172.010.58
Ordinanza concernente l’informatica e la telecomunicazione nell’Amministrazione federale
(Ordinanza sull’informatica nell’Amministrazione federale, OIAF)
del 9 dicembre 2011 (Stato 1° novembre 2016)
Il Consiglio federale svizzero, visti gli articoli 43 e 47 della legge del 21 marzo 19971 sull’organizzazione del Governo e dell’Amministrazione federale (LOGA), ordina:
Capitolo 1 Disposizioni generali
Art. 1 Oggetto
La presente ordinanza disciplina i compiti e le competenze di gestione e direzione dell’impiego delle tecnologie dell’informazione e della comunicazione (TIC) in seno all’Amministrazione federale.
Art. 2 Campo d’applicazione
La presente ordinanza si applica alle unità amministrative dell’Amministrazione federale centrale di cui all’articolo7 dell’ordinanza del 25 novembre 19982 sull’organizzazione del Governo e dell’Amministrazione (OLOGA).
Fatte salve disposizioni di diverso tenore previste dal diritto federale in materia di organizzazione, le autorità e i servizi seguenti possono impegnarsi mediante un accordo a rispettare la presente ordinanza e le prescrizioni e direttive che ne derivano:
unità decentralizzate dell’Amministrazione federale di cui all’articolo 7a OLOGA;
altre autorità federali;
organizzazioni e persone di diritto pubblico o privato che non appartengono all’Amministrazione federale, ma a cui sono affidati compiti dell’Amministrazione federale (art.2 cpv. 4 LOGA);
istituzioni con scopi pubblici vicine all’amministrazione, che intendono usufruire di prestazioni di servizio di fornitori interni secondo il capitolo 5 sezione 3.
RU 2011 6093
Art. 3 Definizioni
Una strategia TIC è costituita dalle seguenti parti:
strategia di base: definisce le linee generali dei principi TIC, l’orientamento strategico e lo sviluppo delle TIC previsto;
concetti organizzativi e tecnici di base (architetture): determinano gli obiettivi perseguiti;
piano direttore: descrive le modifiche necessarie per raggiungere gli obiettivi perseguiti dal profilo temporale e materiale.
La gestione TIC comprende la concezione, l’emanazione e l’attualizzazione delle strategie TIC quale direttiva generale di rango superiore, nonché l’emanazione e l’aggiornamento delle direttive TIC che ne derivano e ad esse subordinate.
Per direzione TIC s’intende l’adempimento dei compiti operativi da parte del beneficiario di prestazioni (gestione dei requisiti, acquisizione, progettazione, controlling, gestione del portafoglio, gestione degli accordi sui livelli di servizio SLA ecc.), nel rispetto delle disposizioni in vigore.
Per direttive subordinate a una strategia TIC si intendono:
i processi TIC;
l’architettura TIC;
le norme TIC;
le direttive in materia di sicurezza TIC;
il controlling TIC.
I processi TIC stabiliscono le modalità di svolgimento dei compiti TIC.
L’architettura TIC definisce le componenti delle TIC e e la loro partecipazione all’ottimizzazione dei processi lavorativi.
Le norme TIC derivano dall’architettura TIC; esse permettono di stabilire in quali situazioni – per motivi di economicità, interoperatività, flessibilità e sicurezza – funzioni, interfacce e prodotti informatici devono essere sviluppati o impiegati allo stesso modo.
La sicurezza TIC comprende misure di protezione dell’integrità e dell’accessibilità dei sistemi TIC, nonché misure di protezione del carattere confidenziale, dell’integrità, dell’accessibilità e della tracciabilità dei dati memorizzati, elaborati e trasferiti in questi sistemi.
Il controlling TIC comprende l’acquisizione, la preparazione, l’esame e l’interpretazione di informazioni atte a gestire e dirigere l’impiego delle TIC.
Un servizio standard è una prestazione TIC gestita a livello centrale, utilizzata spesso all’interno dell’Amministrazione federale e che risponde a esigenze uguali o simili dei beneficiari di prestazioni.
La sicurezza delle informazioni comprende misure di protezione di infrastrutture critiche, come quelle per l’approvvigionamento energetico, la logistica e la salute.
Capitolo 2 Principi di gestione e di direzione delle TIC
Art. 4 Obiettivi
Le TIC sono ideate e impiegate in modo da ottimizzare i processi lavorativi delle unità amministrative. Al riguardo si tiene conto dei principi d’adeguatezza, economicità e sicurezza.
Art. 5 Gestione dell’impiego delle TIC
Il Consiglio federale definisce la strategia TIC della Confederazione.
