Ordinanza dell’8 novembre 2023 sulla procedura di sicurezza relativa alle aziende (OPSAz)

(art. 2, 49 e 73 LSIn)

La presente ordinanza disciplina:

• a. la procedura di sicurezza relativa alle aziende di cui agli articoli 49–73 LSIn;

• b. l’applicazione della procedura di sicurezza relativa alle aziende a imprese subappaltatrici;

• c. i compiti e le competenze del servizio specializzato competente per l’esecuzione della procedura di sicurezza relativa alle aziende (servizio specializzato PSA);

• d. la sicurezza dei dati nel sistema d’informazione di cui all’articolo 70 LSIn;

• e. il controllo periodico del trattamento dei dati personali da parte di un organo esterno.

Si applica:

• a. alle autorità assoggettate secondo l’articolo 2 capoverso 1 LSIn;

• b. alle unità amministrative dell’Amministrazione federale centrale di cui all’articolo 7 dell’ordinanza del 25 novembre 1998² sull’organizzazione del Governo e dell’Amministrazione;

• c. all’esercito.

L’applicabilità della presente ordinanza alle unità amministrative dell’Amministrazione federale decentralizzata secondo l’articolo 2 capoverso 3 della legge del 21 marzo 1997³ sull’organizzazione del Governo e dell’Amministrazione (LOGA) e alle organizzazioni secondo l’articolo 2 capoverso 4 LOGA è retta dall’articolo 2 capoversi 2 e 3 dell’ordinanza dell’8 novembre 2023⁴ sulla sicurezza delle informazioni (OSIn).

(art. 50 LSIn)

Sono sottoposte alla procedura di sicurezza relativa alle aziende secondo la presente ordinanza le aziende con sede in Svizzera.

Per le aziende con sede all’estero, la procedura di sicurezza relativa alle aziende è disciplinata dai trattati internazionali di cui all’articolo 87 LSIn.

(art. 51 cpv. 2 LSIn)

La Segreteria di Stato della politica di sicurezza in seno al Dipartimento federale della difesa, della protezione della popolazione e dello sport (DDPS) gestisce il servizio specializzato PSA.

Il servizio specializzato PSA coordina le sue attività internazionali con il servizio specializzato della Confederazione per la sicurezza delle informazioni secondo l’articolo 83 LSIn.

(art. 52 LSIn)

Nell’ambito di competenza del Consiglio federale gli incaricati della sicurezza delle informazioni delle unità amministrative di cui all’articolo 37 OSIn⁵ sono competenti per presentare la domanda di avvio della procedura. È fatto salvo l’articolo 13 capoverso 2 lettera c.

Le autorità assoggettate secondo l’articolo 2 capoverso 1 LSIn comunicano al servizio specializzato PSA chi è competente per la domanda di avvio della procedura nel rispettivo ambito di competenza.

La domanda comprende in particolare:

• a. una descrizione della prestazione edile, della fornitura o della prestazione di servizio;

• b. commenti sulla sensibilità del mandato sotto il profilo della sicurezza;

• c. informazioni sulla procedura di aggiudicazione prevista.

(art. 53 LSIn)

Prima di avviare la procedura il servizio specializzato PSA consulta il mandante o l’autorità estera o l’organizzazione internazionale competente.

Non si può rinunciare all’avvio della procedura se è soddisfatta una delle condizioni seguenti:

• a. il mandato sensibile comprende il trattamento di informazioni classificate «segreto» oppure l’amministrazione, l’esercizio, la manutenzione o la verifica di mezzi informatici del livello di sicurezza «protezione molto elevata»;

• b. il mandato sensibile comprende il trattamento di informazioni classificate «confidenziale» che concernono più autorità o dipartimenti;

• c. il mandato sensibile comprende l’amministrazione, l’esercizio, la manutenzione o la verifica di mezzi informatici del livello di sicurezza «protezione elevata» impiegati per l’adempimento di compiti che coinvolgono più autorità o di compiti interdipartimentali;

• d. l’azienda si candida per un mandato per il quale necessita di un’attestazione internazionale di sicurezza aziendale secondo l’articolo 66 LSIn.

Se è prevedibile che l’esame della domanda duri più di 30 giorni, il servizio specializzato PSA ne informa il mandante.

