>2</num><content><p> L’accesso ad archivi classificati è retto dalle disposizioni della legislazione in materia di archiviazione.</p></content></paragraph><paragraph eId="art_14/para_3"><num>3</num><content><p> Sono fatte salve le limitazioni di accesso disciplinate da trattati internazionali secondo l’articolo 87.</p></content></paragraph></article><article eId="art_15"><num><b>Art. 15</b></num><heading>Accesso a informazioni classificate nell’ambito di procedure particolari</heading><paragraph eId="art_15/para_1"><num>1</num><content><p> L’accesso a informazioni classificate in seno all’Assemblea federale, ai Servizi del Parlamento, ai tribunali e ai ministeri pubblici è retto dal rispettivo diritto procedurale applicabile.</p></content></paragraph><paragraph eId="art_15/para_2"><num>2</num><content><p> Prima di decidere di concedere l’accesso a un’informazione secondo il capoverso 1, l’organo parlamentare o il tribunale competente può consultare il servizio incaricato della classificazione.</p></content></paragraph></article></section><section eId="chap_2/sec_3"><num>Sezione 3: </num><heading>Sicurezza nell’impiego di mezzi informatici</heading><article eId="art_16"><num><b>Art. 16</b></num><heading>Procedura di sicurezza</heading><paragraph eId="art_16/para_1"><num>1</num><content><p> Le autorità assoggettate stabiliscono una procedura per garantire la sicurezza delle informazioni nell’impiego di mezzi informatici (procedura di sicurezza).</p></content></paragraph><paragraph eId="art_16/para_2"><num>2</num><content><blockList><listIntroduction eId="art_16/para_2/listintro"> La procedura di sicurezza comprende in particolare:</listIntroduction><item eId="art_16/para_2/lbl_a"><num>a. </num><p>la valutazione della necessità di protezione delle informazioni prima dell’impiego di mezzi informatici;</p></item><item eId="art_16/para_2/lbl_b"><num>b. </num><p>l’applicazione delle misure di sicurezza e la relativa verifica;</p></item><item eId="art_16/para_2/lbl_c"><num>c. </num><p>la determinazione della competenza per il rilascio del nullaosta di sicurezza relativo ai mezzi informatici;</p></item><item eId="art_16/para_2/lbl_d"><num>d. </num><p>la procedura in caso di mutamento dei rischi.</p></item></blockList></content></paragraph><paragraph eId="art_16/para_3"><num>3</num><content><p> Per l’esecuzione della procedura di sicurezza è competente l’autorità od organizzazione assoggettata che decide l’impiego dei mezzi informatici.</p></content></paragraph></article><article eId="art_17"><num><b>Art. 17</b></num><heading>Livelli di sicurezza</heading><paragraph eId="art_17/para_1"><num>1</num><content><p> Il livello di sicurezza «protezione di base» si applica a tutti i mezzi informatici, salvo a quelli che devono essere attribuiti a un livello di sicurezza più elevato.</p></content></paragraph><paragraph eId="art_17/para_2"><num>2</num><content><blockList><listIntroduction eId="art_17/para_2/listintro"> Ai mezzi informatici si applica il livello di sicurezza «protezione elevata» se:</listIntroduction><item eId="art_17/para_2/lbl_a"><num>a. </num><p>una violazione della confidenzialità, della disponibilità, dell’integrità o della tracciabilità delle informazioni che trattano può pregiudicare considerevolmente gli interessi di cui all’articolo 1 capoverso 2;</p></item><item eId="art_17/para_2/lbl_b"><num>b. </num><p>la loro utilizzazione abusiva o la loro perturbazione può pregiudicare considerevolmente gli interessi di cui all’articolo 1 capoverso 2.</p></item></blockList></content></paragraph><paragraph eId="art_17/para_3"><num>3</num><content><blockList><listIntroduction eId="art_17/para_3/listintro"> Ai mezzi informatici si applica il livello di sicurezza «protezione molto elevata» se:</listIntroduction><item eId="art_17/para_3/lbl_a"><num>a. </num><p>una violazione della confidenzialità, della disponibilità, dell’integrità o della tracciabilità delle informazioni che trattano può pregiudicare gravemente gli interessi di cui all’articolo 1 capoverso 2; </p></item><item eId="art_17/para_3/lbl_b"><num>b. </num><p>la loro utilizzazione abusiva o la loro perturbazione può pregiudicare gravemente gli interessi di cui all’articolo 1 capoverso 2.</p></item></blockList></content></paragraph></article><article eId="art_18"><num><b>Art. 18</b></num><heading>Misure di sicurezza</heading><paragraph eId="art_18/para_1"><num>1</num><content><p> Le autorità assoggettate stabiliscono i requisiti minimi per i livelli di sicurezza di cui all’articolo 17. </p></content></paragraph><paragraph eId="art_18/para_2"><num>2</num><content><p> Tutti i mezzi informatici devono soddisfare i requisiti minimi del livello di sicurezza «protezione di base».</p></content></paragraph><paragraph eId="art_18/para_3"><num>3</num><content><p> Per i mezzi informatici del livello di sicurezza «protezione molto elevata» l’efficacia delle misure deve essere verificata periodicamente.</p></content></paragraph></article><article eId="art_19"><num><b>Art. 19</b></num><heading>Sicurezza durante l’esercizio</heading><paragraph eId="art_19/para_1"><num>1</num><content><p> Le autorità e organizzazioni assoggettate garantiscono la sicurezza dei mezzi informatici che gestiscono per loro stesse o su mandato di un’altra autorità od organizzazione.</p></content></paragraph><paragraph eId="art_19/para_2"><num>2</num><content><p> Il trattamento di dati personali nell’ambito della sorveglianza delle reti è retto per analogia dagli articoli 57<i>i</i>‒57<i>q</i> LOGA<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2022_2022_2022" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.010</b></ref></p></authorialNote>.</p></content></paragraph></article></section><section eId="chap_2/sec_4"><num>Sezione 4: </num><heading>Misure relative alle persone</heading><article eId="art_20"><num><b>Art. 20</b></num><heading>Condizioni per l’accesso a informazioni e mezzi informatici della Confederazione</heading><paragraph eId="art_20/para_1"><num>1</num><content><blockList><listIntroduction eId="art_20/para_1/listintro"> Le autorità e organizzazioni assoggettate provvedono affinché le persone che hanno accesso a informazioni, mezzi informatici, locali e altre infrastrutture della Confederazione:</listIntroduction><item eId="art_20/para_1/lbl_a"><num>a. </num><p>siano scelte con cura; </p></item><item eId="art_20/para_1/lbl_b"><num>b. </num><p>siano identificate in funzione dei rischi;</p></item><item eId="art_20/para_1/lbl_c"><num>c. </num><p>seguano formazioni e formazioni continue adeguate al loro livello;</p></item><item eId="art_20/para_1/lbl_d"><num>d. </num><p>se necessario, siano tenute a mantenere il segreto.</p></item></blockList></content></paragraph><paragraph eId="art_20/para_2"><num>2</num><content><p> Possono impiegare metodi di verifica biometrici se è necessario per l’identificazione delle persone in funzione dei rischi. I dati biometrici sono distrutti allo scadere dell’autorizzazione d’accesso.</p></content></paragraph><paragraph eId="art_20/para_3"><num>3</num><content><p> Come identificatore di persone possono inoltre utilizzare sistematicamente il numero AVS di cui all’articolo 50<i>c</i> della legge federale del 20 dicembre 1946<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/63/837_843_843" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>831.10</b></ref></p></authorialNote> sull’assicurazione per la vecchiaia e per i superstiti.<authorialNote><p> Nuovo testo giusta l’all. n. 40 della LF del 18 dic. 2020 (Utilizzazione sistematica del  numero AVS da parte delle autorità), in vigore dal 1° gen. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2021/758" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2021</b> 758</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2019/2681" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2019 </b>6043</ref>).</p></authorialNote></p></content></paragraph></article><article eId="art_21"><num><b>Art. 21</b></num><heading>Criteri restrittivi per il rilascio di autorizzazioni</heading><paragraph eId="art_21/para_1"><num>1</num><content><p> Le autorità e organizzazioni assoggettate provvedono affinché autorizzazioni d’accesso a informazioni, mezzi informatici, locali e altre infrastrutture della Confederazione siano rilasciate soltanto alle persone che ne hanno bisogno per l’adempimento dei loro compiti.</p></content></paragraph><paragraph eId="art_21/para_2"><num>2</num><content><p> Le autorizzazioni sono revocate al termine del rapporto di lavoro o del contratto oppure all’adempimento del compito. Possono essere bloccate o revocate senza preavviso se sussistono indizi concreti di un pericolo per la sicurezza.</p></content></paragraph></article></section><section eId="chap_2/sec_5"><num>Sezione 5: </num><heading>Protezione fisica </heading><article eId="art_22"><num><b>Art. 22</b></num><heading>Principio</heading><paragraph eId="art_22/para"><content><p>Le autorità e organizzazioni assoggettate provvedono a garantire una protezione fisica adeguata delle informazioni e dei mezzi informatici di cui sono responsabili contro gli abusi e le perturbazioni.</p></content></paragraph></article><article eId="art_23"><num><b>Art. 23</b></num><heading>Zone di sicurezza</heading><paragraph eId="art_23/para_1"><num>1</num><content><blockList><listIntroduction eId="art_23/para_1/listintro"> Le autorità e organizzazioni assoggettate possono designare come zone di sicurezza settori e locali nei quali:</listIntroduction><item eId="art_23/para_1/lbl_a"><num>a. </num><p>sono trattate frequentemente informazioni classificate «confidenziale» o «segreto»; o</p></item><item eId="art_23/para_1/lbl_b"><num>b. </num><p>sono impiegati mezzi informatici del livello di sicurezza «protezione elevata» o «protezione molto elevata».</p></item></blockList></content></paragraph><paragraph eId="art_23/para_2"><num>2</num><content><blockList><listIntroduction eId="art_23/para_2/listintro"> Sono autorizzate a:</listIntroduction><item eId="art_23/para_2/lbl_a"><num>a. </num><p>proibire l’introduzione di determinati oggetti, in particolare apparecchi per registrazioni audiovisive;</p></item><item eId="art_23/para_2/lbl_b"><num>b. </num><p>sorvegliare i settori sensibili sotto il profilo della sicurezza con apparecchi per registrazioni audiovisive;</p></item><item eId="art_23/para_2/lbl_c"><num>c. </num><p>eseguire perquisizioni di borse e persone;</p></item><item eId="art_23/para_2/lbl_d"><num>d. </num><p>eseguire senza preavviso controlli di locali, anche in assenza degli impiegati.</p></item></blockList></content></paragraph><paragraph eId="art_23/para_3"><num>3</num><content><p> Nelle zone di sicurezza nelle quali sono trattate frequentemente informazioni classificate «segreto» oppure sono impiegati mezzi informatici del livello di sicurezza «protezione molto elevata», le autorità e organizzazioni assoggettate possono operare impianti di telecomunicazione che provocano interferenze secondo l’articolo 34 capoverso 1<sup>ter</sup> della legge del 30 aprile 1997<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2187_2187_2187" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>784.10</b></ref></p></authorialNote> sulle telecomunicazioni (LTC).</p></content></paragraph><paragraph eId="art_23/para_4"><num>4</num><content><p> Sono fatte salve le prescrizioni particolari per le zone di sicurezza definite in virtù di trattati internazionali secondo l’articolo 87 nonché le prescrizioni applicabili alle zone di protezione di opere secondo la legislazione sulla protezione delle opere militari.</p></content></paragraph></article></section><section eId="chap_2/sec_6"><num>Sezione 6: </num><heading>Sistemi di gestione delle identità</heading><article eId="art_24"><num><b>Art. 24</b></num><heading>Impiego di sistemi di gestione delle identità</heading><paragraph eId="art_24/para_1"><num>1</num><content><p> Ai fini della gestione centralizzata dei dati per l’identificazione delle persone che hanno accesso a informazioni, mezzi informatici, locali e altre infrastrutture, le autorità assoggettate possono gestire appositi sistemi d’informazione (sistemi di gestione delle identità).</p></content></paragraph><paragraph eId="art_24/para_2"><num>2</num><content><p> I sistemi di gestione delle identità verificano l’identità e le caratteristiche relative alle autorizzazioni di persone, macchine e sistemi. Trasmettono il risultato ai sistemi d’informazione collegati affinché questi possano accertare le autorizzazioni.</p></content></paragraph><paragraph eId="art_24/para_3"><num>3</num><content><p> Le autorità assoggettate designano un servizio responsabile per ogni sistema di gestione delle identità.</p></content></paragraph></article><article eId="art_25"><num><b>Art. 25</b></num><heading>Scambio e armonizzazione dei dati</heading><paragraph eId="art_25/para_1"><num>1</num><content><p> I sistemi di gestione delle identità possono scambiare e armonizzare dati con i sistemi d’informazione collegati, con registri di persone e di utenti nonché con altri sistemi di gestione delle identità di autorità assoggettate.</p></content></paragraph><paragraph eId="art_25/para_2"><num>2</num><content><p> Lo scambio e l’armonizzazione sono limitati ai dati il cui trattamento è autorizzato nel rispettivo sistema.</p></content></paragraph></article><article eId="art_26"><num><b>Art. 26</b></num><heading>Disposizioni esecutive</heading><paragraph eId="art_26/para"><content><blockList><listIntroduction eId="art_26/para/listintro">Le autorità assoggettate emanano disposizioni esecutive concernenti in particolare:</listIntroduction><item eId="art_26/para/lbl_a"><num>a. </num><p>la protezione e la sicurezza dei dati;</p></item><item eId="art_26/para/lbl_b"><num>b. </num><p>i dati personali trattati;</p></item><item eId="art_26/para/lbl_c"><num>c. </num><p>lo scambio e l’armonizzazione di dati con altri sistemi;</p></item><item eId="art_26/para/lbl_d"><num>d. </num><p>la verbalizzazione e la trasmissione dei relativi dati ai sistemi d’informazione collegati;</p></item><item eId="art_26/para/lbl_e"><num>e. </num><p>il controllo periodico del trattamento dei dati personali da parte di un organo esterno.</p></item></blockList></content></paragraph></article></section></chapter><chapter eId="chap_3"><num>Capitolo 3: </num><heading>Controllo di sicurezza relativo alle persone</heading><section eId="chap_3/sec_1"><num>Sezione 1: </num><heading>Disposizioni generali</heading><article eId="art_27"><num><b>Art. 27</b></num><heading>Scopo e contenuto del controllo</heading><paragraph eId="art_27/para_1"><num>1</num><content><p> Il controllo di sicurezza relativo alle persone serve a valutare se l’esercizio di un’attività sensibile sotto il profilo della sicurezza da parte di una persona, nel quadro della sua funzione o di un mandato, possa costituire un rischio per la sicurezza delle informazioni.</p></content></paragraph><paragraph eId="art_27/para_2"><num>2</num><content><p> A tal fine sono raccolti dati rilevanti per la sicurezza concernenti il modo di vita della persona da controllare, in particolare le sue relazioni personali strette e quelle familiari, la sua situazione finanziaria e i suoi rapporti con l’estero.