Ordinanza concernente l’informatica e la telecomunicazione nell’Amministrazione federale
(Ordinanza sull’informatica nell’Amministrazione federale, OIAF)

La presente ordinanza si applica alle unità amministrative dell’Amministrazione federale centrale di cui all’articolo² capoversi¹ e 2 LOGA.

Fatte salve disposizioni di diverso tenore previste dal diritto federale in materia di organizzazione, le autorità e i servizi seguenti possono impegnarsi mediante un accordo a rispettare la presente ordinanza e le prescrizioni e direttive che ne derivano:

1. unità amministrative decentrate dell’Amministrazione federale (art.² cpv. 3 LOGA);

2. altre autorità federali;

3. organizzazioni e persone di diritto pubblico o privato che non appartengono all’Amministrazione federale, ma a cui sono affidati compiti amministrativi (art.² cpv. 4 LOGA);

4. istituzioni con scopi pubblici vicine all’amministrazione, che intendono usufruire di prestazioni di servizio di fornitori interni di cui all’articolo 20.

Le direttive informatiche definite dalla presente ordinanza non si applicano all’informatica dei sistemi d’arma, né ai sistemi di condotta e d’impiego dell’esercito.

Le Direttive informatiche dell’Amministrazione federale comprendono:

1. la strategia informatica;

2. i processi informatici;

3. le architetture e norme in materia informatica;

4. i requisiti in materia di sicurezza informatica;

5. il controlling informatico.

La strategia informatica definisce gli obiettivi a medio termine, i principi e i metodi per l’impiego della TIC nell’Amministrazione federale sulla base delle linee direttrici informatiche dell’Amministrazione federale.

I processi informatici stabiliscono le modalità di svolgimento dei compiti informatici.

Le architetture e norme in materia informatica, comprese l’architettura e le norme di sicurezza, determinano il quadro tecnico e organizzativo dei sistemi informatici, in particolare i requisiti posti ai fini della loro interoperatività ed economicità.

La sicurezza informatica comprende misure di protezione dell’integrità e dell’accessibilità dei sistemi informatici, nonché misure di protezione del carattere confidenziale, dell’integrità, dell’accessibilità e della verificabilità dei dati memorizzati, elaborati e trasferiti in questi sistemi.

Il controlling informatico comprende l’acquisizione, la preparazione, l’esame e l’interpretazione di informazioni atte a gestire l’impiego della TIC.

Per prestazione interdipartimentale s’intende una prestazione TIC designata come tale dal Consiglio informatico della Confederazione (CIC), che viene offerta dallo stesso fornitore a tutti i beneficiari di prestazioni.

Un programma informatico comprende diversi progetti informatici coordinati fra loro e dotati di una finalità comune.

La sicurezza delle informazioni comprende misure di protezione delle infrastrutture critiche, come quelle per l’approvvigionamento energetico, la logistica e la salute.

Per centro di competenze per l’informatica s’intende un servizio che offre prestazioni TIC complete a livello sovradipartimentale in un determinato settore specifico (consulenza, concezione, realizzazione, esercizio e supporto).

La TIC è impiegata in modo da ottimizzare i processi lavorativi nell’Amministrazione federale.

L’impiego della TIC è conforme ai principi d’opportunità, economicità e facilità d’uso per l’utente.

Le unità amministrative sono responsabili della protezione dei loro mezzi TIC e dei dati degni di protezione (oggetti da proteggere).

Esse esaminano regolarmente gli oggetti da proteggere e adottano le necessarie misure di sicurezza.

Tutte le unità amministrative, organizzazioni e persone che rientrano nel campo d’applicazione della presente ordinanza annunciano all’Organo strategia informatica della Confederazione (OSIC) gli eventi che riguardano la sicurezza degli oggetti da proteggere.

I dipartimenti e la Cancelleria federale fanno rapporto alla fine dell’anno all’OSIC sullo stato d’attuazione delle misure di sicurezza.

L’OSIC informa il CIC.

Il Dipartimento federale delle finanze (DFF) istituisce uno stato maggiore speciale per la sicurezza delle informazioni, composto di rappresentanti dell’Amministrazione federale, dei Cantoni e dell’economia.

Lo stato maggiore speciale coadiuva gli organi direttivi supremi della politica e dell’economia nella gestione di crisi dovute a gravi perturbazioni dell’infrastruttura delle informazioni.

Esso è diretto dal delegato per la strategia informatica.

Lo stato maggiore speciale adotta un proprio regolamento interno, nel quale sono disciplinati i dettagli della sua organizzazione e del suo lavoro.

