Ambito di applicazione

1. Questo regolamento si applica all'amministrazione statale ai sensi dell'Art. 1 della Legge sull'Amministrazione dello Stato del 16 giugno 1994, ad eccezione delle istituzioni pubbliche autonomamente regolamentate.

2. Viene applicato di conseguenza ai tribunali e ad altre autorità giudiziarie, nella misura in cui queste non agiscono in qualità giudiziaria.

1. I sistemi informatici sono protetti da misure organizzative e tecniche adeguate contro influenze esterne e accessi non autorizzati.

1. I seguenti termini significano

a) Sistemi informatici: Dispositivi e impianti, nonché l'infrastruttura, il software operativo e le applicazioni informatiche correlate, che vengono impiegati per il trattamento elettronico dei dati, inclusi i dati elaborati.

b) Applicazioni informatiche: Programmi che consentono l'utilizzo di sistemi informatici per l'esecuzione o il supporto di determinate attività.

c) Dati: Tutte le informazioni digitali elaborate con sistemi informatici.

d) Evento: Violazione della sicurezza informatica che porta a un danno finanziario o a una perdita d'immagine, o comporta una drastica riduzione della disponibilità dei sistemi informatici coinvolti.

e) Operatività normale: Funzionamento dei sistemi informatici in condizioni normali.

f) Operatività d'emergenza: Funzionamento dei sistemi informatici coinvolti dopo il verificarsi di un evento.

1. La Conferenza dei Responsabili Dipartimentali dell'Informatica stabilisce le misure di sicurezza, classificate in base ai rischi, in un catalogo delle misure. Le misure di sicurezza servono alla riduzione dei rischi.

2. Gli uffici valutano i rischi, stabiliscono i livelli di sicurezza, individuano le misure di sicurezza da adottare e ne garantiscono l'attuazione.

3. I dipartimenti e il Servizio di Pianificazione Informatica controllano la classificazione dei sistemi e delle applicazioni informatiche.

1. I responsabili dell'informatica dei dipartimenti e il Servizio per la pianificazione informatica consigliano gli uffici nella valutazione dei rischi, nella determinazione dei livelli di sicurezza, nella definizione delle misure di sicurezza, nonché nella loro attuazione e verifica.

1. Gli uffici stabiliscono per ciascuno dei loro sistemi e applicazioni informatici i rischi, classificando i dati che gestiscono.

2. Tengono conto dei rischi derivanti da comportamenti imprudenti o dolosi da parte dei dipendenti e degli estranei, dai difetti tecnici degli apparecchi e degli edifici, nonché da incendi ed eventi naturali.

1. Sono considerate «segrete» le informazioni quando si tratta di dati personali particolarmente meritevoli di protezione, di profili della personalità, di dati il cui abuso possa svantaggiare significativamente una persona interessata dal punto di vista sociale ed economico, o di dati tutelati contrattualmente.

2. Sono considerate «riservate» le informazioni quando si tratta di dati personali, di dati il cui abuso possa svantaggiare una persona interessata dal punto di vista sociale ed economico, di dati di rilevanza finanziaria o di dati per i quali è previsto un obbligo di archiviazione.

3. Tutte le altre informazioni sono classificate come non classificate in termini di riservatezza.

1. Il requisito di «alta disponibilità» si applica ai dati la cui indisponibilità mette in pericolo vite umane o la cui importanza per l'adempimento delle funzioni è tale che la disponibilità su un sistema informatico adeguato deve essere ripristinata entro un giorno. Lo stesso requisito di disponibilità si applica ai dati la cui ricostituzione non è possibile e la cui perdita causa un grande danno finanziario o un danno d'immagine presso il pubblico.

2. Il requisito di «media disponibilità» si applica ai dati la cui importanza per l'adempimento delle funzioni è tale che la disponibilità deve essere ripristinata entro tre giorni su un sistema informatico adeguato. Lo stesso requisito di disponibilità si applica ai dati la cui ricostituzione è possibile, la cui perdita causa però un danno finanziario medio o un danno d'immagine nell'amministrazione.

3. Tutti gli altri dati sono classificati come non classificati per quanto riguarda la disponibilità.

1. In caso di classificazione «segreto» o «alta disponibilità», è garantita una elevata protezione per i sistemi e le applicazioni informatiche.

2. In caso di classificazione «riservato» o «media disponibilità», è garantita una protezione media per i sistemi e le applicazioni informatiche.

3. Se i dati sono classificati come non classificati, è garantita una protezione di base per i sistemi e le applicazioni informatiche.