</p></content></paragraph><paragraph eId="art_27/para_3"><num>3</num><content><p> I dati concernenti l’esercizio dei diritti costituzionali possono essere trattati unicamente qualora sussista un sospetto concreto che la persona da controllare eserciti tali diritti per preparare o compiere attività che potrebbero pregiudicare considerevolmente gli interessi di cui all’articolo 1 capoverso 2.</p></content></paragraph></article><article eId="art_28"><num><b>Art. 28</b></num><heading>Elenco delle funzioni</heading><paragraph eId="art_28/para_1"><num>1</num><content><p> Le autorità assoggettate emanano, per il rispettivo ambito di competenza, un elenco delle funzioni che implicano l’esercizio di un’attività sensibile sotto il profilo della sicurezza.</p></content></paragraph><paragraph eId="art_28/para_2"><num>2</num><content><p> Verificano periodicamente la correttezza dell’elenco e lo adeguano.</p></content></paragraph></article><article eId="art_29"><num><b>Art. 29</b></num><heading>Persone da controllare</heading><paragraph eId="art_29/para_1"><num>1</num><content><blockList><listIntroduction eId="art_29/para_1/listintro"> Sono sottoposti a un controllo di sicurezza relativo alle persone:</listIntroduction><item eId="art_29/para_1/lbl_a"><num>a. </num><p>gli impiegati della Confederazione, i collaboratori esterni e i militari che esercitano una funzione prevista in un elenco secondo l’articolo 28;</p></item><item eId="art_29/para_1/lbl_b"><num>b. </num><p>gli impiegati cantonali che esercitano un’attività sensibile sotto il profilo della sicurezza;</p></item><item eId="art_29/para_1/lbl_c"><num>c. </num><p>i terzi che eseguono per un’autorità od organizzazione assoggettata un mandato che implica l’esercizio di un’attività sensibile sotto il profilo della sicurezza;</p></item><item eId="art_29/para_1/lbl_d"><num>d. </num><p>le persone che devono essere sottoposte a un controllo di sicurezza in virtù di un trattato internazionale secondo l’articolo 87.</p></item></blockList></content></paragraph><paragraph eId="art_29/para_2"><num>2</num><content><p> Le persone alle quali un’autorità estera o un’organizzazione internazionale intende affidare l’esercizio di un’attività sensibile sotto il profilo della sicurezza sono sottoposte a un controllo di sicurezza se la Svizzera ha concluso con lo Stato o l’organizzazione internazionale interessati un trattato internazionale secondo l’articolo 87.</p></content></paragraph><paragraph eId="art_29/para_3"><num>3</num><content><p> Le persone che esercitano una funzione che non figura ancora in un elenco secondo l’articolo 28 possono, previo consenso dell’autorità assoggettata, essere sottoposte in via eccezionale a un controllo di sicurezza. L’elenco in questione deve essere adeguato alla prima occasione.</p></content></paragraph><paragraph eId="art_29/para_4"><num>4</num><content><blockList><listIntroduction eId="art_29/para_4/listintro"> I candidati alle seguenti funzioni non sono assoggettati al controllo di sicurezza relativo alle persone:</listIntroduction><item eId="art_29/para_4/lbl_a"><num>a. </num><p>membro dell’Assemblea federale;</p></item><item eId="art_29/para_4/lbl_b"><num>b. </num><p>membro del Consiglio federale o cancelliere della Confederazione;</p></item><item eId="art_29/para_4/lbl_c"><num>c. </num><p>giudice di un tribunale della Confederazione;</p></item><item eId="art_29/para_4/lbl_d"><num>d. </num><p>procuratore generale della Confederazione;</p></item><item eId="art_29/para_4/lbl_e"><num>e. </num><p>membro dell’Autorità di vigilanza sul Ministero pubblico della Confederazione;</p></item><item eId="art_29/para_4/lbl_ebis"><num>e<sup>bis</sup>.<authorialNote><p> Introdotta dalla cifra I della LF del 17 giu. 2022 (Capo dell’Incaricato federale della protezione dei dati e della trasparenza), in vigore dal 1° gen. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/734" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2023</b> 734</ref>;  <ref href="https://fedlex.data.admin.ch/eli/fga/2022/345" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2022</b> 345</ref>, <ref href="https://fedlex.data.admin.ch/eli/fga/2022/432" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">432</ref>).</p></authorialNote> </num><p>capo dell’Incaricato federale della protezione dei dati e della trasparenza;</p></item><item eId="art_29/para_4/lbl_f"><num>f. </num><p>generale;</p></item><item eId="art_29/para_4/lbl_g"><num>g. </num><p>magistrato cantonale eletto dal Popolo o dal parlamento cantonale.</p></item></blockList></content></paragraph></article><article eId="art_30"><num><b>Art. 30</b></num><heading>Livelli di controllo</heading><paragraph eId="art_30/para"><content><blockList><listIntroduction eId="art_30/para/listintro">Le autorità assoggettate attribuiscono alle attività sensibili sotto il profilo della sicurezza uno dei livelli di controllo seguenti:</listIntroduction><item eId="art_30/para/lbl_a"><num>a. </num><p>il controllo di sicurezza di base, alle attività sensibili sotto il profilo della sicurezza il cui esercizio contrario alle prescrizioni o non appropriato può pregiudicare considerevolmente gli interessi di cui all’articolo 1 capoverso 2;</p></item><item eId="art_30/para/lbl_b"><num>b. </num><p>il controllo di sicurezza ampliato, alle attività sensibili sotto il profilo della sicurezza il cui esercizio contrario alle prescrizioni o non appropriato può pregiudicare gravemente gli interessi di cui all’articolo 1 capoverso 2.</p></item></blockList></content></paragraph></article></section><section eId="chap_3/sec_2"><num>Sezione 2: </num><heading>Esecuzione</heading><article eId="art_31"><num><b>Art. 31</b></num><heading>Servizi competenti</heading><paragraph eId="art_31/para_1"><num>1</num><content><blockList><listIntroduction eId="art_31/para_1/listintro"> Le autorità assoggettate e i Cantoni designano i servizi competenti per: </listIntroduction><item eId="art_31/para_1/lbl_a"><num>a. </num><p>avviare i controlli di sicurezza relativi alle persone (servizi promotori);</p></item><item eId="art_31/para_1/lbl_b"><num>b. </num><p>decidere di affidare l’esercizio dell’attività sensibile sotto il profilo della sicurezza (servizi decisori).</p></item></blockList></content></paragraph><paragraph eId="art_31/para_2"><num>2</num><content><p> Per l’esecuzione dei controlli di sicurezza relativi alle persone il Consiglio federale designa uno o più servizi specializzati (servizi specializzati CSP). Nell’effettuare la loro valutazione essi non sono vincolati a istruzioni.</p></content></paragraph></article><article eId="art_32"><num><b>Art. 32</b></num><heading>Consenso e collaborazione</heading><paragraph eId="art_32/para_1"><num>1</num><content><p> I controlli di sicurezza relativi alle persone possono essere eseguiti unicamente con il consenso della persona da controllare.</p></content></paragraph><paragraph eId="art_32/para_2"><num>2</num><content><p> Le persone soggette all’obbligo di leva, i militari e i militi della protezione civile possono essere sottoposti al controllo di sicurezza senza il loro consenso.</p></content></paragraph><paragraph eId="art_32/para_3"><num>3</num><content><p> La persona da controllare è tenuta a collaborare all’accertamento dei fatti.</p></content></paragraph></article><article eId="art_33"><num><b>Art. 33</b></num><heading>Momento del controllo di sicurezza relativo alle persone</heading><paragraph eId="art_33/para_1"><num>1</num><content><p> Per le persone di cui all’articolo 29 capoverso 1 lettere a e b, il controllo di sicurezza dev’essere avviato prima dell’attribuzione della funzione.</p></content></paragraph><paragraph eId="art_33/para_2"><num>2</num><content><p> Per le persone di cui all’articolo 29 capoverso 1 lettera a la cui nomina compete al Consiglio federale, il controllo di sicurezza dev’essere concluso prima che la persona sia proposta per la nomina.</p></content></paragraph><paragraph eId="art_33/para_3"><num>3</num><content><p> Per le persone di cui all’articolo 29 capoverso 1 lettera c, il controllo di sicurezza dev’essere concluso prima che sia affidato loro l’esercizio dell’attività sensibile sotto il profilo della sicurezza.</p></content></paragraph><paragraph eId="art_33/para_4"><num>4</num><content><p> Per le persone di cui all’articolo 29 capoverso 1 lettera d, il controllo di sicurezza ha luogo nel momento previsto dal corrispondente trattato.</p></content></paragraph></article><article eId="art_34"><num><b>Art. 34</b></num><heading>Raccolta dei dati</heading><paragraph eId="art_34/para_1"><num>1</num><content><blockList><listIntroduction eId="art_34/para_1/listintro"> Per il controllo di sicurezza di base, il servizio specializzato CSP può raccogliere dati sulla persona da controllare dalle fonti seguenti:</listIntroduction><item eId="art_34/para_1/lbl_a"><num>a. </num><p>dal casellario giudiziale;</p></item><item eId="art_34/para_1/lbl_b"><num>b. </num><p>presso le autorità penali, tramite richiesta di informazioni e atti concernenti procedimenti penali in corso, conclusi o abbandonati;</p></item><item eId="art_34/para_1/lbl_c"><num>c. </num><p>presso gli organi di sicurezza della Confederazione, il Servizio delle attività informative della Confederazione (SIC), gli organi dell’esercito nonché altri organi della Confederazione, sempre che trattino dati necessari per la valutazione del rischio per la sicurezza;</p></item><item eId="art_34/para_1/lbl_d"><num>d. </num><p>dai registri e dagli atti degli organi di sicurezza dei Cantoni e della polizia;</p></item><item eId="art_34/para_1/lbl_e"><num>e. </num><p>dai registri delle autorità di esecuzione e fallimento;</p></item><item eId="art_34/para_1/lbl_f"><num>f. </num><p>dagli atti di precedenti controlli di sicurezza relativi alle persone;</p></item><item eId="art_34/para_1/lbl_g"><num>g. </num><p>da fonti pubblicamente accessibili.</p></item></blockList></content></paragraph><paragraph eId="art_34/para_2"><num>2</num><content><blockList><listIntroduction eId="art_34/para_2/listintro"> Per il controllo di sicurezza ampliato, può inoltre raccogliere dati dalle fonti seguenti:</listIntroduction><item eId="art_34/para_2/lbl_a"><num>a. </num><p>presso le autorità fiscali federali e cantonali;</p></item><item eId="art_34/para_2/lbl_b"><num>b. </num><p>dai registri dei controlli degli abitanti;</p></item><item eId="art_34/para_2/lbl_c"><num>c. </num><p>presso istituti finanziari e banche con i quali la persona da controllare intrattiene relazioni d’affari;</p></item><item eId="art_34/para_2/lbl_d"><num>d. </num><p>mediante audizione della persona da controllare.</p></item></blockList></content></paragraph><paragraph eId="art_34/para_3"><num>3</num><content><p> Se dai dati raccolti risultano indizi concreti di un rischio per la sicurezza oppure se per la valutazione non sono disponibili dati sufficienti relativi a un periodo di tempo adeguato, il servizio specializzato CSP può procedere all’audizione della persona da controllare. Con il consenso di quest’ultima può procedere anche all’audizione di terzi; rende attenti detti terzi che essi sono liberi di fornire le informazioni o meno.</p></content></paragraph><paragraph eId="art_34/para_4"><num>4</num><content><p> I dati relativi a terzi che sono indissolubilmente connessi con dati relativi alla persona da controllare possono essere trattati unicamente se è indispensabile per la valutazione del rischio per la sicurezza. Il servizio specializzato CSP informa i terzi interessati in merito a tale trattamento.</p></content></paragraph></article><article eId="art_35"><num><b>Art. 35</b></num><heading>Assistenza amministrativa</heading><paragraph eId="art_35/para_1"><num>1</num><content><p> I dati che devono essere raccolti presso un’autorità estera o un’organizzazione internazionale lo sono per il tramite dell’autorità o dell’organizzazione competente secondo l’articolo 34. </p></content></paragraph><paragraph eId="art_35/para_2"><num>2</num><content><p> Se dai dati raccolti risultano indizi concreti di criminalità organizzata o internazionale, il servizio specializzato CSP consulta gli uffici centrali di polizia giudiziaria della Confederazione. Tali uffici comunicano al servizio specializzato CSP unicamente i dati personali rilevanti sotto il profilo della sicurezza.</p></content></paragraph></article><article eId="art_36"><num><b>Art. 36</b></num><heading>Assunzione dei costi</heading><paragraph eId="art_36/para_1"><num>1</num><content><p> Le autorità e organizzazioni di diritto pubblico presso le quali è consentito raccogliere dati o che devono collaborare alla procedura sono tenute a collaborare gratuitamente.</p></content></paragraph><paragraph eId="art_36/para_2"><num>2</num><content><p> I terzi per i quali la collaborazione implica un onere considerevole sono indennizzati.</p></content></paragraph><paragraph eId="art_36/para_3"><num>3</num><content><p> La Confederazione si assume le spese dei controlli di sicurezza relativi alle persone effettuati sugli impiegati cantonali di cui all’articolo 29 capoverso 1 lettera b.</p></content></paragraph></article><article eId="art_37"><num><b>Art. 37</b></num><heading>Abbandono della procedura</heading><paragraph eId="art_37/para_1"><num>1</num><content><p> Il servizio specializzato CSP abbandona la procedura di controllo se la persona da controllare revoca il suo consenso o non entra più in considerazione per la funzione o il mandato.</p></content></paragraph><paragraph eId="art_37/para_2"><num>2</num><content><p> Comunica l’abbandono della procedura di controllo alla persona interessata e al servizio promotore. La persona interessata è considerata non controllata.</p></content></paragraph></article></section><section eId="chap_3/sec_3"><num>Sezione 3: </num><heading>Valutazione del rischio per la sicurezza</heading><article eId="art_38"><num><b>Art. 38</b></num><heading>Rischio per la sicurezza</heading><paragraph eId="art_38/para_1"><num>1</num><content><p> Sussiste un rischio per la sicurezza se, sulla base dei dati raccolti, vi sono indizi concreti che con elevata probabilità la persona controllata eserciterà l’attività sensibile sotto il profilo della sicurezza in maniera contraria alle prescrizioni o non appropriata.</p></content></paragraph><paragraph eId="art_38/para_2"><num>2</num><content><blockList><listIntroduction eId="art_38/para_2/listintro"> La probabilità di un esercizio contrario alle prescrizioni o non appropriato dell’attività sensibile sotto il profilo della sicurezza può essere considerata elevata in particolare quando sussistono indizi concreti che la persona presenta una delle caratteristiche seguenti:</listIntroduction><item eId="art_38/para_2/lbl_a"><num>a. </num><p>mancanza di integrità personale o di affidabilità;</p></item><item eId="art_38/para_2/lbl_b"><num>b. </num><p>ricattabilità o corruttibilità; o</p></item><item eId="art_38/para_2/lbl_c"><num>c. </num><p>facoltà di giudizio o di decisione compromessa.</p></item></blockList></content></paragraph><paragraph eId="art_38/para_3"><num>3</num><content><p> La valutazione del rischio per la sicurezza deve fondarsi, a prescindere dalla colpa della persona sottoposta al controllo, sulle circostanze oggettive inerenti alla sua situazione personale.