Il Dipartimento federale delle finanze (DFF) provvede all’attuazione della strategia TIC della Confederazione.
I dipartimenti e la Cancelleria federale disciplinano la gestione e la direzione delle TIC nei rispettivi settori nel rispetto delle direttive in vigore.
Art. 6 Basi giuridiche, protezione dei dati e sicurezza delle informazioni
L’impiego delle TIC presuppone:
l’esistenza o la creazione di basi giuridiche sufficienti;
la garanzia della protezione dei dati delle persone interessate;
la garanzia di una sicurezza integrale delle informazioni.
Art. 7 Strategie per la società dell’informazione
I progetti e le applicazioni TIC devono essere conformi agli obiettivi e alle direttive delle strategie del Consiglio federale per una società dell’informazione.
Art. 8 Coordinamento e documentazione
I responsabili dei progetti e delle applicazioni coordinano l’attuazione delle strategie e delle direttive TIC da un punto di vista organizzativo e metodologico.
Essi provvedono segnatamente affinché, per ogni progetto e applicazione, le modalità di adempimento delle condizioni di cui all’articolo 6 come pure degli obiettivi e delle direttive di cui all’articolo7 siano documentate in modo corrispondente al loro stato attuale.
Art. 9 Acquisizione di prestazioni
1I dipartimenti e la Cancelleria federale o le unità amministrative gestiscono l’impiego delle TIC nei loro settori.
Previa consultazione del beneficiario di prestazioni interessato, del fornitore di prestazioni interno interessato e sulla base di analisi di mercato e benchmarking esterni, il dipartimento o la Cancelleria federale decide:
se una prestazione TIC è acquisita da fornitori interni o esterni;
da quali fornitori di prestazioni interni è acquisita la prestazione TIC.
Il Consiglio federale decide in merito al modello di mercato per i servizi standard.
È fatta salva la legislazione sugli acquisti pubblici.
Capitolo 3 Sicurezza TIC e Stato maggiore speciale per la sicurezza delle
informazioni
Art. 10 Protezione dei mezzi TIC e dei dati
Le unità amministrative sono responsabili della protezione dei loro sistemi e applicazioni TIC e dei loro dati (oggetti da proteggere).
Esse esaminano regolarmente gli oggetti da proteggere e adottano le necessarie misure di sicurezza.
Art. 11 Rapporti e comunicazioni
Le unità amministrative, le organizzazioni e le persone che rientrano nel campo d’applicazione della presente ordinanza e sono a conoscenza di eventi che riguardano la sicurezza degli oggetti da proteggere, ne danno comunicazione:
all’Organo direzione informatica della Confederazione (ODIC);
all’Incaricato della sicurezza informatica del proprio dipartimento o della Cancelleria federale.
Alla fine dell’anno i dipartimenti e la Cancelleria federale riferiscono all’ODIC sullo stato d’attuazione delle misure di sicurezza.
In base a questi rapporti, ogni anno l’ODIC informa il Consiglio federale sullo stato della sicurezza TIC.
Art. 12 Stato maggiore speciale per la sicurezza delle informazioni
Il DFF istituisce uno stato maggiore speciale per la sicurezza delle informazioni, composto di rappresentanti dell’Amministrazione federale, dei Cantoni e dell’economia.
Lo stato maggiore speciale coadiuva gli organi direttivi supremi della politica e dell’economia nella gestione di crisi dovute a gravi perturbazioni dell’infrastruttura delle informazioni.
Esso è diretto dal delegato per la direzione informatica.
Lo Stato maggiore speciale adotta un proprio regolamento interno, nel quale sono disciplinati i dettagli della sua organizzazione e del suo lavoro.
Capitolo 4:3 Partecipazione della Confederazione all’armonizzazione delle applicazioni tecniche per la giustizia e la polizia
Art. 13
I servizi federali che gestiscono applicazioni tecniche per la giustizia e la polizia cooperano con i Cantoni allo scopo di armonizzare tali applicazioni,
Le modalità della cooperazione, in particolare la creazione di organi comuni della Confederazione e dei Cantoni, sono disciplinate in convenzioni con i Cantoni.
In virtù della presente ordinanza e conformemente alla pertinente convenzione con i Cantoni, i dipartimenti interessati possono concludere convenzioni d’esecuzione concernenti singoli progetti. Al riguardo badano al rispetto delle disposizioni della presente ordinanza.
I dipartimenti interessati informano gli organi comuni sui progetti correnti e futuri inerenti alle applicazioni tecniche per la giustizia e la polizia e garantiscono che tali applicazioni siano conformi alle decisioni degli organi comuni.
