Incidenti informatici nei settori regolamentati: BACS e FINMA come punti di riferimento

Non ogni incidente è soggetto all’obbligo di notifica: la distinzione decisiva

L’obbligo di notifica in caso di attacchi informatici vale solo per determinate organizzazioni, segnatamente i gestori di infrastrutture critiche e i soggetti sottoposti alla vigilanza della FINMA. Chi non rientra in queste categorie non è tenuto per legge a effettuare una notifica; rimane comunque possibile una segnalazione volontaria.

Non ogni incidente tecnico scatena automaticamente l’obbligo di notifica. Per verificare se nel caso concreto sussista tale obbligo, si può consultare la guida passo-passo del BACS.

Il BACS mette a disposizione una guida passo-passo che permette di verificare se un incidente sia soggetto all’obbligo di notifica e come effettuarla correttamente. Le segnalazioni volontarie aiutano a individuare le tendenze relative ai pericoli su Internet; dopo aver risposto ad alcune domande, chi segnala riceve una prima valutazione automatizzata e può inoltrare il caso al BACS.

Per la distinzione interna occorre separare due questioni: la propria organizzazione rientra nella cerchia dei soggetti obbligati? L’evento soddisfa i criteri definiti dalla legge? Solo se entrambe le condizioni sono soddisfatte scatta l’obbligo; in caso contrario, la direzione aziendale e i responsabili della sicurezza decidono a loro discrezione.

Due basi giuridiche sono centrali: l’obbligo di notifica degli attacchi informatici ai sensi dell’art. 29 cpv. 2 della Legge sulla FINMA (FINMAG) e l’obbligo di notifica per i gestori di infrastrutture critiche. La circolare di vigilanza 05/2020 della FINMA stabilisce il primo principio, mentre la circolare di vigilanza 03/2024 lo precisa.

Nel caso delle infrastrutture critiche, sono soggetti all’obbligo di notifica in particolare gli attacchi informatici tramite malware, phishing o ransomware, le interruzioni o i guasti rilevanti per la sicurezza dei sistemi IT, nonché gli accessi non autorizzati a dati sensibili o a sistemi.

Per i gestori di infrastrutture critiche vige un obbligo di notifica dal 1° aprile 2025. L’appartenenza a questa categoria viene valutata in base ai criteri pubblicati sulla piattaforma di pubblicazione del diritto federale.

L’obbligo di notifica per i gestori di infrastrutture critiche mira a migliorare la collaborazione tra Stato ed economia, a individuare precocemente le minacce informatiche e a rafforzare miratamente la sicurezza IT della Svizzera. È in vigore dal 1° aprile 2025 e richiede una notifica al BACS entro 24 ore.

Vantaggi e sfide dell’obbligo di notifica

Gestori di infrastrutture critiche: notifica al BACS

Il punto di riferimento centrale per gli incidenti informatici in Svizzera è l’Ufficio federale della cibersicurezza (BACS). Esso offre canali di segnalazione per imprese e autorità, nonché orientamenti e indicazioni preventive.

Dal 1° aprile 2025, i gestori di infrastrutture critiche sono tenuti a notificare gli incidenti al BACS. La notifica deve avvenire entro 24 ore dalla scoperta.

Rientrano in questa categoria, tra gli altri, i settori dell’energia (elettricità, gas, petrolio), le aziende idriche e fognarie, le tecnologie dell’informazione e della comunicazione, il sistema sanitario, i trasporti e la logistica, nonché l’amministrazione e le autorità.

La notifica include la natura e l’entità dell’incidente, il momento della scoperta, i sistemi o i servizi interessati e una prima valutazione delle cause.

Per la trasmissione è disponibile il modulo di notifica per incidenti informatici; per il coordinamento delle procedure è prevista la registrazione nel Cyber Security Hub.

Il modulo ufficiale di notifica per incidenti informatici serve per le segnalazioni finché non è possibile accedere al Cyber Security Hub. La registrazione nell’Hub consente uno scambio rapido di informazioni e l’inoltro alle autorità competenti.