</p></content></paragraph></article><article eId="art_39"><num><b>Art. 39</b></num><heading>Risultato della valutazione</heading><paragraph eId="art_39/para_1"><num>1</num><content><blockList><listIntroduction eId="art_39/para_1/listintro"> Quale risultato della valutazione, il servizio specializzato CSP rilascia una delle dichiarazioni seguenti, avente il significato indicato qui appresso:</listIntroduction><item eId="art_39/para_1/lbl_a"><num>a. </num><p>dichiarazione di sicurezza, non sussiste alcun rischio per la sicurezza;</p></item><item eId="art_39/para_1/lbl_b"><num>b. </num><p>dichiarazione di sicurezza con riserva, sussiste un rischio per la sicurezza che può essere ridotto a un livello accettabile definendo determinate condizioni; il servizio specializzato CSP raccomanda tali condizioni;</p></item><item eId="art_39/para_1/lbl_c"><num>c. </num><p>dichiarazione di rischio, sussiste un rischio per la sicurezza;</p></item><item eId="art_39/para_1/lbl_d"><num>d. </num><p>dichiarazione di constatazione, per la valutazione del rischio per la sicurezza non sono disponibili dati sufficienti relativi a un periodo di tempo adeguato.</p></item></blockList></content></paragraph><paragraph eId="art_39/para_2"><num>2</num><content><p> Prima di rilasciare una dichiarazione secondo il capoverso 1 lettere b‒d, il servizio specializzato CSP offre alla persona sottoposta al controllo la possibilità di esprimersi al riguardo.</p></content></paragraph></article><article eId="art_40"><num><b>Art. 40</b></num><heading>Comunicazione</heading><paragraph eId="art_40/para_1"><num>1</num><content><p> Il servizio specializzato CSP comunica per scritto la sua dichiarazione alla persona controllata e al servizio decisore.</p></content></paragraph><paragraph eId="art_40/para_2"><num>2</num><content><p> Per le persone la cui nomina compete al Consiglio federale il servizio specializzato CSP comunica la sua dichiarazione al dipartimento proponente.</p></content></paragraph><paragraph eId="art_40/para_3"><num>3</num><content><blockList><listIntroduction eId="art_40/para_3/listintro"> Il servizio specializzato CSP può comunicare la sua dichiarazione a un altro servizio decisore se la persona controllata:</listIntroduction><item eId="art_40/para_3/lbl_a"><num>a. </num><p>è soggetta a un controllo di sicurezza relativo alle persone secondo la presente legge per un’altra attività sensibile sotto il profilo della sicurezza;</p></item><item eId="art_40/para_3/lbl_b"><num>b. </num><p>è soggetta a una verifica dell’affidabilità secondo un’altra legge federale;</p></item><item eId="art_40/para_3/lbl_c"><num>c. </num><p>in quanto militare è soggetta a una valutazione secondo l’articolo 113 della legge militare del 3 febbraio 1995<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1995/4093_4093_4093" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>510.10</b></ref></p></authorialNote>.</p></item></blockList></content></paragraph><paragraph eId="art_40/para_4"><num>4</num><content><p> Se già prima della conclusione della valutazione dispone di indizi concreti secondo i quali potrebbe sussistere un rischio per la sicurezza, il servizio specializzato CSP può comunicare per scritto le constatazioni provvisorie ai servizi di cui ai capoversi 1‒3 nonché alla persona sottoposta al controllo.</p></content></paragraph></article></section><section eId="chap_3/sec_4"><num>Sezione 4: </num><heading>Conseguenze della dichiarazione</heading><article eId="art_41"><num><b>Art. 41</b></num><heading>Esercizio dell’attività sensibile sotto il profilo della sicurezza</heading><paragraph eId="art_41/para_1"><num>1</num><content><p> Le dichiarazioni dei servizi specializzati CSP hanno carattere di raccomandazione.</p></content></paragraph><paragraph eId="art_41/para_2"><num>2</num><content><p> Il servizio di cui all’articolo 31 capoverso 1 lettera b stabilisce, dopo aver preso atto della dichiarazione, se la persona controllata può esercitare l’attività sensibile sotto il profilo della sicurezza.</p></content></paragraph><paragraph eId="art_41/para_3"><num>3</num><content><p> Può vincolare l’esercizio dell’attività sensibile sotto il profilo della sicurezza a determinate condizioni.</p></content></paragraph><paragraph eId="art_41/para_4"><num>4</num><content><p> Comunica la propria decisione al servizio specializzato CSP.</p></content></paragraph></article><article eId="art_42"><num><b>Art. 42</b></num><heading>Uso plurimo di una dichiarazione</heading><paragraph eId="art_42/para"><content><blockList><listIntroduction eId="art_42/para/listintro">È possibile rinunciare all’esecuzione del controllo di sicurezza relativo alle persone se alla persona interessata è già stata rilasciata una dichiarazione per un livello di controllo almeno equivalente:</listIntroduction><item eId="art_42/para/lbl_a"><num>a. </num><p>per un’altra attività sensibile sotto il profilo della sicurezza secondo la presente legge;</p></item><item eId="art_42/para/lbl_b"><num>b. </num><p>nel quadro di una verifica dell’affidabilità secondo un’altra legge federale.</p></item></blockList></content></paragraph></article><article eId="art_43"><num><b>Art. 43</b></num><heading>Ripetizione</heading><paragraph eId="art_43/para_1"><num>1</num><content><blockList><listIntroduction eId="art_43/para_1/listintro"> Il controllo di sicurezza relativo alle persone è ripetuto come segue:</listIntroduction><item eId="art_43/para_1/lbl_a"><num>a. </num><p>il controllo di sicurezza di base, al più presto dopo cinque e al più tardi dopo dieci anni;</p></item><item eId="art_43/para_1/lbl_b"><num>b. </num><p>il controllo di sicurezza ampliato, al più presto dopo tre e al più tardi dopo cinque anni.</p></item></blockList></content></paragraph><paragraph eId="art_43/para_2"><num>2</num><content><p> Il Consiglio federale può rinunciare alla ripetizione del controllo di sicurezza di base per talune funzioni dell’esercito e della protezione civile.</p></content></paragraph><paragraph eId="art_43/para_3"><num>3</num><content><p> Se ha motivo di presumere che dall’ultimo controllo sono emersi nuovi rischi, il servizio promotore o il servizio decisore può chiedere al servizio specializzato CSP, con motivazione scritta, la ripetizione del controllo di sicurezza relativo alle persone.</p></content></paragraph></article><article eId="art_44"><num><b>Art. 44</b></num><heading>Tutela giurisdizionale</heading><paragraph eId="art_44/para_1"><num>1</num><content><blockList><listIntroduction eId="art_44/para_1/listintro"> Dopo aver ricevuto la dichiarazione secondo l’articolo 39 capoverso 1, la persona controllata ha 30 giorni di tempo per:</listIntroduction><item eId="art_44/para_1/lbl_a"><num>a. </num><p>consultare i documenti relativi al controllo;</p></item><item eId="art_44/para_1/lbl_b"><num>b. </num><p>esigere la rettifica dei dati errati o la distruzione dei dati non più attuali;</p></item><item eId="art_44/para_1/lbl_c"><num>c. </num><p>far apporre una menzione che rileva il carattere contestato dei dati.</p></item></blockList></content></paragraph><paragraph eId="art_44/para_2"><num>2</num><content><p> La restrizione del diritto d’accesso è retta dall’articolo 26 LPD<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote>.<authorialNote><p> Nuovo testo giusta la cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_44/para_3"><num>3</num><content><p> La dichiarazione costituisce un atto materiale secondo l’articolo 25<i>a</i> della legge federale del 20 dicembre 1968<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1969/737_757_755" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.021</b></ref></p></authorialNote> sulla procedura amministrativa. La persona controllata può interporre ricorso contro una dichiarazione secondo l’articolo 39 capoverso 1 lettere b−d presso il Tribunale amministrativo federale entro 30 giorni dalla sua ricezione.</p></content></paragraph><paragraph eId="art_44/para_4"><num>4</num><content><p> Se il servizio decisore è il Tribunale federale o il Tribunale amministrativo federale, si applica per analogia l’articolo 36 capoversi 2 e 4 della legge del 24 marzo 2000<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2001/123" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.220.1</b></ref></p></authorialNote> sul personale federale.</p></content></paragraph><paragraph eId="art_44/para_5"><num>5</num><content><p> Del rimanente, la procedura di ricorso è retta dalle disposizioni generali sull’amministrazione della giustizia federale.</p></content></paragraph></article></section><section eId="chap_3/sec_5"><num>Sezione 5: </num><heading>Trattamento di dati personali</heading><article eId="art_45"><num><b>Art. 45</b></num><heading>Sistema d’informazione per i controlli di sicurezza relativi alle persone</heading><paragraph eId="art_45/para_1"><num>1</num><content><blockList><listIntroduction eId="art_45/para_1/listintro"> I servizi specializzati CSP gestiscono un sistema d’informazione. Quest’ultimo serve per l’esecuzione:</listIntroduction><item eId="art_45/para_1/lbl_a"><num>a. </num><p>dei controlli di sicurezza relativi alle persone;</p></item><item eId="art_45/para_1/lbl_b"><num>b. </num><p>delle valutazioni del potenziale di pericolo o di abuso per quanto riguarda l’arma personale;</p></item><item eId="art_45/para_1/lbl_c"><num>c. </num><p>dei controlli dell’affidabilità;</p></item><item eId="art_45/para_1/lbl_d"><num>d. </num><p>dei controlli dell’attendibilità.<authorialNote><p> Nuovo testo giusta la cifra II n. 2 della LF del 17 giu. 2022, in vigore dal 1° gen. 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/117" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2023</b> 117</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">650</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2021/3046" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2021</b> 3046</ref>).</p></authorialNote></p></item></blockList></content></paragraph><paragraph eId="art_45/para_2"><num>2</num><content><p> Ciascun servizio specializzato CSP è responsabile della liceità del trattamento dei dati personali contenuti nel sistema d’informazione. </p></content></paragraph><paragraph eId="art_45/para_3"><num>3</num><content><p> Nel sistema d’informazione possono essere trattati dati personali degni di particolare protezione secondo l’articolo 5 lettera c LPD<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote>, sempre che sia necessario per la valutazione del rischio per la sicurezza.<authorialNote><p> Nuovo testo giusta l’all. 2 n. 5, in vigore dal 1° gen. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2022</b> 232</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>;  <ref href="https://fedlex.data.admin.ch/eli/fga/2017/647" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2017</b> 2563</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_45/para_3_bis"><num>3bis</num><content><blockList><listIntroduction eId="art_45/para_3_bis/listintro"> Con i dati del sistema d’informazione può essere eseguita una profilazione, compresa una profilazione a rischio elevato, secondo la LPD per analizzare, valutare, qualificare o prevedere i seguenti aspetti personali di una persona fisica concernenti gli scopi del trattamento secondo il capoverso l:</listIntroduction><item eId="art_45/para_3_bis/lbl_a"><num>a. </num><p>rischio per la sicurezza;</p></item><item eId="art_45/para_3_bis/lbl_b"><num>b. </num><p>potenziale di pericolo e di abuso per quanto riguarda l’arma personale.<authorialNote><p> Introdotto dalla cifra II n. 2 della LF del 17 giu. 2022, in vigore dal 1° gen. 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/117" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2023</b> 117</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">650</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2021/3046" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2021</b> 3046</ref>).</p></authorialNote></p></item></blockList></content></paragraph><paragraph eId="art_45/para_4"><num>4</num><content><blockList><listIntroduction eId="art_45/para_4/listintro"> Il sistema d’informazione contiene i dati seguenti:</listIntroduction><item eId="art_45/para_4/lbl_a"><num>a.<authorialNote><p> Nuovo testo giusta l’all. n. 40 della LF del 18 dic. 2020 (Utilizzazione sistematica del  numero AVS da parte delle autorità), in vigore dal 1° gen. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2021/758" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2021</b> 758</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2019/2681" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2019 </b>6043</ref>).</p></authorialNote> </num><p>dati sull’identità delle persone da sottoporre al controllo o controllate, compreso il numero AVS e il numero del passaporto;</p></item><item eId="art_45/para_4/lbl_b"><num>b. </num><p>i dati secondo gli articoli 34 e 35;</p></item><item eId="art_45/para_4/lbl_c"><num>c. </num><p>la valutazione del rischio per la sicurezza;</p></item><item eId="art_45/para_4/lbl_d"><num>d. </num><p>la dichiarazione secondo l’articolo 39 capoverso 1;</p></item><item eId="art_45/para_4/lbl_e"><num>e. </num><p>la decisione del servizio decisore;</p></item><item eId="art_45/para_4/lbl_f"><num>f. </num><p>dati e atti di procedure di ricorso;</p></item><item eId="art_45/para_4/lbl_g"><num>g. </num><p>elenchi e statistiche che contengono dati secondo le lettere a‒f.</p></item></blockList></content></paragraph><paragraph eId="art_45/para_5"><num>5</num><content><p> Il trattamento dei dati di cui al capoverso 4 al di fuori del sistema d’informazione dev’essere menzionato nel sistema d’informazione.</p></content></paragraph><paragraph eId="art_45/para_6"><num>6</num><content><blockList><listIntroduction eId="art_45/para_6/listintro"> I dati di cui al capoverso 4 possono essere raccolti automaticamente e sistematicamente mediante interrogazione dei seguenti sistemi d’informazione:</listIntroduction><item eId="art_45/para_6/lbl_a"><num>a.<authorialNote><p> Nuovo testo giusta l’all. 2 n. 4, in vigore dal 1° gen. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2022</b> 232</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>;  <ref href="https://fedlex.data.admin.ch/eli/fga/2017/647" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2017</b> 2563</ref>).</p></authorialNote> </num><p>casellario giudiziale informatizzato VOSTRA conformemente alla legge del 17 giugno 2016<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/600" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>330</b></ref></p></authorialNote> sul casellario giudiziale;</p></item><item eId="art_45/para_6/lbl_b"><num>b. </num><p>registro nazionale di polizia di cui all’articolo 17 della legge federale del 13 giugno 2008<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2008/698" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>361</b></ref></p></authorialNote> sui sistemi d’informazione di polizia della Confederazione;</p></item><item eId="art_45/para_6/lbl_c"><num>c. </num><p>INDEX SIC di cui all’articolo 51 della legge federale del 25 settembre 2015<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2017/494" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>121</b></ref></p></authorialNote> sulle attività informative;</p></item><item eId="art_45/para_6/lbl_d"><num>d.