(art. 52 cpv. 3 LSIn)

Se per l’adempimento del mandato sensibile entrano in linea di conto aziende estere, il servizio specializzato PSA trasmette la domanda al servizio specializzato della Confederazione per la sicurezza delle informazioni.

Il servizio specializzato della Confederazione per la sicurezza delle informazioni esamina unitamente all’autorità di sicurezza estera competente se le aziende interessate dispongono di un’attestazione di sicurezza aziendale valida. In caso contrario, domanda all’autorità di sicurezza estera l’avvio della procedura di sicurezza relativa alle aziende.

(art. 54 LSIn)

I requisiti in materia di sicurezza delle informazioni durante la procedura di aggiudicazione e l’adempimento del mandato si basano sulle disposizioni dell’OSIn⁶ e dell’ordinanza dell’8 novembre 2023⁷ sui controlli di sicurezza relativi alle persone.

Se la procedura è avviata su richiesta di un’autorità estera o di un’organizzazione internazionale, i requisiti in materia di sicurezza delle informazioni sono disciplinati dal corrispondente trattato internazionale.

Il servizio specializzato PSA definisce, d’intesa con il mandante, quali compiti sensibili sotto il profilo della sicurezza devono essere eseguiti dal mandante durante la procedura di aggiudicazione e l’adempimento del mandato.

Il mandante rimane responsabile del coordinamento degli iter procedurali nell’ambito della procedura di aggiudicazione.

(art. 55 LSIn)

Il mandante può comunicare al servizio specializzato PSA un massimo di cinque aziende che entrano in considerazione. In casi motivati, il servizio specializzato PSA può autorizzare un numero maggiore di aziende su richiesta del mandante.

Il servizio specializzato PSA verifica se le aziende che entrano in considerazione hanno dato il loro consenso allo svolgimento della procedura.

Informa il mandante se è prevedibile che la valutazione dell’idoneità duri più di 30 giorni.

(art. 56 LSIn)

Il servizio specializzato PSA raccoglie tutti i dati rilevanti per la sicurezza necessari alla valutazione dell’idoneità dell’azienda, in particolare:

• a. dati sui rapporti di proprietà e sulle modifiche previste, quali fusioni, partecipazioni o acquisizioni;

• b. dati sulla composizione della direzione aziendale;

• c. dati sulle relazioni d’interesse dei membri della direzione aziendale;

• d. dati sulla solvibilità e su eventuali procedure di pignoramento e fallimento;

• e. dati sul pagamento di imposte e contributi sociali;

• f. referenze da precedenti procedure d’aggiudicazione;

• g. dati sulle relazioni dell’azienda con Stati o organizzazioni esteri e altre dipendenze.

Ottiene dal Servizio delle attività informative della Confederazione i dati che tale Servizio ha raccolto in adempimento dei suoi compiti secondo l’articolo 6 capoverso 1 lettera a della legge del 25 settembre 2015⁸ sulle attività informative.

(art. 57 e 58 LSIn)

Il mandante e il servizio specializzato PSA si informano senza indugio se sussistono indizi secondo cui una delle aziende che entrano in considerazione potrebbe essere esclusa dalla procedura di aggiudicazione.

Il servizio specializzato PSA continua la procedura fintanto che il mandante non esclude l’azienda interessata dalla procedura di aggiudicazione.

Se il mandante esclude l’azienda, la procedura di sicurezza relativa alle aziende concernente tale azienda viene abbandonata.

(art. 57 e 58 LSIn)

Fatti salvi gli articoli 70 capoverso 3 e 71 capoverso 1 lettera a LSIn, nell’ambito dello scambio di informazioni secondo l’articolo 10 capoverso 1 il mandante e il servizio specializzato PSA mettono reciprocamente a disposizione tutte le informazioni e i dati utili per la valutazione dell’idoneità o per l’esame delle fattispecie di cui all’articolo 44 della legge federale del 21 giugno 2019⁹ sugli appalti pubblici (LAPub).

(art. 59 cpv. 2 e 3 LSIn)

Il piano in materia di sicurezza definisce le misure organizzative, di personale, tecniche e fisiche per garantire un’esecuzione adeguata in funzione dei rischi del mandato rilevante in materia di sicurezza.

Il servizio specializzato PSA stabilisce le direttive per il piano in materia di sicurezza dopo un sopralluogo presso l’azienda. Al riguardo, tiene conto dei requisiti specifici dell’azienda.

