La presente ordinanza definisce gli organi, le strategie e le procedure necessarie per:

a.

la messa a disposizione degli utenti di servizi digitali adeguati ai loro bi­so­gni;

b.

la digitalizzazione, l’automatizzazione e l’integrazione dei processi lavo­rativi;

c.

l’uso e lo scambio di dati e la normalizzazione del loro significato;

d.

la governance delle tecnologie dell’informazione e della comunicazione (TIC) nel rispetto dei principi di adeguatezza, interoperabilità, economicità e sicurezza;

e.

la promozione di standard informatici aperti e riconosciuti;

f.

l’ottimizzazione del sostegno alla realizzazione degli obiettivi comuni della Confederazione, dei Cantoni e dei Comuni in materia di amministrazione digitale.

¹ La presente ordinanza si applica alle unità amministrative dell’Amministrazione federale centrale di cui all’articolo 7 dell’ordinanza del 25 novembre 1998² sull’or­ganizzazione del Governo e dell’Amministrazione (OLOGA).

² Fatte salve disposizioni di diverso tenore previste dal diritto federale in materia di organizzazione, possono impegnarsi mediante un accordo con il settore Trasfor­mazione digitale e governance delle TIC della Cancelleria federale (settore TDT della CaF) a rispettare la presente ordinanza, l’ordinanza del 27 maggio 2020³ sui ciber-rischi e l’ordinanza GEVER del 3 aprile 2019⁴ nonché le direttive fondate sulle stes­se:

a.

le unità dell’Amministrazione federale decentralizzata di cui all’articolo 7a OLOGA;

b.

le altre autorità federali;

c.

le organizzazioni e persone di diritto pubblico o privato che non appar­tengono all’Amministrazione federale, ma a cui sono affidati compiti ammi­nistrativi della Confederazione (ai sensi dell’art. 2 cpv. 4 LOGA);

d.

le istituzioni con scopi pubblici vicine alla Confederazione, che ricorrono alle prestazioni dell’Amministrazione federale centrale nel campo d’applica­zione della presente ordinanza.

³ Se motivi oggettivi lo giustificano e viene mantenuto un livello di sicurezza adeguato, l’accordo può vertere unicamente su una parte delle disposizioni di cui al capoverso 2.

⁴ Il settore TDT della CaF propone accordi tipo.

⁵ Esso consulta il Centro nazionale per la cibersicurezza in merito agli accordi e agli accordi tipo rilevanti per la cibersicurezza.

Per quanto la presente ordinanza non disponga altrimenti, i dipartimenti e la Cancelleria federale sono responsabili della trasformazione digitale nei loro rispettivi ambiti di competenza e disciplinano la governance delle TIC in tali ambiti.

¹ Il settore TDT della CaF emana direttive generali e astratte valide per le autorità, le organizzazioni e le persone di cui all’articolo 2, concernenti:

a.

le strategie parziali, ossia le linee direttrici che definiscono l’orientamento generale della TDT, la delimitazione dell’uso della stessa e la pianificazione dello sviluppo di taluni suoi aspetti a medio termine;

b.

i processi TDT, ossia il modo in cui i compiti legati alla TDT devono essere svolti e gli strumenti di aiuto da utilizzare;

c.

l’architettura aziendale, ossia la strutturazione interdipartimentale dei processi lavorativi, dei modelli di dati, delle tecnologie nonché dei prodotti e delle prestazioni TIC;

d.

gli standard, ossia la definizione di prodotti, interfacce o tecnologie derivanti dall’architettura aziendale e che sono necessari per garantire l’intero­perabilità, l’economicità e la sicurezza;

e.

i servizi standard, ossia le prestazioni in materia di trasformazione digitale o di TIC, gestite in modo centralizzato, frequentemente utilizzate in seno all’Amministrazione federale e aventi requisiti identici o simili; una direttiva concernente un servizio standard stabilisce segnatamente la responsabilità della fornitura e della gestione del servizio standard, l’acquisto di prestazioni, il finanziamento generale e il controllo della qualità delle prestazioni fornite;

f.

la gestione del portafoglio TDT, ossia le attività necessarie al coordi­namento degli studi, dei programmi e dei progetti in materia di trasforma­zione digitale nonché al raggruppamento di applicazioni o prestazioni TIC in seno all’Amministrazione federale e le relative misure;

g.

il controllo della gestione, ossia la raccolta, il trattamento, la verifica e l’interpretazione d’informazioni che servono alla TDT nonché le relative misure.