<authorialNote><p> Introdotta dalla cifra II n. 2 della LF del 17 giu. 2022, in vigore dal 1° gen. 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/117" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2023</b> 117</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">650</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2021/3046" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2021</b> 3046</ref>).</p></authorialNote> </num><p>le banche dati dell’Ufficio centrale Armi secondo l’articolo 32<i>a</i> capoverso 1 della legge del 20 giugno 1997<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1998/2535_2535_2535" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>514.54</b></ref></p></authorialNote> sulle armi.</p></item></blockList></content></paragraph></article><article eId="art_46"><num><b>Art. 46</b></num><heading>Diritti d’accesso e comunicazione dei dati</heading><paragraph eId="art_46/para_1"><num>1</num><content><blockList><listIntroduction eId="art_46/para_1/listintro"> I servizi seguenti hanno accesso, mediante procedura di richiamo, ai dati qui appresso contenuti nel sistema d’informazione:</listIntroduction><item eId="art_46/para_1/lbl_a"><num>a. </num><p>i servizi promotori, ai dati di cui all’articolo 45 capoverso 4 lettera b che hanno registrato essi stessi in occasione dell’avvio del controllo nonché ai dati di cui all’articolo 45 capoverso 4 lettere a, d ed e;</p></item><item eId="art_46/para_1/lbl_b"><num>b. </num><p>i servizi decisori, ai dati di cui all’articolo 45 capoverso 4 lettere a, d ed e;</p></item><item eId="art_46/para_1/lbl_c"><num>c. </num><p>gli incaricati della sicurezza delle informazioni secondo l’articolo 81, per l’adempimento dei loro compiti di controllo, ai dati di cui all’articolo 45 capoverso 4 lettere a, d ed e;</p></item><item eId="art_46/para_1/lbl_d"><num>d. </num><p>i servizi della Confederazione e dei Cantoni presso i quali vengono raccolti dati secondo l’articolo 37, ai dati di cui all’articolo 45 capoverso 4 lettera a.</p></item></blockList></content></paragraph><paragraph eId="art_46/para_2"><num>2</num><content><blockList><listIntroduction eId="art_46/para_2/listintro"> I servizi seguenti hanno accesso, tramite un’interfaccia, ai dati qui appresso contenuti nel sistema d’informazione:</listIntroduction><item eId="art_46/para_2/lbl_a"><num>a. </num><p>il servizio specializzato di cui all’articolo 51 capoverso 2, per l’esecuzione della procedura di sicurezza relativa alle aziende secondo gli articoli 49‒73, tramite il sistema d’informazione di cui all’articolo 70, ai dati di cui all’articolo 45 capoverso 4 lettere a, d ed e;</p></item><item eId="art_46/para_2/lbl_b"><num>b. </num><blockList><listIntroduction eId="art_46/para_2/lbl_b/listintro">l’Aggruppamento Difesa:</listIntroduction><item eId="art_46/para_2/lbl_b/lbl_1"><num>1. </num><p>per l’adempimento dei suoi compiti secondo l’articolo 13 della legge federale del 3 ottobre 2008<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2009/823" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>510.91</b></ref></p></authorialNote> sui sistemi d’informazione militari (LSIM), tramite il sistema di gestione del personale dell’esercito di cui all’articolo 12 LSIM, ai dati di cui all’articolo 45 capoverso 4 lettere a, d ed e,</p></item><item eId="art_46/para_2/lbl_b/lbl_2"><num>2. </num><p>per l’adempimento dei suoi compiti secondo l’articolo 19 LSIM, tramite il sistema d’informazione per il reclutamento di cui all’articolo 18 LSIM, ai dati di cui all’articolo 45 capoverso 4 lettere a ed e,</p></item><item eId="art_46/para_2/lbl_b/lbl_3"><num>3. </num><p>per l’adempimento dei suoi compiti secondo l’articolo 157 LSIM, tramite il sistema d’informazione per le richieste di visita di cui all’articolo 156 LSIM, ai dati di cui all’articolo 45 capoverso 4 lettere a ed e,</p></item><item eId="art_46/para_2/lbl_b/lbl_4"><num>4. </num><p>per l’adempimento dei suoi compiti secondo l’articolo 163 LSIM, tramite il sistema d’informazione per i controlli dell’accesso di cui all’articolo 162 LSIM, ai dati di cui all’articolo 45 capoverso 4 lettere a ed e;</p></item></blockList></item><item eId="art_46/para_2/lbl_c"><num>c. </num><p>il servizio competente per le attestazioni di sicurezza internazionali di cui all’articolo 48 lettera c, ai dati di cui all’articolo 45 capoverso 4 lettere a, d ed e.</p></item></blockList></content></paragraph><paragraph eId="art_46/para_3"><num>3</num><content><p> I servizi specializzati CSP possono inoltre comunicare ad altri servizi della Confederazione dati di cui all’articolo 45 capoverso 4 lettere a ed e, sempre che sia necessario per il controllo dell’accesso a una zona di sicurezza.</p></content></paragraph><paragraph eId="art_46/para_4"><num>4</num><content><p> Possono comunicare alle autorità e organizzazioni assoggettate elenchi e statistiche di cui all’articolo 45 capoverso 1 lettera g, sempre che sia necessario per l’adempimento dei rispettivi compiti di controllo secondo la presente legge. </p></content></paragraph></article><article eId="art_47"><num><b>Art. 47</b></num><heading>Conservazione, archiviazione e distruzione dei dati</heading><paragraph eId="art_47/para_1"><num>1</num><content><p> I servizi specializzati CSP possono registrare le audizioni secondo l’articolo 34 capoversi 2 lettera d e 3 con apparecchiature tecniche e conservare le registrazioni su supporti di dati.</p></content></paragraph><paragraph eId="art_47/para_2"><num>2</num><content><p> Conservano i dati fintanto che la persona interessata esercita l’attività sensibile sotto il profilo della sicurezza, ma al massimo per dieci anni.</p></content></paragraph><paragraph eId="art_47/para_3"><num>3</num><content><p> L’archiviazione dei dati è retta dalle prescrizioni della legislazione in materia di archiviazione.</p></content></paragraph><paragraph eId="art_47/para_4"><num>4</num><content><p> Se la procedura di controllo è abbandonata oppure la persona controllata non assume la funzione prevista o rifiuta il mandato, tutti i dati e i documenti connessi con il controllo di sicurezza relativo alle persone sono distrutti al più tardi dopo tre mesi.</p></content></paragraph></article></section><section eId="chap_3/sec_6"><num>Sezione 6: </num><heading>Disposizioni del Consiglio federale</heading><article eId="art_48"><num><b>Art. </b><b>48</b></num><paragraph eId="art_48/para"><content><blockList><listIntroduction eId="art_48/para/listintro">Il Consiglio federale disciplina:</listIntroduction><item eId="art_48/para/lbl_a"><num>a. </num><p>la procedura del controllo di sicurezza relativo alle persone;</p></item><item eId="art_48/para/lbl_b"><num>b. </num><p>l’organizzazione dei servizi specializzati CSP;</p></item><item eId="art_48/para/lbl_c"><num>c. </num><p>le modalità di rilascio delle attestazioni di sicurezza per le persone che operano nel contesto internazionale;</p></item><item eId="art_48/para/lbl_d"><num>d. </num><p>la responsabilità della protezione dei dati in relazione con il sistema d’informazione di cui all’articolo 45 e la sicurezza dei dati;</p></item><item eId="art_48/para/lbl_e"><num>e. </num><p>il controllo periodico del trattamento dei dati personali da parte di un organo esterno.</p></item></blockList></content></paragraph></article></section></chapter><chapter eId="chap_4"><num>Capitolo 4: </num><heading>Procedura di sicurezza relativa alle aziende</heading><section eId="chap_4/sec_1"><num>Sezione 1: </num><heading>Disposizioni generali</heading><article eId="art_49"><num><b>Art. 49</b></num><heading>Scopo della procedura</heading><paragraph eId="art_49/para"><content><p>La procedura di sicurezza relativa alle aziende ha lo scopo di garantire la sicurezza delle informazioni in occasione dell’adempimento di mandati pubblici da parte di imprese, imprese subappaltatrici o loro parti (aziende), sempre che i mandati comportino l’esercizio di un’attività sensibile sotto il profilo della sicurezza (mandati sensibili).</p></content></paragraph></article><article eId="art_50"><num><b>Art. 50</b></num><heading>Aziende interessate</heading><paragraph eId="art_50/para_1"><num>1</num><content><blockList><listIntroduction eId="art_50/para_1/listintro"> Possono essere sottoposte alla procedura di sicurezza relativa alle aziende:</listIntroduction><item eId="art_50/para_1/lbl_a"><num>a. </num><p>le aziende alle quali un’autorità od organizzazione assoggettata intende assegnare un mandato sensibile;</p></item><item eId="art_50/para_1/lbl_b"><num>b. </num><p>le aziende con sede in Svizzera che si candidano per un mandato per il quale necessitano di un’attestazione di sicurezza aziendale secondo l’articolo 66.</p></item></blockList></content></paragraph><paragraph eId="art_50/para_2"><num>2</num><content><p> La procedura può essere eseguita soltanto con il consenso dell’azienda.</p></content></paragraph><paragraph eId="art_50/para_3"><num>3</num><content><p> Le aziende di cui al capoverso 1 lettera b assumono i costi della procedura.</p></content></paragraph></article><article eId="art_51"><num><b>Art. 51</b></num><heading>Abbandono della procedura</heading><paragraph eId="art_51/para_1"><num>1</num><content><blockList><listIntroduction eId="art_51/para_1/listintro"> La procedura di sicurezza relativa alle aziende è abbandonata se l’azienda:</listIntroduction><item eId="art_51/para_1/lbl_a"><num>a. </num><p>revoca il suo consenso o non collabora alla procedura;</p></item><item eId="art_51/para_1/lbl_b"><num>b. </num><p>ritira la sua offerta;</p></item><item eId="art_51/para_1/lbl_c"><num>c. </num><p>non entra più in considerazione per il mandato.</p></item></blockList></content></paragraph><paragraph eId="art_51/para_2"><num>2</num><content><p> Il servizio specializzato competente per l’esecuzione della procedura di sicurezza relativa alle aziende (Servizio specializzato PSA) comunica l’abbandono della procedura all’azienda e all’autorità od organizzazione aggiudicante (mandante).</p></content></paragraph></article></section><section eId="chap_4/sec_2"><num>Sezione 2: </num><heading>Avvio della procedura </heading><article eId="art_52"><num><b>Art. 52</b></num><heading>Domanda di avvio della procedura</heading><paragraph eId="art_52/para_1"><num>1</num><content><p> Le autorità e organizzazioni assoggettate che intendono assegnare un mandato sensibile domandano l’avvio della procedura al Servizio specializzato PSA.</p></content></paragraph><paragraph eId="art_52/para_2"><num>2</num><content><p> Le autorità assoggettate designano i servizi competenti per la presentazione della domanda.</p></content></paragraph><paragraph eId="art_52/para_3"><num>3</num><content><p> Per le aziende di cui all’articolo 50 capoverso 1 lettera b, la domanda è presentata dall’autorità estera o dall’organizzazione internazionale competente.</p></content></paragraph></article><article eId="art_53"><num><b>Art. 53</b></num><heading>Esame della domanda</heading><paragraph eId="art_53/para_1"><num>1</num><content><p> Il Servizio specializzato PSA esamina la domanda e avvia la procedura.</p></content></paragraph><paragraph eId="art_53/para_2"><num>2</num><content><p> Può, d’intesa con il mandante, rinunciare all’avvio della procedura se con altre misure il rischio per la sicurezza può essere ridotto a un livello accettabile. Raccomanda misure in tal senso.</p></content></paragraph></article><article eId="art_54"><num><b>Art. 5</b><b>4</b></num><heading>Definizione dei requisiti di sicurezza</heading><paragraph eId="art_54/para"><content><p>Il Servizio specializzato PSA definisce, d’intesa con il mandante, i requisiti in materia di sicurezza delle informazioni per la procedura di aggiudicazione e per l’adempimento del mandato.</p></content></paragraph></article></section><section eId="chap_4/sec_3"><num>Sezione 3: </num><heading>Valutazione delle aziende</heading><article eId="art_55"><num><b>Art. 55</b></num><heading>Idoneità</heading><paragraph eId="art_55/para_1"><num>1</num><content><p> Il mandante comunica al Servizio specializzato PSA quali aziende entrano in considerazione per l’esecuzione del mandato sensibile.</p></content></paragraph><paragraph eId="art_55/para_2"><num>2</num><content><p> Il Servizio specializzato PSA valuta se tali aziende sono idonee per l’esecuzione del mandato sensibile o se sussiste un rischio per la sicurezza.</p></content></paragraph><paragraph eId="art_55/para_3"><num>3</num><content><p> Nell’effettuare la sua valutazione non è vincolato a istruzioni.</p></content></paragraph></article><article eId="art_56"><num><b>Art. 56</b></num><heading>Raccolta dei dati</heading><paragraph eId="art_56/para_1"><num>1</num><content><blockList><listIntroduction eId="art_56/para_1/listintro"> Per la valutazione dell’idoneità, il Servizio specializzato PSA può raccogliere dati:</listIntroduction><item eId="art_56/para_1/lbl_a"><num>a. </num><p>presso l’azienda;</p></item><item eId="art_56/para_1/lbl_b"><num>b. </num><p>presso il SIC;</p></item><item eId="art_56/para_1/lbl_c"><num>c. </num><p>da fonti pubblicamente accessibili.</p></item></blockList></content></paragraph><paragraph eId="art_56/para_2"><num>2</num><content><p> Può chiedere a servizi esteri e internazionali di trasmettergli i corrispondenti dati. Le richieste a servizi d’informazioni esteri avvengono per il tramite del SIC.</p></content></paragraph></article><article eId="art_57"><num><b>Art. 57</b></num><heading>Rischio per la sicurezza</heading><paragraph eId="art_57/para_1"><num>1</num><content><p> Sussiste un rischio per la sicurezza se, sulla base dei dati raccolti, vi sono indizi concreti che con elevata probabilità l’azienda eseguirà il mandato sensibile in maniera contraria alle prescrizioni o non appropriata. </p></content></paragraph><paragraph eId="art_57/para_2"><num>2</num><content><blockList><listIntroduction eId="art_57/para_2/listintro"> La probabilità di un’esecuzione contraria alle prescrizioni o non appropriata del mandato sensibile può essere considerata elevata in particolare se:</listIntroduction><item eId="art_57/para_2/lbl_a"><num>a. </num><p>l’azienda manca d’integrità o affidabilità;</p></item><item eId="art_57/para_2/lbl_b"><num>b. </num><p>l’azienda è controllata da Stati esteri o da organizzazioni estere di diritto pubblico o privato oppure è sotto il loro influsso e tale controllo o influsso è incompatibile con la tutela degli interessi di cui all’articolo 1 capoverso 2;</p></item><item eId="art_57/para_2/lbl_c"><num>c. </num><p>per impiegati dell’azienda indispensabili all’esecuzione del mandato sensibile è stata rilasciata una dichiarazione di rischio.</p></item></blockList></content></paragraph><paragraph eId="art_57/para_3"><num>3</num><content><p> La valutazione del rischio per la sicurezza deve fondarsi, a prescindere dalla colpa, sulle circostanze oggettive inerenti all’azienda interessata.