1. Un catalogo delle misure stabilisce, dopo la classificazione dei dati, le misure di sicurezza informatica per i sistemi e le applicazioni informatiche riguardo

a) la prevenzione dell'accesso non autorizzato ai dati (Riservatezza);

b) la prevenzione della modifica non autorizzata dei dati o dei diritti di accesso (Integrità e Autenticità);

c) la durata massima consentita di un'interruzione (Disponibilità).

2. La Conferenza dei responsabili informatici dei dipartimenti è incaricata dell'elaborazione e dell'aggiornamento del catalogo delle misure.

1. Gli uffici designano un'organizzazione per la sicurezza informatica.

2. La persona responsabile dell'organizzazione per la sicurezza informatica

a) adotta le misure preventive necessarie;

b) assicura, dopo l'accadimento di un evento, la continuità operativa mediante i sistemi informatici e il loro ripristino nel normale funzionamento.

1. Il responsabile informatico del dipartimento assicura il coordinamento interdipartimentale all'interno del dipartimento o della cancelleria di Stato.

1. Il Servizio per la pianificazione informatica si occupa del coordinamento interdipartimentale. A tal fine, nomina un responsabile cantonale per la sicurezza informatica.

2. Il responsabile cantonale per la sicurezza informatica è operativo sia in regime di funzionamento normale sia in regime di emergenza.

1. Lo stato maggiore cantonale determina una sottocommissione informatica.

2. La sottocommissione informatica viene impiegata in occasione di grandi eventi, situazioni di emergenza e catastrofi, quando la sicurezza informatica è minacciata.

1. Gli uffici classificano i sistemi e le applicazioni informatiche esistenti in base alla classificazione dei dati e garantiscono l'attuazione delle misure di sicurezza necessarie.

1. Nelle nuove o sostitutive acquisizioni di sistemi e applicazioni informatiche, gli uffici stabiliscono e attuano le misure necessarie per la sicurezza informatica nell'ambito dei progetti di attuazione.

1. Gli uffici informano i dipendenti sulle misure di sicurezza che devono rispettare.

2. Essi si occupano della formazione.

1. Quando un ufficio elabora dati tramite altri uffici o li scambia con essi, i livelli di sicurezza e le misure, così come le responsabilità nell'attuazione, vengono stabiliti congiuntamente.

1. Se un ufficio fa trattare dati da enti che non rientrano nel campo di applicazione del presente regolamento, nel contratto di collaborazione si concorda quali misure debba adottare il responsabile e come debba essere verificata la loro osservanza.

1. Lo scambio di dati su reti pubbliche è consentito solo tramite punti di accesso protetti. Sono considerate pubbliche tutte le reti al di fuori della rete di comunicazione KOMSG del Cantone.

2. L'accesso dalle reti pubbliche alla rete interna del Cantone avviene tramite i passaggi di rete protetti forniti dall'operatore di rete.

3. L'operatore di rete può concedere eccezioni.

1. Le condizioni sotto le quali è consentito il trattamento dei dati al di fuori dei locali dell'ufficio e l'utilizzo dei dati su dispositivi privati sono disciplinate da un'istruzione di servizio.

1. Gli uffici verificano periodicamente il rispetto e l'adeguatezza delle misure di sicurezza informatica.

2. Se cambiano i compiti, l'organizzazione o i sistemi o applicazioni informatiche utilizzate da un ufficio, essi verificano i livelli di sicurezza e gli obiettivi di protezione nonché l'adeguatezza delle misure di sicurezza informatica.

1. Nei sistemi informatici e nelle applicazioni classificati come «alta disponibilità» o «segreto», gli uffici fanno periodicamente verificare le misure di sicurezza informatica da entità interne o esterne indipendenti.

2. Il responsabile cantonale della sicurezza informatica può disporre controlli a campione.

3. Per i sistemi informatici e le applicazioni classificati come «alta disponibilità» viene elaborato un piano di emergenza, che viene testato periodicamente.

1. Il Regolamento relativo al Dipartimento per l'elaborazione dei dati e l'organizzazione del 22 aprile 1975 è abrogato.

1. Per i sistemi e le applicazioni informatici esistenti, gli uffici valutano i rischi entro due anni dall'inizio dell'esecuzione di questo regolamento e stabiliscono i livelli di sicurezza, le misure di sicurezza informatica, nonché il programma temporale della loro attuazione.

1. Questo decreto è applicato a partire dal 1° marzo 2004.