² Il settore TDT della CaF consulta previamente il Consiglio TDT.

³ Decide sulle deroghe alle direttive che ha emanato.

⁴ Può delegare decisioni di portata minore concernenti tali deroghe:

a.

ai dipartimenti e alla Cancelleria federale;

b.

a gruppi di lavoro;

c.

a responsabili di programmi o progetti.

¹ Su proposta del settore TDT della CaF e dopo aver sentito la CSG, il cancelliere della Confederazione emana direttive TDT sui servizi standard con obbligo d’acqui­sto e sui progetti TDT chiave.

² Dopo aver sentito la CSG, decide su deroghe alle direttive che ha emanato.

³ Può delegare decisioni di portata minore concernenti deroghe tali al settore TDT della CaF.

¹ La procedura per la composizione delle controversie è volta a comporre le controversie tra un dipartimento e il settore TDT della CaF concernenti:

a.

l’emanazione di una direttiva del settore TDT della CaF;

b.

la concessione di una deroga a una direttiva del settore TDT della CaF.

² Il dipartimento notifica la controversia al settore TDT della CaF.

³ Il settore TDT della CaF ne informa i membri del Consiglio TDT e sottopone senza indugio la controversia alla CSG, all’attenzione del cancelliere della Confederazione.

⁴ Dopo aver sentito la CSG, il cancelliere della Confederazione decide in merito alla controversia.

I progetti chiave TDT dell’Amministrazione federale sono progetti o programmi in materia di TDT che necessitano di un rafforzamento della condotta strategica e ope­rativa, del coordinamento e della sorveglianza a causa:

a.

delle risorse che richiedono;

b.

della loro importanza strategica;

c.

della loro complessità; o

d.

dei rischi che presentano.

Su proposta del delegato TDT e dopo aver sentito la CSG, il cancelliere della Confederazione determina i progetti chiave TDT dell’Amministrazione federale.

¹ Il delegato TDT fa regolarmente rapporto al cancelliere della Confederazione circa i progetti chiave TDT dell’Amministrazione federale, consolidando i rapporti che gli consegnano le unità amministrative incaricate di tali progetti.

² Se necessario, il cancelliere della Confederazione, dopo aver sentito la CSG, propone provvedimenti correttivi al Consiglio federale.

¹ Il sistema per la gestione dei dati di base (sistema GDB) è destinato a gestire e mettere a disposizione in modo centralizzato i dati necessari all’esecuzione elettronica dei processi di supporto in materia di finanze, acquisto, gestione immobiliare e logistica (processi di supporto sostenuti).

² I dati centralizzati del sistema GDB possono inoltre essere utilizzati per attualizzare i dati dei registri della Confederazione, per quanto le basi legali di tali registri lo consentano.

³ Oltre ai dati centralizzati, nel sistema GDB possono essere gestiti altri dati personali quali dati di base, per quanto un altro atto normativo federale lo preveda e ne disciplini il trattamento, segnatamente lo scopo del trattamento, l’esten­sione dei dati, le fonti dei dati, il diritto di accesso e la responsabilità per la protezione dei dati.

Nel contesto del sistema GDB, si intende per:

a.

unità GDB, le persone, le imprese e le aziende svizzere ed estere, indipendentemente dalla loro natura giuridica, i cui dati sono trattati nel sistema GDB;

b.

dati di base GDB, i dati delle unità GDB richiesti per l’esecuzione dei processi di supporto sostenuti.