Se il piano in materia di sicurezza non è conforme alle direttive del servizio specializzato PSA, quest’ultimo accorda all’azienda un termine adeguato per correggerlo.

Se è prevedibile che l’esame del piano in materia di sicurezza duri più di 30 giorni, il servizio specializzato PSA ne informa il mandante.

Le aziende che entrano in considerazione per l’esecuzione del mandato comunicano al servizio specializzato PSA un incaricato della sicurezza aziendale e la relativa supplenza. L’incaricato della sicurezza aziendale e la relativa supplenza devono essere membri della direzione o operare direttamente per essa.

L’incaricato della sicurezza aziendale assume i compiti seguenti:

• a. funge da persona di contatto per il servizio specializzato PSA per tutte le questioni relative alla sicurezza delle informazioni;

• b. si occupa dell’attuazione del piano in materia di sicurezza (art. 12 cpv. 1);

• c. se l’azienda è stata autorizzata dal mandante ad aggiudicare un mandato sensibile a un’impresa subappaltatrice, chiede l’avvio della procedura di sicurezza relativa alle aziende per tale impresa.

(art. 59 cpv. 1 LSIn)

L’aggiudicazione è comunicata separatamente per ogni singolo rapporto di mandato connesso a un contratto quadro.

Unitamente alla comunicazione dell’aggiudicazione, il mandante trasmette al servizio specializzato PSA le informazioni necessarie per l’allestimento del piano in materia di sicurezza.

(art. 60 LSIn)

Il servizio specializzato PSA stabilisce quali persone dell’azienda sottostanno ai controlli di sicurezza relativi alle persone.

Può autorizzare l’azienda ad avviare autonomamente il controllo di sicurezza relativo alle persone.

(art. 61 e 62 LSIn)

La dichiarazione di sicurezza aziendale definisce l’attività sensibile sotto il profilo della sicurezza che l’azienda è autorizzata a esercitare.

(art. 63 cpv. 2 LSIn)

Sono considerati cambiamenti rilevanti sotto il profilo della sicurezza in particolare:

• a. un cambiamento dei rapporti di proprietà o delle strutture dell’azienda;

• b. un cambiamento della sede aziendale;

• c. un cambiamento della composizione della direzione aziendale;

• d. un cambiamento delle relazioni d’interesse dei membri della direzione aziendale;

• e. un cambiamento a livello di solvibilità e un’eventuale procedura di pignoramento o di fallimento;

• f. l’esistenza di controversie giuridiche di diritto pubblico o privato nonché di procedimenti penali;

• g. un cambiamento nell’impiego di mezzi informatici;

• h. l’assunzione di collaboratori destinati ad essere coinvolti nelle attività sensibili sotto il profilo della sicurezza;

• i. un cambiamento nelle relazioni dell’azienda con Stati o organizzazioni esteri nonché una modifica di altre dipendenze;

• j. l’esecuzione di mandati che generano un conflitto di interessi con un mandante o una dipendenza da esso.

Sono considerati incidenti rilevanti sotto il profilo della sicurezza in particolare:

• a. l’accesso illecito all’azienda;

• b. l’impiego indebito dei mezzi informatici dell’azienda;

• c. un attacco tentato o riuscito ai mezzi informatici dell’azienda;

• d. la scoperta di punti deboli e di falle nella sicurezza;

• e. l’apertura di procedure esecutive e di procedimenti penali nei confronti di persone dell’azienda coinvolte nell’esecuzione del mandato sensibile;

• f. l’esecuzione di perquisizioni domiciliari e di sequestri presso l’azienda.

L’azienda deve anche annunciare i cambiamenti e gli incidenti rilevanti sotto il profilo della sicurezza che riguardano i fornitori, se tali cambiamenti e incidenti possono essere rilevanti per l’esecuzione del mandato sensibile.

L’azienda deve informare senza indugio il servizio specializzato PSA se è prevedibile che al momento della scadenza della validità della dichiarazione di sicurezza aziendale è in corso l’esecuzione di un mandato sensibile.

Se constata un cambiamento o un incidente rilevante sotto il profilo della sicurezza nel corso della sua collaborazione con l’azienda, il mandante adotta le misure immediate necessarie e ne informa senza indugio il servizio specializzato PSA.

