Ordinanza sui servizi digitali delle autorità (OSNA) - Scopo (VDDB)

1. La presente regolamentazione ha lo scopo di precisare e completare le disposizioni della Legge sui servizi digitali delle autorità (GDDB).

1. Il Consiglio di Stato può, tramite delibera, estendere l'ambito di applicazione del GDDB a persone fisiche o giuridiche e organizzazioni incaricate di svolgere compiti di diritto pubblico cantonale o comunale - nell'ambito dell'adempimento di tali compiti -, nonché a associazioni di autorità, se

a) un interesse comprovato per il Cantone, in particolare sotto il profilo economico, lo giustifica, oppure

b) le unità interessate ne fanno richiesta.

1. In questo regolamento si intende per

a) Implementazione: l'insieme dei processi necessari affinché un'applicazione software o un sistema possa essere introdotto nel contesto d'uso previsto; questi processi comprendono l'installazione, la configurazione, i test e le modifiche;

b) Attacco informatico: evento intenzionale che si verifica durante l'uso di risorse informatiche e che può compromettere la riservatezza, la disponibilità o l'integrità delle informazioni, o la tracciabilità del loro trattamento.

1. L'unità organizzativa responsabile della gestione digitale è l'ufficio competente per la gestione digitale (di seguito: la DDV).

2. L'unità organizzativa responsabile del funzionamento e dell'hosting dei servizi di base e delle prestazioni digitali cantonali è l'ufficio competente per l'informatica (di seguito: la KDI).

1. Se un servizio digitale cantonale è destinato a utenti specifici, tale servizio può, in casi eccezionali

a) essere fornito solo con l'ausilio di tecnologie speciali;

b) essere accompagnato da informazioni tecniche;

c) essere disponibile solo in una lingua ufficiale.

2. Per quanto possibile, si tengono in considerazione le esigenze particolari di alcune categorie di persone (persone con disabilità, persone anziane o persone con un retroterra migratorio). Sono garantiti gli standard informatici nazionali e internazionali che regolano l'accessibilità dei siti internet.

3. Per quanto possibile, le informazioni e gli aiuti rivolti agli utenti da parte delle autorità cantonali sono redatti in modo chiaro e semplice.

1. Nell'elaborazione di progetti per servizi digitali cantonali, vengono esaminate le soluzioni adottate in altri cantoni o dalla Confederazione. Tali soluzioni devono soddisfare le norme e gli standard previsti dall'articolo 11.

1. L'introduzione dei servizi digitali è trattata nel processo generale di trasmissione e gestione delle richieste secondo le modalità previste dall'articolo 13. La data di introduzione è comunicata all'autorità richiedente ai sensi dell'articolo 13 comma 1 previo consulto con le unità interessate.

2. La KDI può richiedere all'autorità richiedente ai sensi dell'articolo 13 comma 1 la prova che determinate disposizioni tecniche previste nell'articolo 11 comma 3 siano rispettate. Sono riservati i poteri del garante cantonale per la protezione dei dati e l'accesso pubblico.

3. La KDI stabilisce le modalità di introduzione. L'autorità richiedente ai sensi dell'articolo 13 comma 1 partecipa al processo a titolo gratuito.

1. L'autorità che fornisce il servizio stabilisce il momento in cui l'utilizzo di un servizio digitale da essa fornito diventa obbligatorio.

2. Essa è responsabile per stabilire le eccezioni all'utilizzo dei servizi digitali da essa forniti ai sensi dell'Articolo 7, comma 2 GDDB.

1. Gli utenti beneficiano di un supporto gratuito.

2. Questo supporto è garantito da

a) la KDI per i servizi di base;

b) le autorità per i servizi digitali che forniscono.

1. L'autorità che mette a disposizione un software Open Source sceglie la licenza corrispondente.

2. Quando un'autorità fornisce prestazioni supplementari ai sensi dell'articolo 10, comma 3 GDDB, può addebitare al destinatario una tariffa calcolata in base ai costi effettivi.

1. Le norme e gli standard stabiliti dal comitato direttivo strategico sono generalmente pubblicati.

2. La pubblicazione può fare riferimento a norme o standard di terze parti.

3. La KDI stabilisce le regole tecniche che un servizio digitale, distribuito tramite la sua infrastruttura, deve rispettare. Informa il comitato direttivo strategico al riguardo.

1. La promozione dell'uso dei servizi digitali può includere in particolare

a) misure informative;

b) un'evidenziazione dei servizi digitali agli sportelli fisici.

1. Le autorità presentano una richiesta quando desiderano avvalersi di una delle seguenti tre prestazioni

a) Fornitura di servizi digitali sull'infrastruttura informatica del Cantone secondo l'articolo 7, paragrafo 1, lettera c GDDB;

b) Inclusione di un progetto nel piano di attuazione secondo l'articolo 11, paragrafo 1, lettera c GDDB;

c) Ricezione di fondi IKT o di servizi correlati secondo l'articolo 9, paragrafo 1 GDDB.

