1. Disposizioni Generali (ISDSDV)

Questa regolamentazione disciplina i principi e la procedura per l'attuazione della sicurezza delle informazioni e della protezione dei dati (ISDS) nell'uso della tecnologia dell'informazione e della telecomunicazione (ICT) da parte dell'amministrazione del cantone.

1. Questo regolamento si applica ai progetti, alle applicazioni e ai componenti dell'ICT.

2. Si applica a tutta l'amministrazione cantonale.

3. In caso di concessione di compensazioni ai sensi della legge sui contributi statali del 16 settembre 1992 (LCS) per progetti ICT, i cui trattamenti di dati sono soggetti alle norme KDSG, le richiedenti e i richiedenti devono rispettare o le disposizioni materiali di questo regolamento (Art. 5 e le direttive tecniche secondo l'Art. 12) oppure le disposizioni di uno standard ISDS riconosciuto, accreditato e equivalente.

1. Responsabili per l'ISDS sono i soggetti che trattano dati, in particolare dati personali, per adempiere ai loro compiti di legge o che fanno trattare tali dati da terzi (soggetti responsabili).

2. Se più soggetti trattano dati congiuntamente, deve essere stabilito per iscritto quale soggetto porta la responsabilità principale per l'ISDS.

1. L'autorità competente garantisce che tutte le applicazioni ICT, utilizzate per il trattamento dei dati personali, rispettino le normative legali e contrattuali in materia di protezione dei dati e che la sicurezza delle informazioni sia garantita in maniera adeguata durante il trattamento dei dati.

1. In ogni progetto ICT, il comitato del progetto designa nell'ambito dell'organizzazione del progetto una responsabile o un responsabile per l'ISDS.

2. L'ente responsabile valuta nella fase di pre-analisi, tramite un'analisi ISDS, la conformità del progetto alle normative sulla protezione dei dati e determina, con una classificazione del fabbisogno di protezione, se il progetto comporta requisiti ISDS elevati.

3. Requisiti ISDS elevati sussistono in particolare se

a. il valore di riscatto dell'infrastruttura è elevato,

b. un'interruzione dei sistemi ICT per più di un giorno lavorativo ha conseguenze gravi per l'adempimento dell'incarico,

c. il ripristino dei dati è connesso a problemi o costi significativi,

d. i dati trattati sono soggetti a speciali disposizioni legali o contrattuali di segretezza (ad es. il segreto professionale) oppure

e. una violazione della protezione dei dati comporta conseguenze sensibilmente negative per gli interessati, ciò che avviene generalmente nel trattamento di dati personali particolarmente sensibili.

4. Se l'analisi ISDS determina che non sussistono requisiti ISDS elevati, l'ente responsabile garantisce che al momento dell'attivazione dell'applicazione ICT siano rispettati le direttive rilevanti sulla protezione dei dati e che la sicurezza delle informazioni sia garantita almeno attraverso l'implementazione delle misure di base dell'ISDS.

5. Se l'analisi ISDS determina che sussistono requisiti ISDS elevati, è necessario predisporre un concetto ISDS al più tardi nella fase di concetto. Nell'ambito di questo concetto, sulla base di un'analisi del rischio,

a. devono essere determinate le misure organizzative e tecniche aggiuntive necessarie, oltre all'implementazione delle misure di base dell'ISDS, per una adeguata sicurezza delle informazioni e protezione dei dati, e

b. devono essere poste le basi affinché queste siano attuate al momento dell'attivazione dell'applicazione ICT.

1. Le domande di concessione di credito e la documentazione per il controllo preliminare del trattamento dei dati (Art. 17a KDSG) contengono la documentazione elaborata dell'ISDS. Questi documenti devono essere firmati dal responsabile ISDS del progetto.

2. Se un progetto presenta requisiti ISDS elevati, la domanda di concessione di credito deve includere un parere dell'autorità cantonale per la protezione dei dati, che valuti il rispetto del KDSG e delle altre disposizioni ISDS (rapporto di controllo preliminare).

3. La documentazione ISDS sottoposta per parere all'autorità cantonale per la protezione dei dati deve essere contemporaneamente trasmessa anche al responsabile della sicurezza delle informazioni del Cantone (IT-SIBE) (Art. 10).

4. Nell'erogazione di compensazioni a progetti con obblighi ISDS, per i quali è stato scelto un altro standard ISDS (Art. 2 cpv. 3), i documenti richiesti secondo lo standard ISDS scelto sostituiscono l'analisi e il concetto ISDS. In questo caso, si applicano i paragrafi 2 e 3 indipendentemente dal fatto che il progetto presenti requisiti ISDS elevati o meno, e su richiesta devono essere forniti anche i documenti che definiscono lo standard ISDS scelto.