Le notifiche non vengono elaborate 24 ore su 24. In caso di emergenze acute, bisogna chiamare il numero di emergenza della polizia 112 o 117.

Istituti finanziari vigilati: informare tempestivamente la FINMA

Per i soggetti sottoposti alla vigilanza della FINMA, l’autorità competente è la FINMA stessa. È fondamentale essere informati tempestivamente sugli incidenti informatici critici che coinvolgono i soggetti vigilati. Il dossier sui rischi informatici della FINMA riunisce i contenuti rilevanti riguardanti gli attacchi informatici, la circolare di vigilanza 03/2024 e la circolare di vigilanza 05/2020.

La circolare di vigilanza 03/2024 della FINMA del 7 giugno 2024 riassume le esperienze maturate nell’attività di vigilanza sui rischi informatici e precisa i requisiti relativi all’obbligo di notifica degli attacchi informatici e alle esercitazioni informatiche basate su scenari. Si collega alla circolare di vigilanza 05/2020.

La circolare di vigilanza 03/2024 risponde alle domande ricorrenti sugli obblighi di notifica. Anche i consigli di amministrazione degli istituti interessati devono essere preparati.

Negli anni 2022 e 2023, più della metà degli attacchi informatici segnalati riguardava servizi esternalizzati. In caso di esternalizzazione, i soggetti vigilati rimangono in ogni momento responsabili del rispetto dei requisiti di vigilanza.

In caso di esternalizzazioni, i requisiti di sicurezza informatica devono essere stabiliti in modo sufficientemente chiaro nei contratti e verificati regolarmente; i risultati devono confluirne nei rapporti di controllo. Occorre inoltre chiarire come colmare rapidamente le gravi lacune di sicurezza e quali misure i fornitori di servizi possono adottare in caso di attacco e entro quali termini. Va altresì garantito che i terzi coinvolti dai fornitori di servizi rispettino i requisiti.

La FINMA ha introdotto ulteriori strumenti di vigilanza: il Red Teaming, in cui esperti di sicurezza assumono il ruolo degli aggressori, e le esercitazioni «Table-Top», in cui uno scenario viene simulato sulla carta. Nell’anno precedente alla circolare di vigilanza 03/2024, essa ha effettuato più di una dozzina di controlli in loco specifici per la cibersicurezza.

I rischi identificati vengono analizzati e valutati costantemente e riassunti in una mappa dei rischi. Da diversi anni, la FINMA indica i rischi informatici come uno dei principali rischi per la piazza finanziaria svizzera; essi sono elencati nel Monitor dei rischi.

La circolare di vigilanza si rivolge in particolare agli istituti più grandi e maggiormente regolamentati, come le banche; alcuni principi si applicano in forma attenuata anche ai gestori patrimoniali piccoli e medi ai sensi dell’art. 17 della Legge sugli istituti finanziari (LIFIN).

La circolare della FINMA 2023/01 «Rischi operativi e resilienza – Banche» del 7 dicembre 2022 tratta, tra l’altro, la governance (par. 70), l’identificazione del potenziale di minaccia (par. 62) e il dispositivo di protezione Data Loss Prevention (par. 63). La circolare 2018/03 «Outsourcing» è datata 21 settembre 2017.

Cifre sulle notifiche di incidenti informatici in Svizzera

Quando la situazione si fa seria: primi passi e preparazione della notifica

Si è rivelata efficace una sequenza in quattro fasi: registrare l’incidente e documentarlo temporalmente, isolare i sistemi interessati oppure bloccare le credenziali di accesso compromesse, preservare le prove prima di reinstallare i sistemi e attivare le competenze interne – solitamente la direzione aziendale, la sicurezza IT, il servizio giuridico e la comunicazione.