Capitolo 5 Organizzazione e competenze
Sezione 1 Organi
Art. 14 Consiglio federale
Il Consiglio federale:
stabilisce la strategia TIC della Confederazione;
definisce i servizi standard TIC e il loro modello di mercato;
vigila sull’attuazione della strategia TIC della Confederazione mediante il controlling strategico e, all’occorrenza, ordina provvedimenti;
definisce in quali settori è necessario introdurre o adeguare direttive TIC;
emana istruzioni in materia di sicurezza TIC;
stabilisce, nell’ambito del processo di preventivazione, l’attribuzione dei mezzi preventivati a livello centrale per progetti TIC;
decide in caso di divergenze tra i dipartimenti, la Cancelleria federale e l’ODIC;
autorizza deroghe alle proprie direttive.
Nuovo testo giusta il n. I dell’O del 3 giu. 2016, in vigore dal 1° lug. 2016 (RU 2016 1783).
Art. 15 Conferenza dei segretari generali
La Conferenza dei segretari generali (CSG) valuta gli affari TIC a livello di Confederazione considerando l’aspetto operativo degli affari (interessi TIC dei processi lavorativi).
Collabora in particolare alla preparazione degli affari importanti del Consiglio federale relativi alle TIC.
Art. 16 Dipartimento federale delle finanze
Il DFF elabora la strategia TIC della Confederazione.
Emana regolamenti amministrativi nell’ambito dei suoi compiti.
Art. 17 Organo direzione informatica della Confederazione
L’ODIC ha segnatamente i seguenti compiti:
preparare gli affari TIC del Consiglio federale ed eseguire i mandati che ne derivano e che il Consiglio federale gli affida;
prendere atto delle esigenze dei dipartimenti e della Cancelleria federale e proporre al DFF a destinazione del Consiglio federale i relativi servizi standard compresi il modello di mercato e la definizione dei ruoli per l’acquisizione di prestazioni. Al riguardo fornisce la prova della loro utilità economica;
gestire i servizi standard TIC. Rientrano in questo ambito la gestione delle esigenze, la progettazione, la responsabilità del servizio richiedente o, se si tratta dell’acquisizione interna di prestazioni, l’acquisto, la pianificazione delle versioni, la regolamentazione del finanziamento generale e il controllo relativo alla qualità delle forniture di prestazioni nonché la gestione dei contratti;
definire le direttive TIC a livello di Confederazione conformemente alla strategia TIC stabilita dal Consiglio federale. Rileva a tal fine le esigenze dei dipartimenti e della Cancelleria federale. È responsabile della gestione finanziaria delle TIC a livello di Confederazione, come pure degli strumenti di sostegno alla gestione e alla direzione delle TIC, in particolare per quanto riguarda il controlling e la gestione del portafoglio TIC;
decidere sulle deroghe alle direttive che ha emanato;
decidere in merito alle richieste dei dipartimenti, della Cancelleria federale e delle unità amministrative concernenti disposizioni speciali in relazione all’attribuzione di diritti e mandati rilevanti dal profilo della sicurezza, in particolare riguardo a firewall, diritti d’accesso e privilegi. L’ODIC decide misure di sicurezza TIC specifiche qualora l’Amministrazione federale fosse esposta a rischi;
accertare, quale organo peritale incaricato da un dipartimento o dalla Cancelleria federale, i fatti legati a incidenti presunti o avvenuti in relazione alla sicurezza;
nominare l’Incaricato della sicurezza informatica della Confederazione;
gestire la «Centrale d’annuncio e d’analisi per la sicurezza dell’informazione MELANI» in collaborazione con il Servizio delle attività informative della Confederazione;
dirigere programmi TIC;
gestire la Segreteria «e-government Svizzera»;
gestire il Servizio specializzato «Tecnologie dell’informazione nell’ambito degli acquisti pubblici» (art. 21 dell’O del 22 nov. 20064 concernente l’organizzazione degli acquisti pubblici della Confederazione).
L’ODIC collabora con i Cantoni, con le competenti organizzazioni, con l’economia e con partner esteri e rappresenta la Confederazione in seno alle organizzazioni interessate.
Esso istituisce organismi nell’ambito dei suoi compiti. I dipartimenti e la Cancelleria federale nominano i loro rappresentanti che soddisfano i requisiti e dispongono delle necessarie competenze tecniche.
L’ODIC può delegare decisioni di secondaria importanza, in particolare riguardanti deroghe alle direttive TIC, requisiti per l’esercizio delle TIC o lo svolgimento di progetti e programmi:
ai dipartimenti o alla Cancelleria federale;
a organizzazioni di programmi o progetti.