1. In assenza dell'analisi ISDS o di un concetto ISDS aggiornato, o se dalle verifiche risulta che il progetto non è conforme alla protezione dei dati o che la sicurezza delle informazioni non è garantita, il committente concede l'autorizzazione alla fase progettuale successiva solo a condizione che i difetti vengano risolti, e l'operatività non può iniziare prima della correzione dei difetti.

2. La sicurezza delle informazioni non è garantita in particolare se, al momento dell'avvio dell'applicazione ICT, esistono ancora rischi per la sicurezza valutati come elevati.

1. Per le applicazioni ICT che non sono state oggetto di un'analisi ISDS già nella fase progettuale, è necessario redigere una tale analisi.

2. Per le applicazioni per le quali, in base alla classificazione del fabbisogno di protezione, emerge un fabbisogno di protezione elevato, è necessario redigere un concetto ISDS che comprenda, in particolare, un'analisi dei rischi e una pianificazione delle misure vincolante per l'eliminazione dei rischi elevati.

1. I componenti ICT sono le parti materiali o immateriali dell'infrastruttura ICT che servono all'elaborazione elettronica dei dati tramite applicazioni, ad esempio dispositivi con o senza funzioni di elaborazione proprie, processi o offerte di servizi («servizi»).

2. Per i componenti ICT la cui sicurezza informatica e protezione dei dati non sono già oggetto del concetto ISDS di un progetto o di un'applicazione, deve essere garantita almeno la protezione di base dell'ISDS.

3. Se dai requisiti ISDS per progetti o applicazioni, per i quali i componenti ICT vengono utilizzati, emerge un ulteriore bisogno di protezione, l'ente responsabile del progetto adotta le misure di sicurezza e protezione corrispondenti o assicura che vengano adottate dall'ente responsabile dei componenti ICT.

4. L'attuazione delle misure di sicurezza e protezione viene registrata in forma appropriata. Deve essere consentito l'accesso alla documentazione all'autorità cantonale di supervisione sulla protezione dei dati e al/alla responsabile della sicurezza IT su richiesta.

1. La supervisione sul rispetto delle disposizioni in materia di protezione dei dati e la garanzia della sicurezza delle informazioni spettano all'ufficio cantonale di vigilanza sulla protezione dei dati per quanto riguarda il trattamento dei dati personali (Art. 34 KDSG).

2. L'ufficio cantonale di vigilanza sulla protezione dei dati collabora con l'IT-SIBE e viene supportato da quest'ultimo nella sua supervisione.

3. All'IT-SIBE spetta la supervisione della garanzia della sicurezza delle informazioni nelle attività in cui non vengono trattati dati personali. Egli o ella può essere invitato/a a partecipare in funzione consultiva nei progetti ICT.

4. Le istruzioni rilevanti ISDS degli uffici per i quali si applica questo regolamento (Art. 2 par. 2) devono essere trasmesse a titolo informativo all'ufficio cantonale di vigilanza sulla protezione dei dati e all'IT-SIBE al più tardi una settimana prima della loro emissione. Nei progetti normativi rilevanti per ISDS, l'ufficio cantonale di vigilanza sulla protezione dei dati e l'IT-SIBE devono essere coinvolti in modo adeguato.

Le direzioni e la cancelleria dello Stato designano un responsabile della sicurezza delle informazioni (IT-SIVE) come principale punto di contatto del o della IT-SIBE.

1. L'Ufficio per l'Informatica e l'Organizzazione (KAIO) emana, dopo consultazione delle direzioni, della cancelleria dello stato e dell'autorità cantonale di controllo della protezione dei dati e della conferenza cantonale di informatica (KIK), le istruzioni esecutive necessarie, in particolare riguardanti

a) l'analisi ISDS e la classificazione delle esigenze di protezione da eseguire nei progetti ICT,

b) il concetto ISDS da sviluppare nei progetti ICT,

c) la protezione di base ISDS da osservare,

d) le condizioni generali ISDS del Cantone (AGB ISDS), che devono essere rispettate o previste nei progetti ICT.

2. Le condizioni generali ISDS ai sensi del comma 1 lettera d possono prevedere che le disposizioni contrattuali includano le basi ISDS elaborate in ciascun caso particolare secondo il comma 1 lettere a fino a c.

3. Il KAIO mette a disposizione strumenti adeguati (spiegazioni, liste di controllo ecc.) e garantisce un'offerta di consulenza e formazione adeguata.

1. Questo regolamento entra in vigore il 1° aprile 2011.