Art. 32a Sicurezza dell’informazione

¹ L’esercente dispone di un approccio a livello aziendale e di una struttura organizzativa appropriata per pianificare, attuare, sorvegliare e migliorare la gestione delle funzioni e delle attività orientate alla sicurezza dell’informazione (gestione della sicurezza dell’informazione).

² L’esercente fissa obiettivi adeguati concernenti disponibilità, integrità, confidenzialità, verificabilità, autenticità, tracciabilità e non ripudiabilità di informazioni, e in particolare dei dati relativi a operazioni computate o gestite attraverso l’infrastruttura del mercato finanziario (obiettivi di sicurezza dell’informazione)

³ L’esercente adotta provvedimenti organizzativi e tecnici per conseguire gli obiettivi di sicurezza dell’informazione sia in regime di esercizio normale sia nel corso di lavori di sviluppo e di manutenzione e in periodi di accresciuto volume di transazioni. In particolare esso adotta misure precauzionali al fine di:

a.: identificare, analizzare e valutare minacce interne ed esterne alla sicurezza dell’informazione e attuare, se necessario, opportune misure protettive;
b.: garantire la sicurezza fisica delle istallazioni per l’elaborazione dei dati;
c.: garantire il funzionamento sicuro e continuativo delle istallazioni per l’elaborazione dei dati;
d.: controllare, registrare e valutare l’accesso a informazioni e alle istallazioni per l’elaborazione dei dati;
e.: proteggere i dati dal pericolo di smarrimento, fuga, accesso non autorizzato, nonché da altri rischi connessi con l’elaborazione dei dati, come negligenza, frode, amministrazione carente e stoccaggio inadeguato;
f.: garantire la memorizzazione e la trasmissione sicura di dati sensibili;
g.: garantire il trattamento corretto e completo delle operazioni;
h.: registrare e verificare le operazioni in tutte le fasi importanti del trattamento, e in particolare all’ingresso nel sistema di elaborazione dei dati e all’uscita da quest’ultimo.
i.: registrare e sorvegliare gli interventi al sistema di elaborazione dei dati, come modifiche del software o dei parametri;
j.⁶⁵: registrare, valutare prontamente e in forma standardizzata e correggere eventuali errori nel trattamento delle operazioni e disfunzioni nel sistema di elaborazione dei dati, nonché evitare che si ripresentino.

⁴ L’esercente verifica regolarmente l’appropriatezza e il conseguimento degli obiettivi di sicurezza dell’informazione di cui al capoverso 2.

⁶⁵ Nuovo testo giusta il n. I dell’O della BNS del 26 nov. 2015, in vigore dal 1° gen. 2016 (RU 2015 5307).

Art. 32a Sécurité de l’information

¹ L’exploitant met en place un système applicable à l’échelle de l’entreprise et une structure d’organisation appropriée lui permettant de planifier, d’exécuter, de surveiller et d’améliorer la gestion des tâches et des activités portant sur la sécurité de l’information (gestion de la sécurité de l’information).

² Il fixe des objectifs appropriés en ce qui concerne la disponibilité, l’intégrité, la confidentialité, la reproductibilité, l’authenticité, l’imputabilité et la non-répudiation des informations, notamment des données relatives aux opérations compensées ou réglées par l’intermédiaire de l’infrastructure des marchés financiers (objectifs de sécurité de l’information).

³ Il prend des mesures organisationnelles et techniques afin d’atteindre les objectifs de sécurité de l’information, et ce tant en période normale d’exploitation que lors de travaux de développement et de maintenance ou si le nombre des transactions est provisoirement plus élevé. Il prend notamment les dispositions nécessaires pour:

a.: identifier, analyser et évaluer les menaces internes et externes à l’entreprise qui pèsent sur la sécurité de l’information et, au besoin, mettre en œuvre des mesures de protection;
b.: garantir la sécurité physique des installations de traitement de l’information;
c.: assurer l’exploitation sûre et continue des installations de traitement de l’information;
d.: régler, consigner et évaluer les accès aux informations et aux installations de traitement de l’information;
e.: protéger les données contre la perte, la fuite et l’accès non-autorisé, mais aussi contre tout autre risque de traitement comme la négligence, la fraude, une administration déficiente ou une conservation inappropriée;
f.: garantir la sécurité de la sauvegarde et de la transmission des données sensibles;
g.: assurer le traitement complet et correct des opérations;
h.: enregistrer et vérifier les opérations aux principaux stades de traitement, notamment lors de leur saisie dans le système de traitement de l’information, mais aussi lors de leur sortie;
i.: enregistrer et surveiller les interventions dans le système de traitement de l’information, telles que les adaptations de logiciels ou les modifications de paramètres;
j.⁶⁵: enregistrer, évaluer et corriger rapidement et de manière standardisée les erreurs de traitement et les perturbations affectant le système de traitement de l’information, et éviter qu’elles ne se reproduisent.

⁴ L’exploitant réexamine régulièrement la pertinence et la réalisation des objectifs de sécurité de l’information au sens de l’al. 2.

⁶⁵ Nouvelle teneur selon le ch. I de l’O de la BNS du 26 nov. 2015, en vigueur depuis le 1^er janv. 2016 (RO 2015 5307).

Il presente documento non è una pubblicazione ufficiale. Fa unicamente fede la pubblicazione della Cancelleria federale. Ordinanza sulle pubblicazioni ufficiali, OPubl.
Ceci n’est pas une publication officielle. Seule la publication opérée par la Chancellerie fédérale fait foi. Ordonnance sur les publications officielles, OPubl.