Art. 18 Consiglio informatico della Confederazione
Il consiglio informatico della Confederazione (CIC) si compone del delegato per la direzione TIC (art. 20a dell’O del 17 feb. 20105 sull’organizzazione del Dipartimento federale delle finanze) e di un rappresentante nominato appositamente per ciascun dipartimento e per la Cancelleria federale. È presieduto dal delegato.
Possono partecipare con voto consultivo un rappresentante dell’Amministrazione federale delle finanze (AFF), dell’Incaricato federale della protezione dei dati e della trasparenza (IFPDT), del fornitore di prestazioni interno e dei servizi del Parlamento. In casi specifici possono essere coinvolte altre persone con funzione consultiva.
Il CIC è l’organo consultivo dell’ODIC per gli affari TIC per i quali è richiesta la concertazione con i dipartimenti e la Cancelleria federale, in particolare per l’emanazione di direttive e l’approvazione di deroghe alla loro applicazione.
[RU 2006 5613, 2009 6149 n. III2, 2010 3175 all. 3 n. 3, 2011 6093 all. n. 2. RU 2012 5935 art. 39 cpv. 1]. Vedi ora l’O del 24 ott. 2012 concernente l’organizzazione degli acquisti pubblici dell’Amministrazione federale (RS 172.056.15).
Art. 19 Comitato per la sicurezza informatica
Il comitato per la sicurezza informatica (C-SI) si compone degli incaricati della sicurezza informatica dei dipartimenti e della Cancelleria federale.
Possono partecipare con voto consultivo un rappresentante del Controllo federale delle finanze (CDF), dell’IFPDT e dei Servizi del Parlamento. In casi specifici possono essere coinvolte altre persone con funzione consultiva.
Il C-SI è diretto dall’Incaricato della sicurezza informatica della Confederazione.
È l’organo consultivo dell’ODIC per tutte le questioni inerenti alla sicurezza TIC.
Art. 20 Comitato di gestione dei processi di supporto della Confederazione
Il comitato di gestione dei processi di supporto della Confederazione (CGPSC) si compone di un rappresentante dell’ODIC e di un rappresentante:
dell’AFF;
dell’Ufficio federale delle costruzioni e della logistica (UFCL);
dell’Ufficio federale del personale (UFPER);
di armasuisse (Logistica e Immobili DDPS).
È presieduto dal rappresentante dell’ODIC.
Possono partecipare con voto consultivo un rappresentante dell’Ufficio federale dell’informatica e della telecomunicazione e un rappresentante della Base d’aiuto alla condotta.
Il CGPSC coordina le decisioni tra l’AFF, l’UFPER, l’UFCL, la Logistica e gli Immobili del DDPS e l’ODIC in materia di assistenza TIC ai processi di supporto impiegati in tutta l’Amministrazione federale per le finanze, il personale, le costruzioni, la logistica, il controllo gestionale degli acquisti e la gestione immobiliare.6
Sezione 2 Beneficiari di prestazioni
Art. 21 Principi
I beneficiari di prestazioni sono le unità e i servizi di cui all’articolo2.
I beneficiari delle prestazioni sono responsabili del rispetto delle direttive TIC, nonché delle decisioni del Consiglio federale, del DFF, dell’ODIC e dei dipartimenti o della Cancelleria federale nel loro settore di competenza.
Art. 22 Compiti dei beneficiari di prestazioni
I beneficiari di prestazioni impiegano le TIC in maniera economica e allestiscono un preventivo corrispondente.
Nuovo testo giusta il n. III2 dell’O del 18 nov. 2015, in vigore dal 1° gen. 2016 (RU 2015 4873).
Essi concludono con i fornitori di prestazioni accordi di progetti e prestazioni e approntano un portafoglio dei loro studi, progetti e applicazioni (portafoglio TIC).
Assicurano mediante un adeguato controlling che i servizi superiori dispongano in ogni momento delle necessarie informazioni in materia di direzione e gestione.
Sezione 3 Fornitori di prestazioni interni
Art. 23 Principi
Ogni dipartimento dispone al massimo di un proprio fornitore di prestazioni interno.
I fornitori delle prestazioni sono responsabili del rispetto delle direttive TIC, nonché delle decisioni del Consiglio federale, del DFF, dell’ODIC e dei dipartimenti o della Cancelleria federale nel loro settore di competenza.
Art. 24 Compiti dei fornitori di prestazioni interni
I fornitori di prestazioni interni forniscono ai beneficiari di prestazioni le prestazioni TIC conformemente ai relativi accordi di progetti e prestazioni.