Il mandante informa inoltre il servizio specializzato PSA se:

• a. nell’ambito dell’esecuzione del mandato sensibile dispone di indizi che lasciano supporre una revoca dell’aggiudicazione secondo l’articolo 44 LAPub¹⁰;

• b. intende apportare un cambiamento al mandato rilevante sotto il profilo della sicurezza;

• c. intende assegnare un ulteriore mandato all’azienda.

(art. 66 LSIn)

Per il rilascio di un’attestazione internazionale di sicurezza aziendale il servizio specializzato PSA riscuote un emolumento pari a 100 franchi.

Se per il rilascio dell’attestazione internazionale di sicurezza aziendale occorre dapprima effettuare una procedura di sicurezza relativa alle aziende, viene riscosso un emolumento supplementare in funzione del tempo impiegato. Si applica una tariffa oraria di 100–400 franchi. La tariffa dipende in particolare dall’urgenza dell’affare e dal livello di funzione del personale che esegue il lavoro. Per il resto si applica l’ordinanza generale dell’8 settembre 2004¹¹ sugli emolumenti.

Su richiesta, il servizio specializzato della Confederazione per la sicurezza delle informazioni e il servizio specializzato PSA possono trasmettere all’autorità estera o all’organizzazione internazionale una copia dell’attestazione internazionale di sicurezza aziendale.

(art. 67 LSIn)

Se dispone di indizi secondo cui vi è un motivo per revocare la dichiarazione di sicurezza aziendale, il servizio specializzato PSA accorda all’azienda, d’intesa con il mandante, un termine adeguato per eliminare le lacune.

Se il mandato viene ritirato in seguito alla revoca della dichiarazione di sicurezza aziendale, il mandante provvede senza indugio a:

• a. interrompere immediatamente tutte le attività sensibili sotto il profilo della sicurezza e a revocare i diritti d’accesso corrispondenti;

• b. proteggere tutte le informazioni classificate, i mezzi informatici e i materiali.

Il mandante conferma al servizio specializzato PSA l’esecuzione delle misure di cui al capoverso 2 entro dieci giorni dalla presa di conoscenza della revoca.

(art. 68 LSIn)

Il servizio specializzato PSA è competente per l’avvio della ripetizione della procedura di sicurezza relativa alle aziende.

Se al momento della scadenza della validità della dichiarazione di sicurezza aziendale è in corso la procedura di ripetizione, la validità è prorogata fino al rilascio di una nuova dichiarazione di sicurezza aziendale o fino all’interruzione della procedura di sicurezza relativa alle aziende.

Se una dichiarazione di sicurezza aziendale non è rinnovata o se la procedura di sicurezza relativa alle aziende è interrotta, l’articolo 20 è applicabile per analogia. È fatto salvo l’articolo 58 capoverso 3 LSIn.

(art. 70 LSIn)

I dati personali e aziendali contenuti nel sistema d’informazione sulla procedura di sicurezza relativa alle aziende sono elencati nell’allegato 1.

(art. 73 lett. e LSIn)

Il DDPS provvede affinché un organo indipendente dal servizio specializzato PSA verifichi almeno ogni cinque anni la liceità del trattamento dei dati personali da parte degli organi coinvolti.

Per mandati sensibili sotto il profilo della sicurezza secondo il diritto cantonale, i Cantoni possono chiedere al servizio specializzato PSA di svolgere una valutazione dell’idoneità secondo gli articoli 55–57 LSIn se:

• a. dispongono di una base legale sufficiente;

• b. per garantire la sicurezza delle informazioni intendono procedere a valutazioni analoghe a quelle della Confederazione; e

• c. hanno concluso con il DDPS un accordo sulle prestazioni.

L’accordo sulle prestazioni di cui al capoverso 1 lettera c disciplina in particolare:

• a. il numero delle valutazioni da effettuare;

• b. quali organi presso i Cantoni possono presentare la richiesta per lo svolgimento di tali valutazioni;

• c. il finanziamento delle prestazioni, comprese le modalità.

L’importo degli emolumenti è calcolato secondo l’articolo 19 capoverso 2.

L’abrogazione e la modifica di altri atti normativi sono disciplinate nell’allegato 2.

Per i mandati aggiudicati prima dell’entrata in vigore della presente ordinanza e le procedure di tutela del segreto pendenti al momento dell’entrata in vigore si applica il diritto anteriore.

La presente ordinanza entra in vigore il 1° gennaio 2024.