Servizi cloud nei settori regolamentati: FINMA, LPD e protezione dei dati

Il cloud come infrastruttura di base: perché i settori regolamentati devono guardare più da vicino

Il cloud computing, secondo la definizione del NIST su cui si basa l’Associazione svizzera dei banchieri (ASB), è un modello di elaborazione dei dati. Su richiesta, si accede tramite una rete a un pool condiviso di risorse informatiche configurabili – in qualsiasi momento e ovunque. Ciò include reti, server, sistemi di archiviazione, applicazioni e servizi.

Queste risorse possono essere fornite rapidamente e con uno sforzo amministrativo minimo. È necessaria solo una minima interazione con il fornitore di servizi. Il modello viene utilizzato in tre varianti: Infrastructure as a Service (IaaS), Platform as a Service (PaaS) e Software as a Service (SaaS). Per la fornitura si distingue tra cloud privato, cloud comunitario, cloud pubblico e cloud ibrido.

Per l’ASB, l’utilizzo delle tecnologie cloud è un fattore critico di successo per la Svizzera e la sua piazza finanziaria. Senza una chiara comprensione dei requisiti legali e normativi e dei rischi associati, questa tecnologia non può essere impiegata in modo sicuro nemmeno nel settore finanziario.

La normativa non è quindi un’appendice a un progetto cloud già pianificato, ma parte integrante della decisione sull’architettura e sui fornitori. Il modello di utilizzo (IaaS, PaaS, SaaS) e la variante di distribuzione (privato, comunitario, pubblico, ibrido) determinano quali obblighi si applicano. Determinano anche quali misure tecniche e organizzative devono essere attuate.

I tre ambiti si basano ciascuno su strumenti propri. Nel settore finanziario si tratta della Legge sulle banche con il segreto professionale, della Circolare della FINMA 2023/1 «Rischi operativi e resilienza – Banche» e della guida cloud dell’Associazione svizzera dei banchieri (ASB). Nel settore sanitario sono citate la LDEP, l’ODEP, l’ODEP-DFI e la LPD. Per gli enti pubblici, la LPD costituisce il quadro di riferimento.

I destinatari differiscono: nel settore finanziario sono le banche e le case di titoli; nel settore sanitario, i prestatori di servizi nonché le comunità e le comunità principali; nel settore pubblico, gli enti pubblici stessi. Nel settore finanziario la vigilanza spetta alla FINMA; nell’ambito del DEP, l’UFSP accompagna la procedura in qualità di proprietario dello schema.

In sintesi: nel settore finanziario si applicano la Legge sulle banche, la Circolare della FINMA 2023/1 e la guida cloud dell’ASB; autorità di vigilanza: FINMA. Nel settore sanitario si applicano la LDEP, l’ODEP, l’ODEP-DFI e la LPD; autorità di vigilanza: UFSP come proprietario dello schema, certificazione tramite KPMG accreditata dall’Organismo svizzero di accreditamento (OSA). Per gli enti pubblici si applica la LPD; gli obblighi comprendono la responsabilità, la base giuridica del trattamento e la gestione delle decisioni individuali automatizzate.

Arrivati nel settore finanziario, ma per vie diverse

Nel settore bancario le aspettative sono concrete. Secondo l’ASB, le banche riducono significativamente i tempi di lancio sul mercato di prodotti e servizi innovativi migrando infrastrutture e processi verso il cloud. In questo modo aumentano la loro competitività.

Le nuove tecnologie come l’intelligenza artificiale possono essere utilizzate nel cloud senza grandi investimenti in hardware e software propri. L’accesso a un ampio pool di dati e alla corrispondente potenza di calcolo consente l’analisi di grandi volumi di dati in tempo reale. Nello sviluppo e nei test di nuove applicazioni e sistemi si registrano significativi guadagni di efficienza.

La pratica è più eterogenea. Secondo l’Università di Lucerna, la migrazione completa ha ancora carattere da «early adopter». A ostacolarla vi sono, tra l’altro, incertezze normative e sfide tecniche. Non esistono ancora standard uniformi per il percorso ottimale verso il cloud; la via è solitamente ibrida.