</p></content></paragraph></article><article eId="art_58"><num><b>Art. 58</b></num><heading>Notifica della valutazione ed esclusione dalla procedura di aggiudicazione</heading><paragraph eId="art_58/para_1"><num>1</num><content><p> Il Servizio specializzato PSA comunica la sua valutazione al mandante e la notifica all’azienda mediante decisione.</p></content></paragraph><paragraph eId="art_58/para_2"><num>2</num><content><p> Se il Servizio specializzato PSA giunge alla conclusione che l’esecuzione del mandato sensibile presenta un rischio per la sicurezza, il mandante esclude l’azienda dalla procedura di aggiudicazione.</p></content></paragraph><paragraph eId="art_58/para_3"><num>3</num><content><p> Se presso tutte le aziende prese in considerazione l’esecuzione del mandato sensibile presenta un rischio per la sicurezza, il mandante può comunque assegnare il mandato a una di esse. Il Servizio specializzato PSA abbandona la procedura di sicurezza relativa alle aziende. Il mandante applica per analogia le misure secondo gli articoli 59, 60, 63 e 64. </p></content></paragraph></article></section><section eId="chap_4/sec_4"><num>Sezione 4: </num><heading>Piano in materia di sicurezza</heading><article eId="art_59"><num><b>Art. 59</b></num><heading>Aggiudicazione e piano in materia di sicurezza</heading><paragraph eId="art_59/para_1"><num>1</num><content><p> Il mandante comunica al Servizio specializzato PSA quale azienda ha ottenuto il mandato.</p></content></paragraph><paragraph eId="art_59/para_2"><num>2</num><content><p> L’azienda allestisce un piano in materia di sicurezza secondo le direttive del Servizio specializzato PSA. </p></content></paragraph><paragraph eId="art_59/para_3"><num>3</num><content><p> Il Servizio specializzato PSA esamina il piano in materia di sicurezza. Può raccogliere i dati necessari per scritto o mediante un’ispezione dell’azienda.</p></content></paragraph></article><article eId="art_60"><num><b>Art. 60</b></num><heading>Controlli di sicurezza relativi alle persone</heading><paragraph eId="art_60/para_1"><num>1</num><content><p> Gli impiegati dell’azienda ai quali si intende affidare l’esercizio di un’attività sensibile sotto il profilo della sicurezza sono sottoposti a un controllo di sicurezza relativo alle persone.</p></content></paragraph><paragraph eId="art_60/para_2"><num>2</num><content><p> Il Servizio specializzato PSA è competente per la decisione secondo l’articolo 41 capoverso 2. Se la procedura è abbandonata perché non vi è nessuna azienda idonea per l’esecuzione del mandato (art. 58 cpv. 3), la decisione è di competenza del mandante.</p></content></paragraph></article></section><section eId="chap_4/sec_5"><num>Sezione 5: </num><heading>Dichiarazione di sicurezza aziendale</heading><article eId="art_61"><num><b>Art. 61</b></num><heading>Rilascio della dichiarazione di sicurezza aziendale</heading><paragraph eId="art_61/para_1"><num>1</num><content><p> Il Servizio specializzato PSA rilascia all’azienda una dichiarazione di sicurezza aziendale sotto forma di decisione non appena l’azienda ha attuato in maniera comprovata il piano in materia di sicurezza.</p></content></paragraph><paragraph eId="art_61/para_2"><num>2</num><content><p> Rifiuta di rilasciare la dichiarazione di sicurezza aziendale e abbandona la procedura di sicurezza relativa alle aziende se l’azienda non attua il piano in materia di sicurezza. Pronuncia una decisione corrispondente.</p></content></paragraph><paragraph eId="art_61/para_3"><num>3</num><content><p> Le decisioni secondo i capoversi 1 e 2 sono comunicate al mandante.</p></content></paragraph><paragraph eId="art_61/para_4"><num>4</num><content><p> Il mandante è vincolato alla decisione del Servizio specializzato PSA; è fatto salvo l’articolo 58 capoverso 3.</p></content></paragraph><paragraph eId="art_61/para_5"><num>5</num><content><p> La durata di validità della dichiarazione di sicurezza aziendale è di cinque anni.</p></content></paragraph></article><article eId="art_62"><num><b>Art. 62</b></num><heading>Esecuzione di un mandato sensibile</heading><paragraph eId="art_62/para"><content><p>Il mandante può autorizzare l’esecuzione di un mandato sensibile soltanto dopo che il Servizio specializzato PSA ha rilasciato la dichiarazione di sicurezza aziendale.</p></content></paragraph></article><article eId="art_63"><num><b>Art. 63</b></num><heading>Obblighi dell’azienda</heading><paragraph eId="art_63/para_1"><num>1</num><content><p> Le aziende titolari di una dichiarazione di sicurezza aziendale devono applicare in permanenza le misure del piano in materia di sicurezza.</p></content></paragraph><paragraph eId="art_63/para_2"><num>2</num><content><p> Annunciano senza indugio al Servizio specializzato PSA e al mandante tutti i cambiamenti e gli incidenti rilevanti sotto il profilo della sicurezza.</p></content></paragraph></article><article eId="art_64"><num><b>Art. 64</b></num><heading>Controlli e misure di protezione</heading><paragraph eId="art_64/para_1"><num>1</num><content><blockList><listIntroduction eId="art_64/para_1/listintro"> Il Servizio specializzato PSA è autorizzato a:</listIntroduction><item eId="art_64/para_1/lbl_a"><num>a. </num><p>ispezionare senza preavviso i settori nei quali è eseguito il mandato sensibile;</p></item><item eId="art_64/para_1/lbl_b"><num>b. </num><p>consultare i documenti rilevanti per il mandato.</p></item></blockList></content></paragraph><paragraph eId="art_64/para_2"><num>2</num><content><p> Se sussistono indizi concreti che in un’azienda la sicurezza delle informazioni è minacciata, il Servizio specializzato PSA può adottare immediatamente le misure di protezione necessarie e in particolare mettere al sicuro documenti e materiale.</p></content></paragraph></article><article eId="art_65"><num><b>Art. 65</b></num><heading>Procedura semplificata in caso di aggiudicazione di altri mandati sensibili</heading><paragraph eId="art_65/para"><content><p>Le aziende titolari di una dichiarazione di sicurezza aziendale sono considerate idonee per altri mandati sensibili. Il Servizio specializzato PSA verifica se il piano in materia di sicurezza dev’essere adeguato.</p></content></paragraph></article><article eId="art_66"><num><b>Art. 66</b></num><heading>Attestazione internazionale di sicurezza aziendale </heading><paragraph eId="art_66/para"><content><p>Il Servizio specializzato PSA rilascia all’azienda interessata, su richiesta, un’attestazione internazionale di sicurezza aziendale.</p></content></paragraph></article><article eId="art_67"><num><b>Art. 67</b></num><heading>Revoca della dichiarazione di sicurezza aziendale</heading><paragraph eId="art_67/para_1"><num>1</num><content><blockList><listIntroduction eId="art_67/para_1/listintro"> Il Servizio specializzato PSA revoca la dichiarazione di sicurezza aziendale se:</listIntroduction><item eId="art_67/para_1/lbl_a"><num>a. </num><p>l’azienda non adempie i propri obblighi secondo l’articolo 63;</p></item><item eId="art_67/para_1/lbl_b"><num>b. </num><p>nel quadro di una ripetizione della procedura emerge un rischio per la sicurezza.</p></item></blockList></content></paragraph><paragraph eId="art_67/para_2"><num>2</num><content><p> Comunica la revoca all’azienda e al mandante mediante decisione.</p></content></paragraph><paragraph eId="art_67/para_3"><num>3</num><content><p> Se la dichiarazione di sicurezza aziendale è revocata, il mandante ritira immediatamente il mandato; è fatto salvo l’articolo 58 capoverso 3. L’azienda non ha diritto ad alcun indennizzo.</p></content></paragraph></article></section><section eId="chap_4/sec_6"><num>Sezione 6: </num><heading>Ripetizione della procedura e tutela giurisdizionale</heading><article eId="art_68"><num><b>Art. 68</b></num><heading>Ripetizione della procedura</heading><paragraph eId="art_68/para"><content><blockList><listIntroduction eId="art_68/para/listintro">La procedura di sicurezza relativa alle aziende è ripetuta se:</listIntroduction><item eId="art_68/para/lbl_a"><num>a. </num><p>al momento della scadenza della validità della dichiarazione di sicurezza aziendale è in corso l’esecuzione di un mandato sensibile;</p></item><item eId="art_68/para/lbl_b"><num>b. </num><p>vi sono indizi concreti che in seguito a cambiamenti sostanziali in seno all’azienda sono emersi nuovi rischi per la sicurezza.</p></item></blockList></content></paragraph></article><article eId="art_69"><num><b>Art. 69</b></num><heading>Tutela giurisdizionale</heading><paragraph eId="art_69/para_1"><num>1</num><content><blockList><listIntroduction eId="art_69/para_1/listintro"> Dopo la notifica di una decisione del Servizio specializzato PSA, l’azienda ha 30 giorni di tempo per:</listIntroduction><item eId="art_69/para_1/lbl_a"><num>a. </num><p>consultare i documenti;</p></item><item eId="art_69/para_1/lbl_b"><num>b. </num><p>esigere la rettifica dei dati errati o la distruzione dei dati non più attuali;</p></item><item eId="art_69/para_1/lbl_c"><num>c. </num><p>far apporre una menzione che rileva il carattere contestato dei dati;</p></item><item eId="art_69/para_1/lbl_d"><num>d. </num><p>interporre ricorso presso il Tribunale amministrativo federale.</p></item></blockList></content></paragraph><paragraph eId="art_69/para_2"><num>2</num><content><p> La restrizione del diritto d’accesso è retta dall’articolo 26 LPD<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote>.<authorialNote><p> Nuovo testo giusta l’all. 2 n. 5, in vigore dal 1° gen. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2022</b> 232</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>;  <ref href="https://fedlex.data.admin.ch/eli/fga/2017/647" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2017</b> 2563</ref>).</p></authorialNote></p></content></paragraph></article></section><section eId="chap_4/sec_7"><num>Sezione 7: </num><heading>Trattamento dei dati personali</heading><article eId="art_70"><num><b>Art. 70</b></num><heading>Sistema d’informazione per la procedura di sicurezza relativa alle aziende</heading><paragraph eId="art_70/para_1"><num>1</num><content><p> Il Servizio specializzato PSA gestisce un sistema d’informazione per l’esecuzione e la gestione della procedura di sicurezza relativa alle aziende.</p></content></paragraph><paragraph eId="art_70/para_2"><num>2</num><content><p> Nel sistema d’informazione possono essere trattati dati personali degni di particolare protezione secondo l’articolo 5 lettera c LPD<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote>, sempre che sia necessario per l’esecuzione della procedura di sicurezza relativa alle aziende.<authorialNote><p> Nuovo testo giusta l’all. 2 n. 5, in vigore dal 1° gen. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2022</b> 232</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>;  <ref href="https://fedlex.data.admin.ch/eli/fga/2017/647" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2017</b> 2563</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_70/para_3"><num>3</num><content><blockList><listIntroduction eId="art_70/para_3/listintro"> Il sistema d’informazione contiene i dati seguenti:</listIntroduction><item eId="art_70/para_3/lbl_a"><num>a. </num><p>i dati secondo gli articoli 56 e 59 capoverso 3;</p></item><item eId="art_70/para_3/lbl_b"><num>b. </num><p>il risultato della valutazione secondo l’articolo 55 capoverso 2;</p></item><item eId="art_70/para_3/lbl_c"><num>c. </num><p>i risultati dei controlli di sicurezza relativi alle persone secondo l’articolo 60 capoverso 1 necessari per la procedura di sicurezza relativa alle aziende;</p></item><item eId="art_70/para_3/lbl_d"><num>d. </num><p>la decisione del Servizio specializzato PSA secondo l’articolo 60 capoverso 2;</p></item><item eId="art_70/para_3/lbl_e"><num>e. </num><p>i nomi di tutte le aziende titolari di una dichiarazione di sicurezza aziendale;</p></item><item eId="art_70/para_3/lbl_f"><num>f. </num><p>le misure risultanti da eventuali controlli secondo l’articolo 64;</p></item><item eId="art_70/para_3/lbl_g"><num>g. </num><p>dati e atti di procedure di ricorso.</p></item></blockList></content></paragraph><paragraph eId="art_70/para_4"><num>4</num><content><p> Il Servizio specializzato PSA è responsabile della sicurezza del sistema d’informazione e della liceità del trattamento dei dati personali.</p></content></paragraph></article><article eId="art_71"><num><b>Art. 71</b></num><heading>Diritti d’accesso e comunicazione dei dati</heading><paragraph eId="art_71/para_1"><num>1</num><content><blockList><listIntroduction eId="art_71/para_1/listintro"> I servizi seguenti hanno accesso, mediante procedura di richiamo, ai dati qui appresso:</listIntroduction><item eId="art_71/para_1/lbl_a"><num>a. </num><p>i mandanti, ai dati di cui all’articolo 70 capoverso 3 lettere b e d‒g;</p></item><item eId="art_71/para_1/lbl_b"><num>b. </num><p>le aziende interessate, sempre che siano state autorizzate dal Consiglio federale, in virtù dell’articolo 31 capoverso 1 lettera a, ad avviare controlli di sicurezza relativi alle persone nel rispettivo ambito di competenza, ai dati di cui all’articolo 70 capoverso 3 lettera d.</p></item></blockList></content></paragraph><paragraph eId="art_71/para_2"><num>2</num><content><p> Il Servizio specializzato PSA può inoltre comunicare ad altri servizi della Confederazione i dati di cui all’articolo 70 capoverso 3 lettere b‒d, sempre che sia necessario per garantire la sicurezza delle informazioni.</p></content></paragraph></article><article eId="art_72"><num><b>Art. 72</b></num><heading>Conservazione, archiviazione e distruzione dei dati</heading><paragraph eId="art_72/para_1"><num>1</num><content><p> Il Servizio specializzato PSA conserva i dati fintanto che l’azienda interessata è in possesso di una dichiarazione di sicurezza aziendale, ma al massimo per dieci anni.</p></content></paragraph><paragraph eId="art_72/para_2"><num>2</num><content><p> L’archiviazione dei dati è retta dalle disposizioni della legislazione in materia di archiviazione.</p></content></paragraph><paragraph eId="art_72/para_3"><num>3</num><content><p> Se la procedura di sicurezza relativa alle aziende è abbandonata, tutti i relativi dati e atti sono distrutti al più tardi dopo tre mesi.</p></content></paragraph></article></section><section eId="chap_4/sec_8"><num>Sezione 8: </num><heading>Disposizioni del Consiglio federale</heading><article eId="art_73"><num><b>Art. </b><b>73</b></num><paragraph eId="art_73/para"><content><blockList><listIntroduction eId="art_73/para/listintro">Il Consiglio federale disciplina:</listIntroduction><item eId="art_73/para/lbl_a"><num>a. </num><p>i dettagli della procedura di sicurezza relativa alle aziende;</p></item><item eId="art_73/para/lbl_b"><num>b. </num><p>l’applicazione alle imprese subappaltatrici della procedura di sicurezza relativa alle aziende; </p></item><item eId="art_73/para/lbl_c"><num>c. </num><p>l’organizzazione del Servizio specializzato PSA;</p></item><item eId="art_73/para/lbl_d"><num>d. </num><p>la sicurezza dei dati nel sistema d’informazione secondo l’articolo 70;</p></item><item eId="art_73/para/lbl_e"><num>e. </num><p>il controllo periodico del trattamento dei dati personali da parte di un organo esterno.