Tra i primi passi vi è la chiarificazione se sia necessaria una notifica al BACS entro 24 ore. Il modulo ufficiale di notifica per incidenti informatici serve per le segnalazioni finché non è possibile accedere al Cyber Security Hub.

Parallelamente, occorre chiarire chi informare internamente ed esternamente: autorità, clienti, partner commerciali, assicurazione e, se del caso, la propria autorità di vigilanza.

Per la notifica al BACS vanno indicati la natura e l’entità dell’incidente, il momento della scoperta, i sistemi o i servizi interessati e una prima valutazione delle cause. Queste informazioni possono essere aggiornate continuamente durante le operazioni di contenimento.

È utile anche una nota precisa: impatto sull’esercizio, misure già avviate e una persona di contatto raggiungibile con potere decisionale. Chi aggiorna continuamente questi dati non dovrà ricostruirli alla fine.

In caso di esternalizzazioni, il rispetto degli obblighi di notifica resta in capo ai soggetti vigilati. La FINMA si aspetta che i contratti stabiliscano chiaramente i requisiti di sicurezza informatica e che vengano definiti processi trasversali per gli obblighi di notifica.

La FINMA riceve notifiche non solo dai soggetti vigilati stessi, ma anche dalle società di revisione. Insieme ai controlli in loco, esse permettono alla FINMA di valutare approfonditamente la qualità del dispositivo di difesa informatica e, se necessario, di adottare tempestivamente misure specifiche per l’istituto.

Punti di riferimento a colpo d’occhio: BACS e FINMA

Il BACS offre canali di segnalazione per imprese e autorità. Per i soggetti vigilati, la FINMA costituisce un ulteriore punto di riferimento.

Per le organizzazioni regolamentate sono quindi competenti principalmente due punti di riferimento: il BACS per i gestori di infrastrutture critiche e la FINMA per i soggetti vigilati. Il BACS riceve le notifiche tramite il modulo di notifica per incidenti informatici; la FINMA esige notifiche di attacchi informatici da parte dei soggetti vigilati.

Il BACS è il centro di competenza della Confederazione per la cibersicurezza e il primo punto di contatto per l’economia, l’amministrazione, le istituzioni formative e la popolazione. È responsabile dell’attuazione coordinata della Strategia nazionale per la cibersicurezza (SNCS) e in precedenza si chiamava NCSC.

Gli istituti vigilati sono obbligati a notificare gli attacchi informatici alla FINMA; la base giuridica è l’art. 29 cpv. 2 della FINMAG, precisato dalla circolare di vigilanza 03/2024. La FINMA indica i rischi informatici da diversi anni come uno dei principali rischi per la piazza finanziaria svizzera.

Il BACS riceve gli incidenti tramite il modulo di notifica per incidenti informatici e le vulnerabilità tramite il modulo di notifica per vulnerabilità (CVD). Le richieste generali vanno indirizzate a [email protected], quelle dei media a [email protected]; le notifiche cifrate possono essere inviate a [email protected].

Per le notifiche cifrate di vulnerabilità è disponibile l’indirizzo [email protected]; per le segnalazioni Bug Bounty [email protected]. Le chiavi per le notifiche cifrate si trovano sulla pagina di contatto del BACS.

L’indirizzo postale è: Ufficio federale della cibersicurezza BACS, Schwarztorstrasse 59, CH-3003 Berna.

Il BACS non accetta denunce penali. Una denuncia penale online è possibile solo per determinati reati; per tutti gli altri il competente è un posto di polizia.

L’art. 39 cpv. 1 della Legge sugli istituti finanziari (LIFIN) menziona gli enti ai quali la FINMA può trasmettere informazioni: altre autorità di vigilanza nazionali, il Centro nazionale per la cibersicurezza e la Banca Nazionale Svizzera.

Per le richieste dei media sulla vigilanza in materia informatica, la FINMA indica Patrizia Bickel, portavoce dei media, telefono +41 (0)31 327 93 19, [email protected].

Obblighi di notifica nei settori regolamentati: BACS vs. FINMA