Mancano cifre affidabili sulla diffusione. Secondo l’HSLU, non è possibile dimostrare statisticamente quante e quali banche svizzere operino già parzialmente o completamente nel cloud. L’impressione che un numero crescente di istituti stia scegliendo questa strada si basa sull’osservazione del settore, non su un’indagine.

Punti di riferimento vincolanti per gli istituti sono la guida cloud dell’ASB e la Circolare della FINMA 2023/1 «Rischi operativi e resilienza – Banche». La circolare definisce ai numeri marginali 14 ss. le funzioni critiche. La guida offre orientamento giuridico e organizzativo e aiuto all’interpretazione.

Un secondo percorso riguarda l’ordinamento giuridico. Le banche svizzere devono implementare una soluzione cloud specificamente adattata alle esigenze svizzere – un «Swiss Cloud». In questo modo si può eludere il CLOUD Act statunitense.

Cosa tiene d’occhio la vigilanza: concentrazione e perdita di controllo

La FINMA afferma nel Monitor dei rischi 2025, pubblicato il 17.11.2025: i servizi cloud e i modelli Software-as-a-Service vengono utilizzati sempre più frequentemente. Ciò porta a una maggiore dipendenza da pochi fornitori centrali di TIC.

Secondo la FINMA, da questa concentrazione derivano non solo rischi sistemici per la piazza finanziaria svizzera in caso di interruzione o accesso non autorizzato. In particolare, sorgono anche rischi operativi per il singolo istituto – ad esempio attraverso l’esternalizzazione di funzioni critiche a fornitori terzi, incidenti presso terze parti o rischi lungo la catena di fornitura.

La situazione è aggravata dall’entità dell’esternalizzazione. Funzioni aziendali essenziali degli istituti finanziari vengono esternalizzate in misura significativa a terzi. Nelle banche ciò include spesso anche funzioni critiche (per la definizione, la pratica rimanda alla Circolare della FINMA 2023/1 «Rischi operativi e resilienza – Banche», nm. 14 ss.). La conseguenza è una forte dipendenza dell’istituto da questi fornitori, con elevate aspettative di prestazione, e una crescente perdita di controllo.

Come strumento di vigilanza, il Monitor dei rischi 2025 cita la rilevazione di un inventario delle esternalizzazioni essenziali. In questo modo si dovrebbe riconoscere la concentrazione su pochi fornitori. Su questa base dovrebbero poi fondarsi le azioni di vigilanza.

Per gli istituti questo significa: le esternalizzazioni devono essere registrate singolarmente, assegnate e la loro criticità deve essere valutabile. Una visione aggregata dei fornitori e delle funzioni è presupposto indispensabile per riconoscere il proprio rischio di concentrazione.

Segreto professionale, protezione dei dati, resilienza: concretizzare gli obblighi

Il passaggio al cloud non modifica la situazione degli obblighi. Secondo la posizione dell’ASB, le banche devono rispettare anche nel cloud, in particolare, il segreto professionale ai sensi della Legge sulle banche. Devono considerare le disposizioni sulla protezione dei dati, garantire la sicurezza dei dati e la resilienza, nonché gestire attivamente le dipendenze dai singoli fornitori cloud per evitare eventuali perdite di controllo.

Questi quattro punti non sono linee guida astratte, ma campi di verifica con conseguenze concrete per la strutturazione contrattuale, la regolamentazione degli accessi, la crittografia, gli scenari di guasto e la capacità di uscita (exit).

Come strumento di supporto, a disposizione di banche e case di titoli vi è la guida cloud dell’Associazione svizzera dei banchieri. Essa offre orientamento giuridico e organizzativo e aiuto all’interpretazione per la gestione dei servizi cloud.

La guida mostra approcci praticabili per concretizzare e operationalizzare i requisiti legali e normativi vigenti con adeguate misure tecniche e organizzative. Non risponde quindi alla domanda se sia consentito esternalizzare, ma piuttosto a come i requisiti possano essere attuati in modo dimostrabile nel progetto concreto.

Dal punto di vista del diritto di vigilanza, questo aspetto è affiancato dalla Circolare della FINMA 2023/1 «Rischi operativi e resilienza – Banche». Essa definisce, tra l’altro, il concetto di funzioni critiche (nm. 14 ss.) ed è il punto di riferimento per valutare quali attività esternalizzate attivino requisiti rafforzati.