</p></item></blockList></content></paragraph></article></section></chapter><chapter eId="chap_5"><num>Capitolo 5: </num><heading>Misure della Confederazione per la protezione della Svizzera dalle ciberminacce<authorialNote><p> Nuovo testo giusta la cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></heading><section eId="chap_5/sec_1"><num>Sezione 1: </num><heading>Disposizioni generali<inline name="man-font-weight-normal"><authorialNote><p> Introdotta dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></inline></heading><article eId="art_73_a"><num><b>Art. 73</b><i>a</i><authorialNote><p> Introdotto dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Principio</heading><paragraph eId="art_73_a/para_1"><num>1</num><content><p> Per proteggere la Svizzera dalle ciberminacce, il UFCS effettua analisi tecniche al fine di valutare e contrastare ciberincidenti e ciberminacce, nonché di indentificare ed eliminare vulnerabilità.</p></content></paragraph><paragraph eId="art_73_a/para_2"><num>2</num><content><blockList><listIntroduction eId="art_73_a/para_2/listintro"> Sulla base delle analisi, il UFCS svolge in particolare i seguenti compiti:</listIntroduction><item eId="art_73_a/para_2/lbl_a"><num>a. </num><p>sensibilizzare e avvisare il pubblico riguardo alle ciberminacce;</p></item><item eId="art_73_a/para_2/lbl_b"><num>b. </num><p>avvisare le autorità, le organizzazioni e le persone interessate in caso di ciberminacce imminenti o di ciberattacchi in corso;</p></item><item eId="art_73_a/para_2/lbl_c"><num>c. </num><p>pubblicare informazioni sulla cibersicurezza e raccomandazioni per l’adozione di misure preventive e reattive contro i ciberincidenti;</p></item><item eId="art_73_a/para_2/lbl_d"><num>d. </num><p>ricevere e trattare le segnalazioni riguardanti ciberincidenti e ciberminacce;</p></item><item eId="art_73_a/para_2/lbl_e"><num>e. </num><p>sostenere i gestori di infrastrutture critiche.</p></item></blockList></content></paragraph></article><article eId="art_73_b"><num><b>Art. 73</b><i>b</i><authorialNote><p> Introdotto dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Segnalazioni</heading><paragraph eId="art_73_b/para_1"><num>1</num><content><p> Il UFCS è il destinatario delle segnalazioni riguardanti ciberincidenti e ciberminacce. Le segnalazioni possono essere anonime.</p></content></paragraph><paragraph eId="art_73_b/para_2"><num>2</num><content><p> Il UFCS analizza le segnalazioni in relazione alla loro rilevanza per la protezione della Svizzera dalle ciberminacce. Su richiesta, il UFCS emana una raccomandazione su come procedere, sempre che non siano necessari ulteriori analisi e chiarimenti.</p></content></paragraph><paragraph eId="art_73_b/para_3"><num>3</num><content><p> Se viene a conoscenza di vulnerabilità, il UFCS informa immediatamente il produttore dell’hardware o del software interessato e gli fissa un congruo termine per eliminarle. Gli indica che un’inosservanza può essere sanzionata secondo il diritto in materia di appalti pubblici (art. 44 cpv. 1 lett. f<sup>bis</sup> della legge federale del 21 giugno 2019<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2020/126" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.056.1</b></ref></p></authorialNote> sugli appalti pubblici) e che il UFCS, allo scadere del termine, può rendere pubblica la vulnerabilità ai sensi dell’articolo 73<i>c</i> capoverso 2.</p></content></paragraph></article><article eId="art_73_c"><num><b>Art. 73</b><i>c</i><authorialNote><p> Introdotto dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Pubblicazione di informazioni provenienti da segnalazioni</heading><paragraph eId="art_73_c/para_1"><num>1</num><content><p> Il UFCS può pubblicare informazioni relative a ciberincidenti, sempre che ciò serva alla protezione contro le ciberminacce. Queste informazioni possono contenere dati relativi alla persona fisica o giuridica interessata soltanto se quest’ultima vi acconsente e se i dati concernono le caratteristiche d’identificazione e gli elementi d’indirizzo che sono stati utilizzati in modo abusivo.</p></content></paragraph><paragraph eId="art_73_c/para_2"><num>2</num><content><p> Il UFCS può pubblicare informazioni relative a vulnerabilità indicando l’hardware o il software interessato, sempre che il produttore vi acconsenta o non abbia eliminato la vulnerabilità entro il termine di cui all’articolo 73<i>b</i> capoverso 3.</p></content></paragraph></article><article eId="art_73_d"><num><b>Art. 73</b><i>d</i><authorialNote><p> Introdotto dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Inoltro di informazioni</heading><paragraph eId="art_73_d/para_1"><num>1</num><content><p> Il UFCS può inoltrare informazioni provenienti da segnalazioni ad autorità e organizzazioni attive nel settore della cibersicurezza. Queste informazioni possono contenere dati personali soltanto se la persona interessata vi acconsente.</p></content></paragraph><paragraph eId="art_73_d/para_2"><num>2</num><content><p> Se dalla segnalazione di un ciberincidente o dalla sua analisi emergono informazioni necessarie a individuare tempestivamente e sventare minacce per la sicurezza interna o esterna, a valutare la situazione di minaccia o ad assicurare un servizio di preallerta informativa per la protezione di infrastrutture critiche secondo l’articolo 6 capoversi 1 lettera a, 2 e 5 della legge federale del 25 settembre 2015<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2017/494" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>121</b></ref></p></authorialNote> sulle attività informative (LAIn), il UFCS inoltra queste informazioni al SIC.</p></content></paragraph><paragraph eId="art_73_d/para_3"><num>3</num><content><p> I collaboratori del UFCS che nell’ambito di una segnalazione o della sua analisi constatano indizi di un possibile reato lo denunciano unicamente al direttore del UFCS, in deroga all’articolo 22<i>a</i> capoverso 1 della legge del 24 marzo 2000<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2001/123" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.220.1</b></ref></p></authorialNote> sul personale federale. Se la gravità del possibile reato lo esige, il direttore del UFCS può sporgere denuncia presso le autorità di perseguimento penale.</p></content></paragraph><paragraph eId="art_73_d/para_4"><num>4</num><content><p> Il UFCS può inoltrare informazioni che rivelano segreti protetti dal diritto penale unicamente secondo quanto disposto dall’articolo 320 del Codice penale<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/54/757_781_799" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>311.0</b></ref></p></authorialNote>.</p></content></paragraph></article><article eId="art_74"><num><b>Art. 74</b><authorialNote><p> Nuovo testo giusta la cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Sostegno ai gestori di infrastrutture critiche</heading><paragraph eId="art_74/para_1"><num>1</num><content><p> Il UFCS sostiene i gestori di infrastrutture critiche nella protezione contro le ciberminacce.</p></content></paragraph><paragraph eId="art_74/para_2"><num>2</num><content><blockList><listIntroduction eId="art_74/para_2/listintro"> Mette loro a disposizione gratuitamente per l’utilizzo su base volontaria in particolare i seguenti strumenti:</listIntroduction><item eId="art_74/para_2/lbl_a"><num>a. </num><p>un sistema di comunicazione per lo scambio sicuro delle informazioni;</p></item><item eId="art_74/para_2/lbl_b"><num>b. </num><p>informazioni tecniche sulle ciberminacce attuali e raccomandazioni per l’adozione di misure preventive e reattive contro i ciberincidenti;</p></item><item eId="art_74/para_2/lbl_c"><num>c. </num><p>strumenti tecnici e istruzioni per l’individuazione di ciberincidenti che rispondono alle elevate esigenze di protezione delle infrastrutture critiche.</p></item></blockList></content></paragraph><paragraph eId="art_74/para_3"><num>3</num><content><p> Il UFCS può fornire loro consulenza e sostegno nel far fronte a ciberincidenti ed eliminare vulnerabilità se il funzionamento dell’infrastruttura critica interessata rischia di essere compromesso e, nel caso si tratti di gestori privati, se non è possibile procurarsi per tempo un sostegno equivalente sul mercato.</p></content></paragraph><paragraph eId="art_74/para_4"><num>4</num><content><p> Previo consenso del gestore interessato, il UFCS può accedere alle informazioni e ai mezzi informatici di quest’ultimo per analizzare un ciberincidente.</p></content></paragraph></article></section><section eId="chap_5/sec_2"><num>Sezione 2:<inline name="man-font-weight-normal"><authorialNote><p> Introdotta dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></inline></num><heading>Obbligo di segnalare ciberattacchi</heading><article eId="art_74_a"><num><b>Art. 74</b><i>a</i></num><heading>Principi</heading><paragraph eId="art_74_a/para_1"><num>1</num><content><p> Le autorità e le organizzazioni di cui all’articolo 74<i>b</i> provvedono affinché i ciberattacchi verso i loro mezzi informatici siano segnalati all’UFCS.</p></content></paragraph><paragraph eId="art_74_a/para_2"><num>2</num><content><p> Il UFCS informa le autorità e organizzazioni interessate sul loro eventuale assoggettamento all’obbligo di segnalazione; su richiesta, pronuncia una decisione sull’assoggettamento a tale obbligo.</p></content></paragraph><paragraph eId="art_74_a/para_3"><num>3</num><content><p> La segnalazione di un ciberattacco conferisce alle autorità e organizzazioni assoggettate all’obbligo di segnalazione il diritto a ottenere sostegno dall’UFCS nel far fronte all’incidente secondo l’articolo 74 capoverso 3.</p></content></paragraph><paragraph eId="art_74_a/para_4"><num>4</num><content><p> L’obbligo di segnalazione è finalizzato soltanto a consentire all’UFCS di individuare tempestivamente il modo operativo utilizzato negli attacchi contro infrastrutture critiche, così da avvisare possibili interessati e raccomandare loro misure di prevenzione e di difesa adeguate.</p></content></paragraph></article><article eId="art_74_b"><num><b>Art. 74</b><i>b</i></num><heading>Autorità e organizzazioni assoggettate all’obbligo di segnalazione</heading><paragraph eId="art_74_b/para_1"><num>1</num><content><blockList><listIntroduction eId="art_74_b/para_1/listintro"> L’obbligo di segnalazione si applica:</listIntroduction><item eId="art_74_b/para_1/lbl_a"><num>a. </num><p>alle scuole universitarie secondo l’articolo 2 capoverso 2 della legge federale del 30 settembre 2011<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2014/691" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>414.20</b></ref></p></authorialNote> sulla promozione e sul coordinamento del settore universitario svizzero;</p></item><item eId="art_74_b/para_1/lbl_b"><num>b. </num><p>alle autorità federali, cantonali e comunali nonché alle organizzazioni intercantonali, cantonali e intercomunali; è eccettuato l’Aggruppamento Difesa, laddove l’esercito presti servizio d’appoggio secondo articolo 67 o servizio attivo secondo l’articolo 76 della legge militare del 3 febbraio 1995<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1995/4093_4093_4093" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>510.10</b></ref></p></authorialNote>;</p></item><item eId="art_74_b/para_1/lbl_c"><num>c. </num><p>alle organizzazioni cui sono affidati compiti di diritto pubblico nei settori della sicurezza e del salvataggio, dell’approvvigionamento di acqua potabile, del trattamento delle acque di scarico e dello smaltimento dei rifiuti;</p></item><item eId="art_74_b/para_1/lbl_d"><num>d. </num><p>alle imprese attive nel settore dell’approvvigionamento energetico secondo l’articolo 6 capoverso 1 della legge federale del 30 settembre 2016<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2017/762" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>730.0</b></ref></p></authorialNote> sull’energia, nonché nel commercio, nella misurazione e nella gestione dell’energia; sono esentati i titolari di licenze conformemente alla legge federale del 21 marzo 2003<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2004/723" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>732.1</b></ref></p></authorialNote> sull’energia nucleare, per quanto riguarda i ciberattacchi effettuati contro un impianto nucleare;</p></item><item eId="art_74_b/para_1/lbl_e"><num>e. </num><p>alle imprese che sottostanno alla legge dell’8 novembre 1934<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/51/117_121_129" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>952.0</b></ref></p></authorialNote> sulle banche, alla legge del 17 dicembre 2004<authorialNote><p> <ref href="https://www.fedlex.admin.ch/eli/cc/2005/734/de"/><ref href="https://fedlex.data.admin.ch/eli/cc/2005/734" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><ref href="https://www.fedlex.admin.ch/eli/cc/2005/734/de">RS<b> 961.01</b></ref></ref></p></authorialNote> sulla sorveglianza degli assicuratori o alla legge del 19 giugno 2015<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2015/853" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>958.1</b></ref></p></authorialNote> sull’infrastruttura finanziaria;</p></item><item eId="art_74_b/para_1/lbl_f"><num>f. </num><p>agli stabilimenti che figurano nell’elenco cantonale di cui all’articolo 39 capoverso 1 lettera e della legge federale del 18 marzo 1994<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1995/1328_1328_1328" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>832.10</b></ref></p></authorialNote> sull’assicurazione malattie;</p></item><item eId="art_74_b/para_1/lbl_g"><num>g. </num><p>ai laboratori medici che dispongono di un’autorizzazione secondo l’articolo 16 capoverso 1 della legge del 28 settembre 2012<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2015/297" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>818.101</b></ref></p></authorialNote> sulle epidemie;</p></item><item eId="art_74_b/para_1/lbl_h"><num>h. </num><p>alle imprese che dispongono di un’omologazione secondo la legge del 15 dicembre 2000<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2001/422" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>812.21</b></ref></p></authorialNote> sugli agenti terapeutici per la fabbricazione, l’immissione in commercio e l’importazione di medicamenti;</p></item><item eId="art_74_b/para_1/lbl_i"><num>i. </num><p>alle organizzazioni che forniscono prestazioni volte a coprire le conseguenze di malattie, infortuni, incapacità al lavoro e al guadagno, vecchiaia, invalidità e grande invalidità;</p></item><item eId="art_74_b/para_1/lbl_j"><num>j. </num><p>alla Società svizzera di radiotelevisione;</p></item><item eId="art_74_b/para_1/lbl_k"><num>k. </num><p>alle agenzie di stampa d’importanza nazionale;</p></item><item eId="art_74_b/para_1/lbl_l"><num>l. </num><p>ai fornitori di servizi postali registrati presso la Commissione delle poste secondo l’articolo 4 capoverso 1 della legge del 17 dicembre 2010<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2012/585" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>783.0</b></ref></p></authorialNote> sulle poste;</p></item><item