(art. 7 cpv. 1 e 10 cpv. 1 LSIn)
D’intesa con i loro fornitori di prestazioni, le unità amministrative di cui all’articolo 2 capoverso 1 lettera c stabiliscono come notificare e gestire o trattare gli incidenti legati alla sicurezza e le lacune in materia di sicurezza. Stabiliscono chi può disporre misure immediate.
Se un fornitore di prestazioni individua incidenti legati alla sicurezza o lacune in materia di sicurezza che riguardano una delle unità amministrative che beneficiano delle loro prestazioni, li notifica senza indugio e fornisce sostegno per quanto riguarda la loro gestione o il loro trattamento.
Il Servizio specializzato della Confederazione per la sicurezza delle informazioni e l’UFCS possono fornire sostegno alle unità amministrative di cui all’articolo 2 capoverso 1 lettera c e ai dipartimenti nella gestione di incidenti legati alla sicurezza e di lacune in materia di sicurezza.
Quando gestiscono incidenti legati alla sicurezza, le unità amministrative di cui all’articolo 2 capoverso 1 lettera c verificano se, secondo la legislazione sulla protezione dei dati, occorre effettuare una notifica all’Incaricato federale della protezione dei dati e della trasparenza.
Informano senza indugio il loro dipartimento e il Servizio specializzato della Confederazione per la sicurezza delle informazioni in merito all’incidente legato alla sicurezza o alla lacuna in materia di sicurezza se è soddisfatta una delle condizioni seguenti:
potrebbe essere compromesso il funzionamento dell’Amministrazione federale;
è interessato un mezzo informatico del livello di sicurezza «protezione elevata» o «protezione molto elevata»;
potrebbero essere interessati diversi dipartimenti;
potrebbe essere minacciata la protezione di informazioni classificate di uno Stato o di un’organizzazione internazionale con cui il Consiglio federale ha concluso un trattato internazionale secondo l’articolo 87 LSIn;
l’incidente legato alla sicurezza o la lacuna in materia di sicurezza potrebbe avere un’importanza politica elevata;
l’incidente legato alla sicurezza o la lacuna in materia di sicurezza richiede misure che vanno oltre la procedura stabilita secondo il capoverso 1.
Il Servizio specializzato della Confederazione per la sicurezza delle informazioni valuta il rischio e la necessità di sostegno insieme all’unità amministrativa interessata.
Nei casi di cui al capoverso 5, d’intesa con l’unità amministrativa interessata e il dipartimento interessato, può assumere la direzione della gestione di un incidente legato alla sicurezza o di una lacuna in materia di sicurezza oppure, con il loro consenso, può trasferirla all’UFCS. In tale contesto hanno i compiti e le competenze seguenti:
possono obbligare le unità amministrative, i fornitori di prestazioni e i terzi interessati a comunicare loro tutte le informazioni necessarie;
possono disporre misure immediate;
possono impiegare specialisti esterni a scopo di sostegno;
informano la direzione delle unità amministrative e dei dipartimenti interessati in merito all’evoluzione.
Se dopo un incidente legato alla sicurezza o una lacuna in materia di sicurezza la sicurezza delle informazioni è stata ripristinata e se i lavori successivi necessari nonché il loro finanziamento sono definiti, il Servizio specializzato della Confederazione per la sicurezza delle informazioni o l’UFCS ritrasferisce la direzione per l’ulteriore trattamento all’unità amministrativa interessata.