Essitengono una contabilità analitica dettagliata e presentano periodicamente all’ODIC un resoconto trasparente dei costi e dei ricavi relativi ai servizi standard.
Assicurano la fornitura operativa dei servizi standard per i quali hanno ruoli definiti nel modello di mercato deciso dal Consiglio federale. In questo contesto, sono responsabili dell’esercizio, incluso il coordinamento operativo con gli altri fornitori di prestazioni necessari.
Sezione 4 Acquisizione di prestazioni TIC da fornitori esterni
Art. 25 Procedura
La procedura d’acquisizione di prestazioni TIC da fornitori esterni è retta dai seguenti atti:
legge federale del 16 dicembre 19947 sugli acquisti pubblici;
ordinanza dell’11 dicembre 19958 sugli acquisti pubblici;
ordinanza del 22 novembre 20069 concernente l’organizzazione degli acquisti pubblici della Confederazione;
[RU 2006 5613, 2009 6149 n. III2, 2010 3175 all. 3 n. 3, 2011 6093 all. n. 2. RU 2012 5935 art. 39 cpv. 1]. Vedi ora l’O del 24 ott. 2012 concernente l’organizzazione degli acquisti pubblici dell’Amministrazione federale (RS 172.056.15).
d. ordinanza del 5 dicembre 200810 sulla gestione immobiliare e la logistica della Confederazione;
In caso di acquisizione di prestazioni presso un fornitore esterno, le direttive TIC sono parte integrante della documentazione del bando di concorso.
Il beneficiario delle prestazioni verifica in modo appropriato il rispetto delle direttive TIC da parte del fornitore esterno.
Art. 26 Contratti modello
Per l’acquisizione di prestazioni TIC da fornitori esterni, il committente si basa sui contratti modello esistenti.
Art. 26a11 Rendere accessibili i dati ai fornitori esterni di prestazioni TIC
I dati che non sono accessibili a chiunque possono essere resi accessibili ai fornitori esterni di prestazioni TIC alle seguenti condizioni:
l’accesso è necessario per la fornitura della prestazione TIC;
l’autorità responsabile dei dati vi ha acconsentito per scritto;
sono stati presi adeguati provvedimenti contrattuali, organizzativi e tecnici per impedire l’ulteriore diffusione dei dati.
Se i dati sono resi accessibili dall’autorità responsabile dei dati, il consenso di cui al capoverso1 lettera b è accordato dal suo superiore gerarchico diretto.
Capitolo 6 Gestione finanziaria delle TIC e revisione informatica
Art. 27 Gestione finanziaria delle TIC
La preventivazione e la contabilizzazione dei mezzi TIC vengono di norma effettuate a livello decentralizzato secondo le disposizioni della legge federale del 7 ottobre 200512 sulle finanze della Confederazione.
L’ODIC gestisce i mezzi preventivati a livello centrale per la fornitura dei servizi standard. L’esercizio dei servizi standard è di principio preventivato a livello decentralizzato dai beneficiari di prestazioni e fatturato a questi ultimi in funzione delle prestazioni acquisite. I beneficiari di prestazioni tengono conto degli aspetti quantitativi e qualitativi dei servizi standard nell’ambito degli accordi sui livelli di servizio SLA (accordi di prestazioni).
L’ODIC gestisce i mezzi preventivati a livello centrale per progetti informatici che secondo pianificazione non possono essere finanziati dalle unità amministrative.
L’ODIC gestisce i mezzi preventivati a livello centrale per i progetti non pianificabili.
Introdotto dal n. I dell’O del 30 set. 2016, in vigore dal 1° nov. 2016 (RU 2016 3445).
Art. 28 Revisione informatica
La revisione informatica avviene in base ai principi della vigilanza finanziaria della Confederazione.
Essa è svolta dal Controllo federale delle finanze (CFF).
I dipartimenti e la Cancelleria federale possono proporre al CFF singoli oggetti ai fini della revisione informatica.
Capitolo 7 Disposizioni finali
Art. 29 Abrogazione e modifica del diritto vigente
L’ordinanza del 26 settembre 200313 sull’informatica nell’Amministrazione federale è abrogata.
La modifica del diritto vigente è disciplinata nell’allegato.
Art. 30 Entrata in vigore
La presente ordinanza entra in vigore il 1° gennaio 2012.
[RU 2003 3687, 2007 3401 art. 22 cpv.2, 2010 635 all. n. 2, 2011 4491]
Modifica del diritto vigente
Le ordinanze qui appresso sono modificate come segue: …14
14 Le mod. possono essere consultate alla RU 2011 6093.