¹ L’AFF è responsabile dell’esercizio e della sicurezza del sistema GDB. Essa gestisce i dati di cui all’articolo 26 capoverso 1 lettere a–h ed è responsabile della loro protezione.

² Le autorità, le organizzazioni e le persone di cui all’articolo 2 che fanno uso di un processo di supporto sostenuto possono gestire nel sistema GDB la propria banca dati di cui all’articolo 26 capoverso 1 lettera i. Sono responsabili della protezione di tali dati.

¹ I dati seguenti sono gestiti in modo centralizzato nel sistema GDB:

a.

numero d’identificazione non personale;

b.

dati d’identificazione, per esempio cognome, nome, data di nascita;

c.

lingua;

d.

generalità, per esempio indirizzo postale ed elettronico, numeri di telefono;

e.

forma giuridica;

f.

informazioni sul settore;

g.

coordinate bancarie, per esempio titolare del conto, numero del conto, banca;

h.

numeri di registro che consentono d’identificare in modo univoco un’unità GDB;

i.

altri dati necessari per l’esecuzione dei processi di supporto, ossia:

1.

dati contabili interni alla Confederazione,

2.

dati relativi ai richiami,

3.

condizioni di vendita,

4.

condizioni d’acquisto.

² Nel sistema GDB non possono essere gestiti né dati personali degni di particolare protezione né profili della personalità.

¹ I dati centralizzati nel sistema GDB provengono dalle fonti seguenti:

a.

unità GDB attuali e future;

b.

autorità, organizzazioni e persone di cui all’articolo 2 che hanno accesso ai dati centralizzati nel sistema GDB;

c.

registri della Confederazione seguenti:

1.

registro d’identificazione delle imprese dell’UFS,

2.

registro delle imprese e degli stabilimenti dell’UFS,

3.

l’elenco ufficiale delle località, con il numero postale d’avviamento e il perimetro,

4.

elenco ufficiale delle vie,

5.

elenco ufficiale degli indirizzi degli edifici,

6.

sistema d’informazione geografica dell’Ufficio federale dell’agricoltura

7.

sistema d’informazione centrale sulla migrazione,

8.⁵

registro centrale degli assicurati AVS;

d.

sistemi d’informazione della Posta svizzera per la verifica degli indirizzi delle persone e delle imprese in Svizzera;

e.

banche dati accessibili al pubblico.

² L’autorità, l’organizzazione o la persona responsabile secondo l’arti­colo 25 riprende i dati dalla fonte, li registra e li modifica nel sistema GDB dopo aver effettuato le verifiche necessarie.

³ I dati possono essere ripresi, registrati e modificati mediante un’interfaccia tra il sistema GDB e il sistema fonte interessato.

¹ Le autorità, le organizzazioni e le persone di cui all’articolo 2 hanno accesso:

a.

ai dati di cui all’articolo 26 capoverso 1 lettera i, che gestiscono autonomamente nel sistema GDB;

b.

ai dati di cui all’articolo 26 capoverso 1 lettere a–h, per quanto ne abbiano bisogno per l’esecuzione dei processi di supporto sostenuti.

² L’accesso può essere consentito mediante un’interfaccia con i sistemi d’informa­zione interessati.

L’AFF può, mediante un’interfaccia, mettere a disposizione dati centralizzati in vista dell’aggiornamento di altri registri.

¹ I dati centralizzati nel sistema GDB sono conservati per 30 anni dal loro ultimo trattamento, ma al più tardi dieci anni dopo la cessazione dell’esistenza dell’unità GDB interessata, segnatamente dopo il suo decesso o la sua cancellazione nel registro di commercio.

² Alla scadenza del termine, l’AFF contrassegna i blocchi di dati di base come can­cellati, salvo se una legge federale lo vieta.

³ I dati contrassegnati come cancellati non sono più utilizzati per l’esecuzione dei processi di supporto sostenuti o per l’aggiornamento dei registri della Confederazione. L’AFF li comunica tuttavia, caso per caso, se è necessario per la ricostituzione di vecchi blocchi di dati tenuti fuori dal sistema GDB.