2. Le richieste vengono inoltrate ai seguenti soggetti per l'ulteriore elaborazione

a) al coordinatore informatico responsabile, se riguardano le autorità cantonali, oppure

b) alla DDV per tutte le altre autorità.

3. Le richieste per gli aiuti finanziari previsti dall'articolo 25, paragrafo 1 GDDB devono essere presentate anch'esse alla DDV, che successivamente elabora le richieste.

4. La DDV mette a disposizione uno strumento che consente la presentazione delle richieste menzionate ai paragrafi 2 lettera b e 3.

1. Il Comitato direttivo strategico (di seguito: il Comitato) adotta il proprio regolamento interno, che stabilisce, tra l'altro, le modalità con cui le decisioni vengono prese e comunicate.

2. Il capo del dipartimento responsabile per l'amministrazione digitale è uno dei tre rappresentanti cantonali di cui all'articolo 12, paragrafo 2, lettera a GDDB. Egli presiede il Comitato.

3. Il capo del servizio della DDV partecipa alle riunioni del Comitato con voto consultivo.

1. Il KDI ospita, gestisce e mantiene i servizi di base e le prestazioni digitali cantonali. Può delegare tali compiti.

2. Il KDI può altresì ospitare, gestire e mantenere prestazioni digitali di altre autorità, su richiesta di queste ultime. In tal caso, viene stipulato un accordo con l'autorità richiedente, nel quale sono stabilite le tariffe e il livello di servizio.

3. Ogni autorità è responsabile dell'hosting, della gestione e della manutenzione della propria infrastruttura informatica.

4. Il KDI documenta e informa tempestivamente le organizzazioni interessate sulle attività di manutenzione pianificate per i servizi di base.

5. Qualora la sicurezza del sistema o delle informazioni lo richieda, il KDI può effettuare lavori di manutenzione sulla propria infrastruttura senza preavviso.

6. Il KDI può bloccare l'accesso a un servizio digitale senza preavviso o spiegazione, se rileva, in particolare nella fase di implementazione, che la sicurezza dei sistemi o delle informazioni è a rischio.

1. La Strategia sui servizi digitali delle autorità (di seguito: la Strategia) mira a motivare gli utenti a utilizzare principalmente il canale digitale nelle loro interazioni con le autorità. Essa contiene, tra l'altro, una visione, principi fondamentali, obiettivi strategici, punti focali operativi e un concetto di implementazione.

2. Ogni 2 anni, il comitato redige un rapporto al Consiglio di Stato e in esso valuta la Strategia. Eventualmente, al rapporto possono essere allegati proposte di modifica o un progetto per una nuova strategia.

3. Il Consiglio di Stato approva le proposte del comitato con deliberazione.

1. Il piano di attuazione è lo strumento con cui la strategia viene concretizzata.

2. Nel piano sono elencati i progetti che

a) contribuiscono al raggiungimento degli obiettivi o delle linee operative della strategia, e

b) richiedono risorse umane o finanziarie da parte del Cantone.

3. Il comitato aggiorna il piano di attuazione annualmente, tenendo conto dell'avanzamento previsto dei progetti su un periodo di 4 anni. Il Consiglio di Stato approva il piano di attuazione aggiornato con una delibera.

1. Le domande di inserimento di un progetto nel piano di implementazione seguono le disposizioni dell'articolo 13 e includono almeno una descrizione

a) dello scopo;

b) dei servizi del progetto;

c) della connessione agli obiettivi o ai punti focali operativi della strategia;

d) dell'unità organizzativa responsabile.

2. Nell'ordine della loro importanza, la priorità dei progetti selezionati è determinata da

a) l'orientamento strategico: La domanda è essenziale per l'applicazione di una base legale, di una decisione del consiglio di stato o di una strategia;

b) il beneficio per gli utenti: La domanda risponde a un bisogno comprovato e permette di semplificare le interazioni con l'autorità;

c) il vantaggio aziendale: La domanda permette di ampliare l'offerta di servizi, migliorare l'efficienza (riduzione dei costi), la qualità e la durata di elaborazione;

d) gli impatti: La domanda influisce sui processi relativi all'erogazione del servizio e all'organizzazione del lavoro.

3. In linea di principio, il responsabile del progetto fornisce trimestralmente le informazioni necessarie per il controllo del progetto, in particolare una valutazione del rispetto delle scadenze, dei costi, degli obiettivi e dei rischi in relazione al personale, all'ambito del progetto e agli sviluppi normativi.

1. Nell'ambito delle sue disponibilità, il Cantone supporta altre autorità in materia di cybersicurezza, in particolare attraverso

a) la messa a disposizione delle migliori pratiche;

b) la partecipazione alla gestione delle crisi e allo sviluppo della strategia di ripristino in caso di un attacco informatico.