Nella pratica, prima della scelta del fornitore è quindi necessario chiarire: quali funzioni sono considerate critiche? Quali dati e diritti di accesso risiedono presso il fornitore?

Inoltre, è necessario chiarire: come si garantisce la disponibilità in caso di guasto o di cambio del fornitore? Chi all’interno dell’istituto assume la responsabilità per la gestione della dipendenza?

Oltre i settori: protezione dei dati e autonomia come denominatore comune

Molte questioni che nel settore bancario sono caricate dal diritto di vigilanza si presentano nell’assistenza sanitaria e nell’amministrazione pubblica con la stessa struttura – solo con un diverso quadro giuridico. La Legge federale sulla protezione dei dati (LPD) fa da collante.

Chi valuta i servizi cloud per enti pubblici o per prestatori di servizi nel settore sanitario deve chiarire se le decisioni avvengono in modo automatizzato. Da chiarire è anche chi agisce come responsabile e su quale base i dati vengono trattati.

Per il settore sanitario, la Legge federale sul dossier elettronico del paziente (LDEP) costituisce il quadro giuridico. È in vigore dal 15 aprile 2017. Regola l’apertura di un DEP, i diritti di accesso del personale sanitario e l’accesso in situazioni di emergenza medica. Regola inoltre l’identificazione delle pazienti, dei pazienti e del personale sanitario, la costituzione di comunità e comunità principali, nonché gli aiuti finanziari della Confederazione.

Il diritto di esecuzione della LDEP consiste in due ordinanze del Consiglio federale e in un’ordinanza dipartimentale. L’Ordinanza sul dossier elettronico del paziente (ODEP) regola aspetti centrali dell’attuazione: creazione e accesso al DEP, assegnazione e gestione del numero di identificazione del paziente, certificazione di comunità e comunità principali, requisiti per i mezzi di identificazione e i loro emittenti, nonché i servizi di interrogazione. Nove allegati elencano metadati, formati di scambio e profili di integrazione.

Gli allegati nominano singolarmente gli obblighi: l’Allegato 1 la struttura del numero di identificazione del paziente, l’Allegato 3 i metadati per lo scambio interoperabile e sicuro dei dati, l’Allegato 4 i formati di scambio come il dossier vaccinale e le informazioni sulla medicazione. L’Allegato 5 regola i profili di integrazione per lo scambio di dati oltre i confini delle comunità, anche tramite IHE. L’Allegato 6 obbliga le comunità certificate a fornire dati all’UFSP per la valutazione ai sensi dell’art. 18 LDEP.

Ulteriori allegati riguardano la procedura: l’Allegato 7 i requisiti minimi per il personale di certificazione, l’Allegato 8 i requisiti tecnici e organizzativi per i mezzi di identificazione e i loro emittenti, l’Allegato 9 i metadati per il servizio di interrogazione sulle istituzioni sanitarie e sul personale specializzato ai sensi dell’art. 41 ODEP.

Ogni fornitore di DEP viene esaminato, certificato e controllato regolarmente. Solo i fornitori certificati possono utilizzare il ufficiale marchio di certificazione. Insieme formano lo «spazio di fiducia DEP».

L’UFSP accompagna il processo in qualità di proprietario dello schema. La certificazione è stata effettuata da KPMG, accreditata dall’Organismo svizzero di accreditamento (OSA). L’Allegato 2 dell’ODEP-DFI contiene oltre 400 criteri di certificazione.

Dal punto di vista della protezione dei dati, il DEP è soggetto alla Legge federale sulla protezione dei dati (LPD), alla LDEP e alle leggi cantonali. Le comunità principali che offrono i loro servizi anche a persone con cittadinanza straniera sono soggette inoltre al RGPD. Un factsheet stabilisce la competenza in materia di protezione dei dati.

L’ODEP-DFI definisce i presupposti tecnici e organizzativi della certificazione. Tra questi vi sono la verifica dell’identità, delle qualifiche professionali, dell’accesso ai documenti e delle misure di sicurezza.

Per gli studi medici e i prestatori di servizi, la nuova Legge federale sulla protezione dei dati (nLPD) è completamente in vigore dal settembre 2023. I dati sanitari sono espressamente considerati particolarmente sensibili. Le misure tecniche e organizzative devono essere attuate in modo dimostrabile, non solo annunciate. Le prescrizioni del DEP per l’integrazione e la registrazione devono essere attuate entro il 2027.

