Wortlaut

I problemi informatici dell'esercito sono stati a più riprese oggetto di titoli negativi sui giornali (ad es. NZZ articolo del 31 agosto 2020, Lukas Mäder, "Probleme der Armee-IT und kein Ende"). Anche l'Amministrazione federale lancia l'allarme: il livello di sicurezza non è conforme ai requisiti militari, mancano anche i più elementari controlli di sicurezza tanto da far emergere molte domande sulla ciberprevenzione

Nella sua nuova "Strategia TIC della Confederazione 2020-2030" dell'aprile 2020 il Consiglio federale sottolinea il fatto che i processi correnti legati alla digitalizzazione e alla condivisione dei dati hanno richiesto "una maggiore consapevolezza della sicurezza, anche per garantire la fiducia".

Allo stesso tempo si chiede: "Prima di individuare o sviluppare una nuova soluzione, per ragioni economiche dev'essere escluso il riutilizzo delle soluzioni esistenti. L'utilizzo di soluzioni TIC disponibili ha la precedenza sulla fornitura di soluzioni TIC individuali." Se possibile, la Confederazione deve ricorrere anche a soluzioni industriali.

Invito il Consiglio federale a rispondere alle domande seguenti:

1. Il Consiglio federale non condivide il parere secondo cui dovrebbe investire - soprattutto in seno all'esercito - per porre rimedio alla mancanza di consapevolezza in materia di sicurezza e provvedere affinché la sicurezza informatica e l'archivio dati sicuro siano garantiti il più rapidamente possibile?

2. Quanto rapidamente e in quale misura il Consiglio federale intende investire nei sistemi di informazione e di management nel settore della difesa per recuperare la sicurezza e la sovranità dei dati?

3. Come si pone di fronte al fatto che la Confederazione, da un lato, verifica la fattibilità di soluzioni TIC individuali (ad es. Swiss Cloud, app) e, dall'altro, chiede di utilizzare le soluzioni esistenti? Non sarebbe più opportuno rendere sicure le soluzioni tecniche esistenti per le esigenze svizzere e renderle conformi alla legge?

4. Il Consiglio federale è anche disposto ad aderire a partenariati pubblico-privato per risolvere i problemi informatici, ad esempio istituendo un Industry Advisory Board?

Stellungnahme des Bundesrates

1. Una solida consapevolezza in materia di sicurezza è la base per una sicurezza delle informazioni durevole. Per questo si promuove la sensibilizzazione continua dei quadri e dei collaboratori a livello di Confederazione, di DDPS e di esercito attraverso le cosiddette campagne di "awareness". In seno al DDPS il capo del Dipartimento stabilisce obiettivi annuali nell'ambito della formazione per promuovere la sicurezza, che devono essere soddisfatti anche dall'Aggruppamento Difesa. L'esercito stesso ha creato un team denominato "Istruzione e Cyber Security Awareness" per sostenere la consapevolezza in materia di sicurezza. L'esercito si impegna inoltre costantemente nell'acquisire esperienza e nel migliorarsi nell'ambito della sicurezza delle informazioni e della cibersicurezza.

2. Il Consiglio federale è consapevole del fatto che una sicurezza delle informazioni e una cibersicurezza efficaci richiedono competenze, responsabilità e compiti chiari nonché la definizione di processi ordinari. Nel messaggio relativo alla nuova legge sulla sicurezza delle informazioni (FF 2017 2563) il Consiglio federale ha quindi proposto che tutte le autorità federali adottassero un sistema di gestione della sicurezza delle informazioni (ISMS) conforme a standard internazionali riconosciuti. L'Aggruppamento Difesa impiega già da quasi due anni un ISMS di questo tipo, che è in costante miglioramento dal punto di vista della completezza e dell'efficacia. L'esercito ha inoltre adottato altre misure fondamentali ed effettuato grandi investimenti per modernizzare la protezione dei propri dati e sistemi. In particolare ha creato, presso la Base d'aiuto alla condotta dell'esercito, la nuova divisione "Cyber Security" quale responsabile unico della strategia della sicurezza, della sicurezza integrale e della sorveglianza delle reti e dei sistemi dell'esercito. Nel quadro del suo rapporto annuale sullo Stato della sicurezza informatica nell'Amministrazione federale il Consiglio federale verificherà quanto siano efficaci le misure adottate dall'esercito per garantire un'elevata cibersicurezza e sicurezza delle informazioni tenendo conto della situazione delle ciberminacce in continua evoluzione e se tali misure debbano eventualmente essere rafforzate.

3. Il Consiglio federale non vede alcuna contraddizione in questo approccio. In ogni singola situazione occorre infatti verificare se sia più opportuno optare per prodotti tecnici standard già esistenti o sviluppare soluzioni individuali. Proprio nel settore della sicurezza può rivelarsi necessario impiegare soluzioni ad hoc o integrare componenti individuali nelle soluzioni standard già esistenti. Uno dei principi fondamentali della Strategia TIC della Confederazione 2020-2023 consiste nel verificare preventivamente se una soluzione ad hoc sia realmente giustificabile prima di acquistarla o prima che venga eventualmente sviluppata all'interno dell'Amministrazione. Ogni qual volta sia possibile occorre adottare soluzioni adeguate già esistenti, ovvero soluzioni che vengono già utilizzate nell'Amministrazione federale o anche che possono essere acquistate sul mercato e impiegate il più possibile senza discostarsi dagli standard.

4. Forme di collaborazione del tipo "Partenariato pubblico-privato" (PPP) vengono già oggi impiegate in diversi modi. Di solito si tratta di questioni concrete che vengono affrontate in modo mirato e in particolare in ambiti per i quali la Confederazione dipende da know-how specifici dell'economia privata. In tale contesto occorre rispettare le condizioni quadro giuridiche. Su diverse tematiche specialistiche prioritarie, tra cui figurano ad esempio anche i ciber-rischi, esistono già organi con i quali i dipartimenti istituzionalizzano lo scambio di conoscenze ed esperienze. Al momento non si riscontra la necessità di creare nuovi organi.

Risposta del Consiglio federale.