2. A fronte di un compenso, può anche

a) offrire misure speciali di sensibilizzazione o formazione;

b) promuovere l'ottenimento di marchi e certificazioni.

1. Le autorità segnalano alla polizia cantonale ogni attacco informatico che

a) mette in pericolo il funzionamento dei servizi digitali;

b) ha portato a una manipolazione o a una fuga di informazioni;

c) è rimasto sconosciuto per un lungo periodo, in particolare se ci sono indizi che l'attacco è stato eseguito per preparare ulteriori attacchi informatici; oppure

d) è accompagnato da estorsione, minacce o coercizione.

2. Dopo la segnalazione di un attacco informatico, la KDI, a seconda della disponibilità, supporta l'autorità colpita nella gestione dell'incidente.

3. La segnalazione deve essere effettuata immediatamente dopo la scoperta dell'attacco informatico e deve contenere le seguenti informazioni

a) l'autorità interessata dall'attacco informatico;

b) la natura dell'attacco informatico;

c) gli effetti dell'attacco informatico;

d) le misure adottate e/o programmate contro di esso.

4. Se al momento della segnalazione non è possibile fornire le informazioni elencate al paragrafo 3, l'autorità le trasmette alla KDI non appena sono disponibili.

5. Una segnalazione effettuata sulla base di questo articolo può essere utilizzata in un procedimento penale contro la persona obbligata a segnalare solo con il consenso di quest'ultima.

1. Gli utenti vengono informati al momento della loro prima registrazione sul portale previsto dall'articolo 6, paragrafo 3, lettera a, GDDB che i loro dati personali saranno utilizzati per l'operatività dei servizi di base.

2. Inoltre, vengono informati, al momento della richiesta di un servizio digitale, sulle categorie di dati personali che verranno utilizzate per l'elaborazione della richiesta. L'autorità che fornisce il servizio digitale è responsabile delle informazioni fornite.

1. I dati personali degli utenti utilizzati per i servizi digitali vengono conservati solo per il tempo necessario agli scopi per i quali sono elaborati. Si applicano i seguenti principi

a) i dati relativi alla titolarità dell'account e all'accesso all'account vengono conservati fino a quando l'account è attivo. Se un account viene eliminato, i dati vengono conservati per un massimo di tre mesi dopo l'eliminazione;

b) i dati in relazione ai servizi digitali vengono generalmente archiviati nel portale per 18 mesi. È responsabilità degli utenti salvare questi dati sul proprio dispositivo privato o spazio di archiviazione privato se desiderano conservarli più a lungo;

c) i dati di registrazione vengono conservati per un anno in conformità all'articolo 30, comma 2, del regolamento esecutivo della legge sull'informazione del pubblico, la protezione dei dati e l'archiviazione (ARGIDA).

1. Le autorità pubblicano i dati pubblici delle autorità fondamentalmente sulla piattaforma nazionale opendata.swiss, in un formato che corrisponde agli standard nazionali e internazionali del rispettivo settore.

2. È anche possibile una pubblicazione su un'altra piattaforma, qualora l'autorità lo ritenga opportuno.

1. I seguenti documenti sono pubblicati sul sito ufficiale del Cantone

a) la strategia sui servizi digitali delle autorità;

b) il piano di implementazione;

c) le norme e gli standard menzionati all'articolo 11 paragrafo 1;

d) i codici sorgente aperti.

1. Le misure previste all'articolo 22, paragrafo 1 GDDB possono comprendere sovvenzioni, mandati per perizie o studi, aiuti finanziari per progetti innovativi, supporto per la sensibilizzazione e la formazione o anche partenariati.

2. A seconda della natura delle misure, verrà stipulato un contratto di diritto pubblico o un mandato di prestazione.

1. Le tariffe orarie sono stabilite dall'autorità che fornisce il servizio, procedendo secondo il principio di copertura dei costi e tenendo conto delle tariffe orarie usuali nel settore interessato.

1. Nell'assegnazione del finanziamento dei servizi comuni ai sensi dell'articolo 24, paragrafo 2 GDDB, si tiene conto della quota che ciascuna delle autorità può ragionevolmente sostenere.

1. Gli aiuti finanziari previsti dal GDDB sono disponibili per la pianificazione, lo sviluppo e l'attuazione di misure che attuano almeno uno dei punti operativi strategici.

2. L'entità degli aiuti finanziari è determinata dal beneficio e dall'impatto della misura. Gli aiuti devono essere sostanzialmente sussidiari. Sono stabiliti dal responsabile del dipartimento competente per l'amministrazione digitale.

3. Non esiste alcun diritto sugli aiuti finanziari.

4. I beneficiari devono poter dimostrare l'uso dell'aiuto concesso. Gli aiuti possono essere richiesti totalmente o parzialmente indietro se sono stati concessi sulla base di dichiarazioni false o se non sono stati utilizzati per gli scopi inizialmente indicati.