Il CIC si compone dei seguenti membri con diritto di voto:

1. un rappresentante nominato appositamente per ciascun dipartimento e per la Cancelleria federale;

2. il segretario generale del DFF.

Il segretario generale del DFF ne assume la presidenza.

Il CIC decide se altre unità, che si impegnano a rispettare la presente ordinanza e le prescrizioni e direttive che ne derivano, possono designare un rappresentante con diritto di voto in seno al CIC.

Il CIC delibera validamente alla presenza della maggioranza dei membri con diritto di voto.

Decide a maggioranza semplice dei membri presenti con diritto di voto. Il presidente non vota. Egli decide in caso di parità.

I membri del CIC con voto consultivo sono:

1. un rappresentante della Conferenza dei gestori informatici (CGI);

2. il delegato per la strategia informatica;

3. un rappresentante dell’Amministrazione federale delle finanze (AFF).

Il CIC adotta un proprio regolamento interno, nel quale sono disciplinati i dettagli riguardanti la sua organizzazione e il suo lavoro. È tenuto conto del diritto di avocazione del Consiglio federale (art. 47 cpv. 4 LOGA).

Il CIC definisce l’evoluzione a medio e lungo termine della TIC nell’Amministrazione federale.

I suoi compiti sono segnatamente:

1. definire le direttive informatiche per l’Amministrazione federale, sorvegliarne l’attuazione nei dipartimenti e nella Cancelleria federale e stabilire a quali condizioni è possibile derogare a tali direttive;

2. autorizzare deroghe alle direttive informatiche;

3. definire le prestazioni interdipartimentali nonché la loro acquisizione e gestione;

4. decidere in merito all’istituzione di centri di competenze per l’informatica, sui loro compiti e sulla loro subordinazione organizzativa;

5. inizializzare e dirigere programmi informatici sovradipartimentali;

6. decidere in merito al Configuration Management e al Release Management, sempre che siano da prevedere ripercussioni sui processi lavorativi, sugli utenti (in particolare individuazione della necessità di un’istruzione), su altre applicazioni o sull’interoperatività;

7. collaborare nell’allestimento del preventivo e della pianificazione finanziaria;

8. decidere in merito alla cessione di mezzi riservati temporaneamente alla TIC presso il DFF a favore dei dipartimenti e della Cancelleria federale;

9. definire le priorità dei progetti informatici sovradipartimentali;

10. garantire l’esercizio di un servizio di registrazione e d’analisi volto a proteggere le infrastrutture essenziali.

Al fine di coordinare il fabbisogno di prestazioni interdipartimentali, esso può istituire una Conferenza dei beneficiari di prestazioni.

Nell’ambito dei suoi compiti, il CIC emana regolamenti amministrativi.

Esso può delegare decisioni di secondaria importanza, in particolare riguardanti deroghe alle direttive informatiche, requisiti per l’esercizio della TIC o lo svolgimento di progetti e programmi, ai seguenti organi o servizi:

1. al Comitato per la sicurezza informatica (C-SI);

2. alla Conferenza dei gestori informatici (CGI);

3. all’OSIC;

4. ai dipartimenti o alla Cancelleria federale;

5. a organizzazioni di programmi o progetti.

L’OSIC è l’organo di stato maggiore del CIC.

L’OSIC ha segnatamente i seguenti compiti:

1. elaborare le direttive informatiche e sottoporle al CIC;

2. coordinare l’applicazione delle direttive informatiche e delle decisioni del CIC;

3. approntare le basi decisionali necessarie per la pianificazione della TIC nell’Amministrazione federale;

4. approntare mandati modello per progetti e accordi modello per prestazioni relativi a prestazioni interdipartimentali, avviare la procedura d’acquisizione e assicurare il controlling informatico per il CIC;

5. dirigere programmi informatici.

Riguardo alla sicurezza informatica, l’OSIC ha i seguenti compiti:

1. elaborare, sulla base del bisogno di protezione accertato d’intesa con le unità amministrative, le misure atte a proteggere gli oggetti e ordinare le misure di sicurezza concrete da adottare;

2. accertare, quale organo peritale incaricato da un dipartimento, dalla Cancelleria federale o dal CIC, i fatti legati a incidenti presunti o avvenuti in relazione alla sicurezza.

L’OSIC collabora con servizi esterni all’Amministrazione federale.

Sono membri con diritto di voto del C-SI gli incaricati della sicurezza informatica dei dipartimenti e della Cancelleria federale.

Sono membri con voto consultivo i rappresentanti:

Il C-SI è diretto dall’Incaricato della sicurezza informatica della Confederazione.

Il C-SI si riunisce periodicamente o per ordine del CIC o su richiesta di uno dei suoi membri. Può anche prendere decisioni per corrispondenza (anche elettronica).