⁴ È fatto salvo il diritto di chiedere la distruzione dei dati previsto dalla legislazione sulla protezione dei dati.

¹ I servizi federali che gestiscono applicazioni specialistiche per la giustizia e la polizia cooperano con i Cantoni allo scopo di armonizzare tali applicazioni.

² Le modalità della cooperazione, in particolare la creazione di organi comuni della Confederazione e dei Cantoni, sono disciplinate in convenzioni con i Cantoni.

³ I dipartimenti interessati possono concludere convenzioni d’esecuzione per i singoli progetti. Tali convenzioni devono rispettare le disposizioni della presente ordinanza.

⁴ I dipartimenti interessati informano gli organi comuni sui progetti correnti e futuri inerenti alle applicazioni specialistiche per la giustizia e la polizia. Garantiscono che tali applicazioni siano conformi alle decisioni degli organi comuni.

¹ L’iscrizione nel preventivo e nel consuntivo della Confederazione delle risorse assegnate all’informatica viene effettuata di norma a livello decentralizzato.

² Il settore TDT della CaF fornisce gli strumenti necessari alla gestione delle risorse TDT, ne coordina l’impiego d’intesa con i dipartimenti e garantisce il controllo interdipartimentale della gestione.

³ I fornitori interni di prestazioni tengono una contabilità analitica estesa e presentano periodicamente al settore TDT della CaF, in modo trasparente, i costi e i ricavi dei servizi standard.

¹ Il Consiglio federale decide, nell’ambito del processo riguardante il preventivo della Confederazione, delle risorse da assegnare in modo centralizzato.

² Su proposta del settore TDT della CaF e dopo aver sentito la CSG, il cancelliere della Confederazione decide sull’attribuzione delle risorse centralizzate iscritte nel preventivo della Confederazione.

³ Nel quadro dell’esecuzione del preventivo e dopo aver sentito il Consiglio TDT, il settore TDT della CaF può attribuire risorse assegnate in modo centralizzato:

a.

che il cancelliere della Confederazione non ha attribuito;

b.

che il cancelliere della Confederazione ha attribuito, ma non sono state utilizzate.

⁴ Il settore TDT della CaF gestisce le risorse iscritte nel preventivo in modo centralizzato.

¹ L’audit delle TIC è retto dai principi della vigilanza finanziaria della Confederazione.

² È effettuato dal Controllo federale delle finanze (CDF).

³ I dipartimenti, la Cancelleria federale e il settore TDT della CaF possono proporre al CDF audit nell’ambito della TDT.

¹ L’ordinanza del 9 dicembre 2011⁶ sull’informatica nell’Amministrazione federale (OIAF) è abrogata.

² La modifica di altri atti normativi è disciplinata nell’allegato.

¹ Le autorità, le organizzazioni e le persone che, prima dell’entrata in vigore della presente ordinanza, si sono impegnate mediante un accordo con l’Organo direzione informatica della Confederazione (ODIC) a rispettare le disposizioni dell’OIAF⁷ sot­tostanno alla presente ordinanza sino al 31 dicembre 2023, entro i limiti del diritto anteriore. Sottostanno alla presente ordinanza dal 1° gennaio 2024, salvo se l’ac­cordo è stato disdetto prima di tale data. I diritti e obblighi dell’ODIC derivanti da tali accordi passano al settore TDT della CaF.

² Le deroghe all’OIAF o alle direttive fondate sull’OIAF approvate prima dell’entra­ta in vigore della presente ordinanza rimangono valide, per quanto non vengano mo­dificate o abrogate dall’autorità competente secondo la presente ordinanza.

³ Le direttive del Consiglio federale, del Dipartimento federale delle finanze e dell’ODIC nell’ambito delle TIC che sono state adottate prima dell’entrata in vigore della presente ordinanza rimangono valide per quanto non siano in contraddizione con la presente ordinanza e non siano state modificate o abrogate dall’au­torità competente ai sensi della presente ordinanza.

La presente ordinanza entra in vigore il 1^° gennaio 2021.