Per il software di studio, la nLPD e la LDEP costituiscono la base centrale. Medici e terapisti assumono la piena responsabilità per il corretto trattamento dei dati sanitari. Solo soluzioni conformi agli standard IT legali e specifici del settore proteggono dai rischi.

L’UFSP ed eHealth Suisse mettono a disposizione aiuti all’attuazione e factsheet. Tra questi vi sono il factsheet «Il dossier elettronico del paziente e la competenza in materia di protezione dei dati» e il factsheet «Top 10 misure di sicurezza». L’aiuto all’attuazione «Protezione dei dati e sicurezza dei dati nel DEP» descrive come le comunità attuano i requisiti della LPD, della LDEP e dell’ODEP-DFI.

Il 27 settembre 2024 il Consiglio federale ha deciso una revisione totale della LDEP. Il 5 novembre 2025 ha approvato la nuova Legge federale sul dossier elettronico della salute (LEDS) nonché il messaggio destinato al Parlamento. Dal 1° ottobre 2024 è in vigore l’Ordinanza sugli aiuti finanziari per il dossier elettronico del paziente (ODEPF). Nell’ambito delle revisioni annuali, l’UFSP ed eHealth Suisse raccolgono suggerimenti sul diritto di esecuzione.

Per gli enti pubblici, la LPD costituisce il quadro di riferimento. Prima della scelta del fornitore è necessario chiarire la responsabilità, la base giuridica del trattamento e la gestione delle decisioni individuali automatizzate; nel DEP si aggiungono le leggi cantonali.

Fil rouge è l’autonomia della persona interessata – in medicina così come nel rapporto di lavoro, dove le forme digitali di trattamento toccano la sfera privata dei dipendenti.

Da ciò si possono derivare domande di verifica trasversali ai settori, a cui rispondere prima di ogni progetto cloud. Quali categorie di dati vengono trattate e quanto sono sensibili? I sistemi prendono decisioni individuali automatizzate con effetti sulle persone?

Le persone interessate possono esercitare fattualmente i loro diritti (informazione, rettifica, opposizione) se il trattamento avviene presso un fornitore? La sovranità decisionale specialistica rimane dove appartiene legalmente?

Solo quando questi punti sono chiariti, la scelta tra cloud pubblico, privato o ibrido diventa una decisione solida.

Le basi nominate restano: nel settore sanitario la LDEP, l’ODEP, l’ODEP-DFI, la LPD, le leggi cantonali e, in caso di riferimenti all’estero, il RGPD. Per gli enti pubblici, la LPD è il quadro di riferimento; la nuova LPD (nLPD) è completamente in vigore dal settembre 2023.

Conclusione: la competenza cloud è competenza di governance

I requisiti non si esauriscono con una decisione una tantum per un fornitore o un modello di distribuzione. L’ASB sottolinea che le banche devono adattare continuamente la loro strategia e architettura cloud alle condizioni mutevoli del mondo esterno e alle proprie esigenze. Lo stesso vale per le organizzazioni regolamentate al di fuori del settore finanziario, che devono verificare costantemente il loro trattamento dei dati.

Per il settore sanitario questo significa: la certificazione dei fornitori di DEP viene rinnovata a intervalli regolari. L’ODEP-DFI richiede la verifica dell’identità, della qualifica professionale e dell’accesso ai documenti. Per gli enti pubblici, le prescrizioni in materia di protezione dei dati restano il punto di riferimento.

Ricorrenti sono tre punti. Gestire attivamente le dipendenze invece di fissarle solo contrattualmente – con un inventario delle esternalizzazioni essenziali e una visione aggregata dei fornitori, come descritto dal Monitor dei rischi della FINMA 2025 come focus di vigilanza.

Garantire la resilienza – sicurezza dei dati, disponibilità e perdita di controllo sono grandezze operative, non solo giuridiche. Pensare al diritto e alla vigilanza – segreto professionale, protezione dei dati e diritti delle persone interessate determinano quali misure devono essere dimostrate tecnicamente e organizzativamente. La competenza cloud è quindi principalmente la capacità di gestire duratamente questi tre punti.