Le decisioni del C-SI sono valide se la maggioranza dei membri partecipa alla votazione.

Il C-SI decide a maggioranza semplice dei membri votanti. Il presidente non vota. Egli decide in caso di parità.

Ogni membro votante e l’OSIC possono sottoporre le decisioni del C-SI al CIC. Quest’ultimo le può modificare o annullare.

Il C-SI consiglia il CIC in materia di sicurezza informatica.

Esso prende posizione, all’indirizzo del CIC, su direttive in materia di sicurezza informatica.

Esso decide sulle richieste dei dipartimenti, della Cancelleria federale e delle unità amministrative in relazione all’attribuzione di diritti e mandati rilevanti dal profilo della sicurezza, in particolare riguardo a firewall, diritti d’accesso e privilegi.

Esso comunica senza indugio le sue decisioni al CIC.

Beneficiari di prestazioni sono le unità e i servizi di cui all’articolo² capoversi 1 e 2.

I beneficiari delle prestazioni sono responsabili del rispetto delle direttive informatiche nonché delle decisioni del CIC e dei dipartimenti o della Cancelleria federale nel loro settore di competenza.

I beneficiari di prestazioni impiegano la TIC in maniera economica e allestiscono un preventivo corrispondente.

Essi concludono con i fornitori di prestazioni accordi di progetti e prestazioni e approntano un portafoglio dei loro studi, progetti e applicazioni (portafoglio informatico).

Essi assicurano mediante un adeguato controlling che i servizi superiori dispongano in ogni momento delle necessarie informazioni in materia di direzione e gestione.

Ogni dipartimento dispone al massimo di un proprio fornitore di prestazioni interno.

I fornitori di prestazioni interni sono responsabili del rispetto delle direttive informatiche e delle decisioni del CIC e dei dipartimenti nel loro settore di competenza.

I fornitori di prestazioni interni forniscono ai beneficiari di prestazioni le prestazioni TIC conformemente ai relativi accordi di prestazioni e progetti.

Essi tengono una contabilità analitica (CA).

D’intesa con il loro dipartimento, essi possono offrire le loro prestazioni anche ad altre unità amministrative e istituzioni con scopi pubblici vicine all’amministrazione.

I fornitori di prestazioni interni tengono un inventario dei mezzi TIC e lo mettono a disposizione dell’OSIC.

La Conferenza dei gestori informatici (CGI) si compone dei rappresentanti dei fornitori di prestazioni interni dei dipartimenti e della Cancelleria federale, designati appositamente quali membri con diritto di voto.

Il direttore dell’Ufficio federale dell’informatica e della telecomunicazione (UFIT) ne assume la presidenza.

La CGI decide se altre unità, che si impegnano a rispettare la presente ordinanza e le prescrizioni e direttive che ne derivano, possono designare un rappresentante con diritto di voto in seno alla CGI.

Sono membri con voto consultivo i rappresentanti:

1. dell’OSIC;

2. dell’UFCL.

La CGI delibera validamente alla presenza della maggioranza dei membri con diritto di voto.

Essa decide a maggioranza semplice dei membri presenti. Il presidente non vota. Egli decide in caso di parità.

La CGI assicura l’armonizzazione tecnica necessaria per la fornitura delle prestazioni.

Fatta salva la competenza del CIC, essa coordina le interfacce a livello d’esercizio, il Configuration Management e il Release Management, nonché altri aspetti rilevanti dal profilo dell’esercizio.

La procedura d’acquisizione di prestazioni TIC da fornitori esterni è retta dalla legge federale del 16 dicembre 1994² sugli acquisti pubblici (LAPub) e dalla relativa ordinanza, come pure dall’ordinanza del 14 dicembre 1998³ sulla gestione immobiliare e la logistica della Confederazione. L’UFCL emana, d’intesa con l’OSIC, direttive specifiche.

I fornitori di prestazioni interni non sono considerati offerenti ai sensi della legislazione in materia di acquisti. Essi possono tuttavia essere invitati a presentare pure un’offerta nell’ambito di una procedura d’acquisto. Il committente specifica questa possibilità nel bando di concorso.

I committenti scelgono la variante con il rapporto più conveniente costi-utilitàrischi. Se la commessa è aggiudicata a un fornitore di prestazioni interno, sono applicabili per analogia gli articoli 27–35 LAPub sui rimedi giuridici.

La revisione informatica avviene in base ai principi della vigilanza finanziaria della Confederazione.

Essa è svolta dal Controllo federale delle finanze.

Il CIC, i dipartimenti e la Cancelleria federale possono proporre al Controllo delle finanze singoli oggetti ai fini della revisione informatica.