Software Open Source dell’Amministrazione federale Panoramica, costi, sicurezza e neutralità concorrenziale

Sempre più spesso, in virtù dell’articolo 9 della legge federale concernente l’impiego di mezzi elettronici per l’adempimento dei compiti delle autorità (LMeCA), i servizi della Confederazione mettono ad disposizione software sviluppati in proprio come Open Source (OSS). Inoltre, la Confederazione promuove l’impiego di Software Open Source, ad esempio, nell'ambito del programma per una postazione di lavoro basata sulla sovranità digitale. Ciò solleva interrogativi in merito a costi, governance, sicurezza e neutralità concorrenziale. Esaminando i progetti della Confederazione in materia di intelligenza artificiale, il Controllo federale delle finanze (CDF) ha riscontrato carenze a livello di coordinamento e il rischio di generare strutture ridondanti. Inoltre, riguardo ai progetti chiave TIC il CDF non è in grado di accertarne l’economicità. Alla luce di quanto esposto, il Consiglio federale è invitato a rispondere alle seguenti domande:

• La registrazione nel catalogo OSS della Confederazione è obbligatoria e completa per tutte le unità amministrative? Prima di sviluppare un software in proprio, come si verifica in modo sistematico se all’interno dell’Amministrazione oppure sul mercato siano già disponibili prodotti comparabili?

• Quali sono i costi di sviluppo, pubblicazione e gestione in parallelo di tali software accanto a quelli esistenti? Come si tiene conto di tali costi nelle valutazioni sull'economicità?

• Chi si assume la responsabilità e i costi relativi alla manutenzione a lungo termine, all’eliminazione delle vulnerabilità e all'ulteriore sviluppo del software pubblicato?

• Come si assicura che il codice sorgente pubblicato non riveli informazioni rilevanti per la sicurezza relative all'architettura informatica, ai componenti, alle relazioni di dipendenza o agli ambienti di esercizio della Confederazione?

• In base a quali criteri si valuta, conformemente all’articolo 9 LMeCA, se sussistono motivi importanti in materia di sicurezza che si oppongono alla pubblicazione? Chi prende le decisioni e in che modo il processo viene documentato? Per i software sensibili dal punto di vista della sicurezza viene effettuata una verifica di sicurezza indipendente o di livello superiore?

• In questo contesto si tiene conto anche del potenziale di abuso o di duplice impiego, in particolare di un utilizzo da parte di attori statali criminali o animati da intenti ostili? Come è stato valutato questo rischio nel caso del software «Loom», sviluppato dal Comando Ciber e pubblicamente accessibile, e in base a quali criteri la sua pubblicazione è stata ritenuta ammissibile?

• In che modo la Confederazione garantisce la neutralità concorrenziale quando promuove attivamente a terzi i software pubblicati o ne sostiene l'utilizzo? Come si procede per evitare che i processi menzionati comportino l’esclusione di prodotti offerti da imprese svizzere?