eId="art_74_b/para_1/lbl_m"><num>m. </num><p>alle imprese ferroviarie secondo gli articoli 5 o 8<i>c</i> della legge federale del 20 dicembre 1957<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1958/335_341_347" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>742.101</b></ref></p></authorialNote> sulle ferrovie e alle imprese che gestiscono impianti di trasporto a fune, linee filoviarie, autobus e battelli e sono titolari di una concessione secondo l’articolo 6 della legge del 20 marzo 2009<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2009/680" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>745.1</b></ref></p></authorialNote> sul trasporto di viaggiatori;</p></item><item eId="art_74_b/para_1/lbl_n"><num>n. </num><p>alle imprese dell’aviazione civile che dispongono di un’autorizzazione dell’Ufficio federale dell’aviazione civile e agli aeroporti nazionali conformemente al Piano settoriale dei trasporti, Parte Infrastruttura aeronautica;</p></item><item eId="art_74_b/para_1/lbl_o"><num>o. </num><p>alle imprese che trasportano merci sul Reno secondo la legge federale del 23 settembre 1953<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1956/1305_1395_1407" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>747.30</b></ref></p></authorialNote> sulla navigazione marittima sotto bandiera svizzera e alle imprese che gestiscono l’iscrizione, il carico o lo scarico nei porti di Basilea;</p></item><item eId="art_74_b/para_1/lbl_p"><num>p. </num><p>alle imprese che riforniscono la popolazione di beni indispensabili di uso quotidiano e il cui dissesto totale o parziale comporterebbe considerevoli difficoltà di approvvigionamento;</p></item><item eId="art_74_b/para_1/lbl_q"><num>q. </num><p>ai fornitori di servizi di telecomunicazione registrati presso l’Ufficio federale delle comunicazioni secondo l’articolo 4 capoverso 1 LTC<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2187_2187_2187" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>784.10</b></ref></p></authorialNote>;</p></item><item eId="art_74_b/para_1/lbl_r"><num>r. </num><p>ai gestori di registri e ai centri di registrazione di domini Internet secondo l’articolo 28<i>b</i> LTC;</p></item><item eId="art_74_b/para_1/lbl_s"><num>s. </num><p>ai fornitori e ai gestori di servizi e infrastrutture che servono all’esercizio dei diritti politici;</p></item><item eId="art_74_b/para_1/lbl_t"><num>t. </num><p>ai fornitori e ai gestori di servizi di nuvole informatiche, motori di ricerca o servizi di sicurezza e fiduciari digitali nonché ai centri di calcolo, sempre che abbiano una sede in Svizzera;</p></item><item eId="art_74_b/para_1/lbl_u"><num>u. </num><blockList><listIntroduction eId="art_74_b/para_1/lbl_u/listintro">ai produttori di hardware o software i cui prodotti sono utilizzati da infrastrutture critiche, sempre che tali hardware o software abbiano un accesso remoto per la manutenzione o siano impiegati per uno dei seguenti scopi:</listIntroduction><item eId="art_74_b/para_1/lbl_u/lbl_1"><num>1. </num><p>la gestione e il monitoraggio di sistemi e processi tecnici,</p></item><item eId="art_74_b/para_1/lbl_u/lbl_2"><num>2. </num><p>la garanzia della sicurezza pubblica.</p></item></blockList></item></blockList></content></paragraph><paragraph eId="art_74_b/para_2"><num>2</num><content><p> Le autorità e organizzazioni che esercitano anche attività non rientranti nel campo di applicazione del capoverso 1 non hanno l’obbligo di segnalare i ciberattacchi che hanno ripercussioni unicamente su queste attività.</p></content></paragraph><paragraph eId="art_74_b/para_3"><num>3</num><content><p> L’obbligo di segnalazione di cui al capoverso 1 si applica a ciberattacchi che hanno ripercussioni in Svizzera anche se i mezzi informatici interessati si trovano all’estero.</p></content></paragraph></article><article eId="art_74_c"><num><b>Art. 74</b><i>c</i></num><heading>Eccezioni all’obbligo di segnalazione</heading><paragraph eId="art_74_c/para"><content><p>Il Consiglio federale esenta le autorità e organizzazioni dall’obbligo di segnalazione di cui all’articolo 74<i>b</i> per quanto riguarda i ciberattacchi che causano guasti funzionali con ripercussioni minime sul funzionamento dell’economia o sul benessere della popolazione.</p></content></paragraph></article><article eId="art_74_d"><num><b>Art. 74</b><i>d</i></num><heading>Ciberattacchi da segnalare</heading><paragraph eId="art_74_d/para"><content><blockList><listIntroduction eId="art_74_d/para/listintro">Un ciberattacco deve essere segnalato se:</listIntroduction><item eId="art_74_d/para/lbl_a"><num>a. </num><p>compromette il funzionamento dell’infrastruttura critica interessata;</p></item><item eId="art_74_d/para/lbl_b"><num>b. </num><p>ha comportato una manipolazione o una fuga di informazioni;</p></item><item eId="art_74_d/para/lbl_c"><num>c. </num><p>non è stato identificato per un periodo prolungato, in particolare se vi sono indizi secondo cui potrebbe essere stato effettuato per preparare altri ciberattacchi; o</p></item><item eId="art_74_d/para/lbl_d"><num>d. </num><p>è connesso al reato di estorsione, minaccia o coazione.</p></item></blockList></content></paragraph></article><article eId="art_74_e"><num><b>Art. 74</b><i>e</i></num><heading>Termine e contenuto della segnalazione</heading><paragraph eId="art_74_e/para_1"><num>1</num><content><p> La segnalazione deve avvenire entro le 24 ore successive all’individuazione del ciberattacco.</p></content></paragraph><paragraph eId="art_74_e/para_2"><num>2</num><content><p> Contiene informazioni sull’autorità o sull’organizzazione assoggettata all’obbligo di segnalazione, sul tipo di ciberattacco e sulla sua esecuzione, sulle sue ripercussioni, sulle misure adottate e, se note, sulle misure previste.</p></content></paragraph><paragraph eId="art_74_e/para_3"><num>3</num><content><p> Se al momento della segnalazione non sono ancora note tutte le informazioni necessarie, l’autorità o l’organizzazione assoggettata all’obbligo di segnalazione completa la stessa non appena dispone di nuove informazioni.</p></content></paragraph><paragraph eId="art_74_e/para_4"><num>4</num><content><p> Chi deve adempiere l’obbligo di segnalazione per conto di un’autorità o di un’organizzazione non è tenuto, nel quadro della segnalazione, a fornire indicazioni che lo rendono penalmente perseguibile.</p></content></paragraph><paragraph eId="art_74_e/para_5"><num>5</num><content><p> Il UFCS informa l’autorità o l’organizzazione assoggettata all’obbligo di segnalazione non appena ha ricevuto tutte le informazioni che consentono di adempiere tale obbligo.</p></content></paragraph></article><article eId="art_74_f"><num><b>Art. 74</b><i>f</i></num><heading>Trasmissione della segnalazione</heading><paragraph eId="art_74_f/para_1"><num>1</num><content><p> L’UFCS mette a disposizione un sistema sicuro con cui trasmettergli per via elettronica le segnalazioni di ciberattacchi.</p></content></paragraph><paragraph eId="art_74_f/para_2"><num>2</num><content><p> Il sistema deve permettere alle autorità e organizzazioni assoggettate all’obbligo di segnalazione di trasmettere anche ad altre autorità la segnalazione del ciberattacco o delle sue ripercussioni, sia nella sua totalità sia in parte.</p></content></paragraph><paragraph eId="art_74_f/para_3"><num>3</num><content><p> Se per adempiere un obbligo di segnalazione nei confronti di altre autorità sono necessarie informazioni che vanno oltre quelle menzionate all’articolo 74<i>e</i>, il sistema deve permettere alle autorità e organizzazioni assoggettate a tale obbligo di trasmettere queste informazioni direttamente alle autorità interessate, senza che il UFCS vi acceda.</p></content></paragraph></article></section><section eId="chap_5/sec_3"><num>Sezione 3: </num><heading>Protezione dei dati e scambio di informazioni<authorialNote><p> Introdotta dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></heading><article eId="art_75"><num><b>Art. 75</b><authorialNote><p> Nuovo testo giusta la cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Trattamento di dati personali</heading><paragraph eId="art_75/para_1"><num>1</num><content><blockList><listIntroduction eId="art_75/para_1/listintro"> Per l’adempimento dei propri compiti, il UFCS può trattare dati personali, compresi elementi di indirizzo di cui all’articolo 3 lettera f  LTC<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2187_2187_2187" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>784.10</b></ref></p></authorialNote> e i relativi dati personali degni di particolare protezione, che contengono informazioni su:</listIntroduction><item eId="art_75/para_1/lbl_a"><num>a. </num><p>opinioni religiose, filosofiche o politiche; il trattamento è ammesso unicamente qualora sia necessario per la valutazione di minacce e pericoli concreti nell’ambito della cibersicurezza;</p></item><item eId="art_75/para_1/lbl_b"><num>b. </num><p>perseguimenti o sanzioni di carattere amministrativo o penale.</p></item></blockList></content></paragraph><paragraph eId="art_75/para_2"><num>2</num><content><p> In caso di trattamento di dati personali o di indizi concreti di usurpazione d’identità o di utilizzazione non autorizzata di elementi di indirizzo, il UFCS informa le persone interessate, sempre che ciò non comporti un onere sproporzionato e nessun interesse pubblico preponderante vi si opponga.</p></content></paragraph></article><article eId="art_76"><num><b>Art. 76</b><authorialNote><p> Nuovo testo giusta la cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Cooperazione a livello nazionale</heading><paragraph eId="art_76/para_1"><num>1</num><content><p> Il UFCS e i gestori di infrastrutture critiche possono comunicarsi reciprocamente dati personali, sempre che ciò sia necessario alla protezione contro le ciberminacce.</p></content></paragraph><paragraph eId="art_76/para_2"><num>2</num><content><p> Il UFCS e i fornitori di servizi di telecomunicazione possono comunicarsi reciprocamente elementi di indirizzo e i relativi dati personali, sempre che ciò sia necessario alla protezione contro le ciberminacce.</p></content></paragraph></article><article eId="art_76_a"><num><b>Art. 76</b><i>a</i><authorialNote><p> Introdotto dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Sostegno alle autorità</heading><paragraph eId="art_76_a/para_1"><num>1</num><content><p> Il UFCS sostiene il SIC con valutazioni periodiche sul numero, sul tipo e sulla portata dei ciberattacchi e, su richiesta, con analisi tecniche delle ciberminacce.</p></content></paragraph><paragraph eId="art_76_a/para_2"><num>2</num><content><p> Concede al SIC l’accesso a informazioni che riguardano l’identità e il modo di operare degli autori di ciberattacchi al fine di individuare tempestivamente e sventare minacce alla sicurezza interna o esterna, valutare la situazione di minaccia e assicurare un servizio di preallerta informativa per la protezione di infrastrutture critiche secondo l’articolo 6 capoversi 1 lettera a, 2 e 5 LAIn<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2017/494" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>121</b></ref></p></authorialNote>.</p></content></paragraph><paragraph eId="art_76_a/para_3"><num>3</num><content><p> Il UFCS concede alle autorità di perseguimento penale l’accesso a informazioni che riguardano l’identità e il modo di operare degli autori di ciberattacchi.</p></content></paragraph><paragraph eId="art_76_a/para_4"><num>4</num><content><p> Concede ai servizi cantonali competenti per la cibersicurezza l’accesso alle informazioni necessarie alla protezione contro le ciberminacce.</p></content></paragraph></article><article eId="art_77"><num><b>Art. 77</b></num><heading>Cooperazione a livello internazionale</heading><paragraph eId="art_77/para_1"><num>1</num><content><p> Il UFCS può scambiare con servizi esteri e internazionali competenti per la cibersicurezza informazioni che permettono di stabilire l’identità e il modo di operare degli autori di ciberattacchi, se detti servizi necessitano di tali informazioni per l’adempimento di compiti che corrispondono a quelli del UFCS. Se lo scambio di informazioni concerne anche dati personali, vanno osservati gli articoli 16 e 17 LPD<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote>.</p></content></paragraph><paragraph eId="art_77/para_2"><num>2</num><content><p> Lo scambio di informazioni di cui al capoverso 1 è ammesso soltanto se i servizi esteri e internazionali garantiscono che i dati sono trattati per i fini previsti.</p></content></paragraph></article><article eId="art_78"><num><b>Art. 78</b><authorialNote><p> Abrogato dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), con effetto dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>;  <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num></article><article eId="art_79"><num><b>Art. 79</b></num><heading>Conservazione e archiviazione dei dati</heading><paragraph eId="art_79/para_1"><num>1</num><content><p> Il UFCS conserva i dati personali soltanto fino a che sono utili per individuare ciberminacce o far fronte a ciberincidenti, ma al massimo per cinque anni dall’ultimo utilizzo a tale scopo. Per i dati personali degni di particolare protezione il termine è di due anni.<authorialNote><p> Nuovo testo giusta la cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), in vigore dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_79/para_2"><num>2</num><content><p> L’archiviazione dei dati è retta dalle disposizioni della legislazione in materia di archiviazione.</p></content></paragraph></article><article eId="art_80"><num><b>Art. 80</b><authorialNote><p> Abrogato dalla cifra I della LF del 29 set. 2023 (Introduzione dell’obbligo di segnalare ciberattacchi a infrastrutture critiche), con effetto dal 1° apr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2024</b> 257</ref>;  <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num></article></section></chapter><chapter eId="chap_6"><num>Capitolo 6: </num><heading>Organizzazione ed esecuzione</heading><section eId="chap_6/sec_1"><num>Sezione 1: </num><heading>Organizzazione</heading><article eId="art_81"><num><b>Art. 81</b></num><heading>Incaricati della sicurezza delle informazioni</heading><paragraph eId="art_81/para_1"><num>1</num><content><blockList><listIntroduction eId="art_81/para_1/listintro"> Le autorità e organizzazioni seguenti designano per il rispettivo ambito di competenza un incaricato della sicurezza delle informazioni e un sostituto:</listIntroduction><item eId="art_81/para_1/lbl_a"><num>a. </num><p>il Consiglio federale;</p></item><item eId="art_81/para_1/lbl_b"><num>b. </num><p>la Delegazione amministrativa dell’Assemblea federale;</p></item><item eId="art_81/para_1/lbl_c"><num>c. </num><p>i tribunali della Confederazione;</p></item><item eId="art_81/para_1/lbl_d"><num>d. </num><p>il Ministero pubblico della Confederazione;</p></item><item eId="art_81/para_1/lbl_e"><num>e. </num><p>la Banca nazionale svizzera;</p></item><item eId="art_81/para_1/lbl_f"><num>f. </num><p>i dipartimenti e la Cancelleria federale.</p></item></blockList></content></paragraph><paragraph eId="art_81/para_2"><num>2</num><content><blockList><listIntroduction eId="art_81/para_2/listintro"> Gli incaricati della sicurezza delle informazioni hanno i compiti seguenti:</listIntroduction><item eId="art_81/para_2/lbl_a"><num>a. </num><p>offrono consulenza e assistenza ai servizi competenti, nel rispettivo ambito, per l’adempimento dei compiti e degli obblighi secondo la presente legge;</p></item><item eId="art_81/para_2/lbl_b"><num>b. </num><p>dirigono, su incarico della rispettiva autorità od organizzazione, l’organizzazione specialistica in materia di sicurezza delle informazioni e la relativa gestione dei rischi;</p></item><item eId="art_81/para_2/lbl_c"><num>c. </num><p>verificano, su incarico della rispettiva autorità od organizzazione, il rispetto delle direttive in materia di sicurezza delle informazioni, redigono rapporti e propongono le misure necessarie;</p></item><item eId="art_81/para_2/lbl_d"><num>d. </num><p>possono annunciare incidenti rilevanti sotto il profilo della sicurezza al Servizio specializzato della Confederazione per la sicurezza delle informazioni e ai servizi di cui all’articolo 74 capoverso 5.</p></item></blockList></content></paragraph><paragraph eId="art_81/para_3"><num>3</num><content><p> Agli incaricati della sicurezza delle informazioni non sono attribuiti compiti suscettibili di generare un conflitto d’interessi con i compiti di cui al capoverso 2.</p></content></paragraph></article><article eId="art_82"><num><b>Art. 82</b></num><heading>Conferenza degli incaricati della sicurezza delle informazioni</heading><paragraph eId="art_82/para_1"><num>1</num><content><p> La Conferenza degli incaricati della sicurezza delle informazioni è composta degli incaricati della sicurezza delle informazioni secondo l’articolo 81 capoverso 1, di due rappresentanti dei Cantoni e dell’Incaricato federale della protezione dei dati e della trasparenza.</p></content></paragraph><paragraph eId="art_82/para_2"><num>2</num><content><blockList><listIntroduction eId="art_82/para_2/listintro"> Ha i compiti seguenti:</listIntroduction><item eId="art_82/para_2/lbl_a"><num>a. </num><p>promuove l’esecuzione uniforme della presente legge;</p></item><item eId="art_82/para_2/lbl_b"><num>b. </num><p>partecipa alla standardizzazione dei requisiti e delle misure secondo l’articolo 85;</p></item><item eId="art_82/para_2/lbl_c"><num>c. </num><p>offre consulenza al Servizio specializzato della Confederazione per la sicurezza delle informazioni in tutte le questioni relative al coordinamento dell’esecuzione e in questioni d’importanza strategica;</p></item><item eId="art_82/para_2/lbl_d"><num>d. </num><p>provvede allo scambio di informazioni, in particolare in relazione con la gestione dei rischi nonché con problemi e incidenti nell’ambito della sicurezza delle informazioni;</p></item><item eId="art_82/para_2/lbl_e"><num>e. </num><p>provvede al coordinamento con altri servizi che adempiono compiti nell’ambito della sicurezza delle informazioni.</p></item></blockList></content></paragraph><paragraph eId="art_82/para_3"><num>3</num><content><p> Adotta un proprio regolamento interno.</p></content></paragraph></article><article eId="art_83"><num><b>Art. 83</b></num><heading>Servizio specializzato della Confederazione per la sicurezza delle informazioni</heading><paragraph eId="art_83/para_1"><num>1</num><content><blockList><listIntroduction eId="art_83/para_1/listintro"> Il Servizio specializzato della Confederazione per la sicurezza delle informazioni ha i compiti seguenti:</listIntroduction><item eId="art_83/para_1/lbl_a"><num>a. </num><p>offre consulenza e assistenza alle autorità assoggettate, ai loro incaricati della sicurezza delle informazioni e ai Cantoni nell’esecuzione della presente legge;</p></item><item eId="art_83/para_1/lbl_b"><num>b. </num><p>può formulare raccomandazioni in caso di minacce per la sicurezza delle informazioni della Confederazione;</p></item><item eId="art_83/para_1/lbl_c"><num>c. </num><p>può eseguire verifiche su richiesta delle autorità assoggettate;</p></item><item eId="art_83/para_1/lbl_d"><num>d. </num><p>può valutare, su richiesta delle autorità assoggettate, i rischi per la sicurezza delle informazioni connessi con l’impiego di nuove tecnologie;</p></item><item eId="art_83/para_1/lbl_e"><num>e. </num><p>può verificare, su richiesta delle autorità e organizzazioni assoggettate, se i loro processi, mezzi, installazioni, oggetti e prestazioni soddisfano i requisiti in materia di sicurezza delle informazioni;</p></item><item eId="art_83/para_1/lbl_f"><num>f. </num><p>può dirigere e coordinare, su richiesta delle autorità assoggettate, la sicurezza delle informazioni nel quadro di progetti importanti che coinvolgono più autorità;</p></item><item eId="art_83/para_1/lbl_g"><num>g. </num><p>è l’interlocutore per i contatti specialistici con servizi svizzeri, esteri e internazionali;</p></item><item eId="art_83/para_1/lbl_h"><num>h. </num><p>redige annualmente per il Consiglio federale un rapporto sullo stato della sicurezza delle informazioni della Confederazione.</p></item></blockList></content></paragraph><paragraph eId="art_83/para_2"><num>2</num><content><p> L’Incaricato del Consiglio federale per la sicurezza delle informazioni è nel contempo capo del Servizio specializzato della Confederazione per la sicurezza delle informazioni.</p></content></paragraph><paragraph eId="art_83/para_3"><num>3</num><content><p> Il Consiglio federale disciplina l’organizzazione del Servizio specializzato della Confederazione per la sicurezza delle informazioni. Può assegnargli ulteriori compiti a favore dell’Amministrazione federale e dell’esercito.</p></content></paragraph></article></section><section eId="chap_6/sec_2"><num>Sezione 2: </num><heading>Esecuzione</heading><article eId="art_84"><num><b>Art. 84</b></num><heading>Disposizioni esecutive</heading><paragraph eId="art_84/para_1"><num>1</num><content><p> Le autorità assoggettate emanano le disposizioni esecutive. Il Consiglio federale può delegare alla Cancelleria federale l’emanazione di disposizioni esecutive per gli affari del Consiglio federale.</p></content></paragraph><paragraph eId="art_84/para_2"><num>2</num><content><p> Nel caso dell’Assemblea federale, le competenze che la presente legge attribuisce alle autorità assoggettate sono assunte dalla sua Delegazione amministrativa.</p></content></paragraph><paragraph eId="art_84/para_3"><num>3</num><content><p> Le disposizioni esecutive del Consiglio federale si applicano per analogia alle autorità assoggettate, sempre che esse non emanino disposizioni esecutive proprie.</p></content></paragraph></article><article eId="art_85"><num><b>Art. 85</b></num><heading>Requisiti e misure standardizzati</heading><paragraph eId="art_85/para_1"><num>1</num><content><p> Il Consiglio federale stabilisce, secondo lo stato della scienza e della tecnica, requisiti standardizzati nonché misure organizzative, tecniche, edili e riguardanti il personale standardizzate per garantire la sicurezza delle informazioni.</p></content></paragraph><paragraph eId="art_85/para_2"><num>2</num><content><p> Può delegare tale compito.</p></content></paragraph><paragraph eId="art_85/para_3"><num>3</num><content><p> I requisiti e le misure standardizzati hanno carattere di raccomandazione, sempre che non siano dichiarati vincolanti dalle autorità assoggettate.</p></content></paragraph></article><article eId="art_86"><num><b>Art. 86</b></num><heading>Cantoni</heading><paragraph eId="art_86/para_1"><num>1</num><content><p> I Cantoni provvedono alla verifica periodica dell’applicazione e dell’efficacia della sicurezza delle informazioni secondo l’articolo 3.</p></content></paragraph><paragraph eId="art_86/para_2"><num>2</num><content><p> Informano il Servizio specializzato della Confederazione per la sicurezza delle informazioni sull’esito delle verifiche secondo il capoverso 1.</p></content></paragraph><paragraph eId="art_86/para_3"><num>3</num><content><p> Ogni Cantone designa un servizio quale interlocutore delle autorità assoggettate per le questioni inerenti alla sicurezza delle informazioni.</p></content></paragraph><paragraph eId="art_86/para_4"><num>4</num><content><p> Il Consiglio federale stabilisce in quali casi i Cantoni possono ricorrere alle prestazioni dei servizi specializzati secondo la presente legge per la loro sicurezza delle informazioni. Le prestazioni sono soggette al pagamento di un emolumento. Il Consiglio federale stabilisce l’ammontare degli emolumenti.</p></content></paragraph></article><article eId="art_87"><num><b>Art. 87</b></num><heading>Trattati internazionali</heading><paragraph eId="art_87/para"><content><blockList><listIntroduction eId="art_87/para/listintro">Il Consiglio federale è autorizzato a concludere trattati internazionali nel campo della sicurezza delle informazioni per:</listIntroduction><item eId="art_87/para/lbl_a"><num>a. </num><p>lo scambio di informazioni su pericoli, vulnerabilità e incidenti in tale ambito, in particolare per quanto riguarda le infrastrutture critiche;</p></item><item eId="art_87/para/lbl_b"><num>b. </num><p>lo scambio di informazioni classificate;</p></item><item eId="art_87/para/lbl_c"><num>c. </num><p>l’esecuzione di controlli di sicurezza relativi alle persone e di procedure di sicurezza relative alle aziende;</p></item><item eId="art_87/para/lbl_d"><num>d. </num><p>il riconoscimento di dichiarazioni di sicurezza;</p></item><item eId="art_87/para/lbl_e"><num>e. </num><p>l’esecuzione di controlli.</p></item></blockList></content></paragraph></article><article eId="art_88"><num><b>Art. 88</b></num><heading>Valutazione</heading><paragraph eId="art_88/para_1"><num>1</num><content><p> Il Consiglio federale provvede affinché l’applicazione, l’adeguatezza, l’efficacia e l’economicità della presente legge siano periodicamente verificate da un servizio indipendente quale il Controllo federale delle finanze.</p></content></paragraph><paragraph eId="art_88/para_2"><num>2</num><content><p> Redige periodicamente un rapporto per le commissioni competenti dell’Assemblea federale.</p></content></paragraph></article></section></chapter><chapter eId="chap_7"><num>Capitolo 7: </num><heading>Disposizioni finali</heading><article eId="art_89"><num><b>Art. 89</b></num><heading>Modifica di altri atti normativi</heading><paragraph eId="art_89/para"><content><p>La modifica di altri atti normativi è disciplinata nell’allegato 1.</p></content></paragraph></article><article eId="art_90"><num><b>Art. 90</b></num><heading>Disposizioni transitorie</heading><paragraph eId="art_90/para_1"><num>1</num><content><p> Le informazioni classificate secondo il diritto anteriore sono adeguate alle disposizioni del nuovo diritto in occasione del loro primo trattamento successivo all’entrata in vigore della presente legge.</p></content></paragraph><paragraph eId="art_90/para_2"><num>2</num><content><p> I mezzi informatici sono classificati secondo le disposizioni della presente legge entro due anni dalla sua entrata in vigore. Le misure tecniche per garantire la sicurezza delle informazioni sono concretizzate entro sei anni dall’entrata in vigore della presente legge.</p></content></paragraph><paragraph eId="art_90/para_3"><num>3</num><content><p> Le dichiarazioni di sicurezza e di rischio rilasciate secondo il diritto anteriore nel quadro di controlli di sicurezza relativi alle persone e le dichiarazioni di sicurezza aziendale rilasciate secondo il diritto anteriore rimangono valide per cinque anni dal loro rilascio.</p></content></paragraph></article><article eId="art_91"><num><b>Art. 91</b></num><heading>Coordinamento con altri atti normativi</heading><paragraph eId="art_91/para"><content><p>Il coordinamento con altri atti normativi è disciplinato nell’allegato 2.</p></content></paragraph></article><article eId="art_92"><num><b>Art. 92</b></num><heading>Referendum ed entrata in vigore</heading><paragraph eId="art_92/para_1"><num>1</num><content><p> La presente legge sottostà a referendum facoltativo.</p></content></paragraph><paragraph eId="art_92/para_2"><num>2</num><content><p> Il Consiglio federale ne determina l’entrata in vigore.</p><p>Data dell’entrata in vigore: <br/>Art. 87: 1° maggio 2022<authorialNote><p> DCF del 6 apr. 2022.</p></authorialNote><br/>Rimanenti disposizioni: 1° gennaio 2024<authorialNote><p> O dell’ 8 nov. 2023 (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2023</b> 650</ref>).</p></authorialNote></p></content></paragraph></article></chapter></body><components><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Legge federale del 18 dicembre 2020 sulla sicurezza delle informazioni in seno alla Confederazione (Legge sulla sicurezza delle informazioni, LSIn)" shortForm="LSIn"/><FRBRname xml:lang="de" value="Bundesgesetz vom 18. Dezember 2020 über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG)" shortForm="ISG"/><FRBRname xml:lang="fr" value="Loi fédérale du 18 décembre 2020 sur la sécurité de l’information au sein de la Confédération (Loi sur la sécurité de l’information, LSI)" shortForm="LSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/it/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/it"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="it"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/it/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/it/xml"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="num">Allegato 1</block></container></preface><mainBody><p>(art. 89)</p><level eId="annex_1/lvl_u1"><heading>Modifica di altri atti normativi</heading><content><p>Le leggi federali qui appresso sono modificate come segue:</p><p>...<authorialNote><p> Le mod. possono essere consultate alla <ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU<b> 2022</b> 232</ref>.</p></authorialNote></p></content></level></mainBody></doc></component><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Legge federale del 18 dicembre 2020 sulla sicurezza delle informazioni in seno alla Confederazione (Legge sulla sicurezza delle informazioni, LSIn)" shortForm="LSIn"/><FRBRname xml:lang="de" value="Bundesgesetz vom 18. Dezember 2020 über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG)" shortForm="ISG"/><FRBRname xml:lang="fr" value="Loi fédérale du 18 décembre 2020 sur la sécurité de l’information au sein de la Confédération (Loi sur la sécurité de l’information, LSI)" shortForm="LSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/it/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/it"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="it"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/it/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/it/xml"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="num">Allegato 2</block></container></preface><mainBody><p>(art. 91)</p><level eId="annex_2/lvl_u1"><heading>Coordinamento con altri atti normativi</heading><content><p>...<authorialNote><p> Le disp. di coordinamento possono essere consultate alla <ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU<b> 2022</b> 232</ref>.</p></authorialNote></p></content></level></mainBody></doc></component></components></act></akomaNtoso>