Sicurezza informatica nelle aziende svizzere: obblighi, misure e prove

La sicurezza informatica come compito dirigenziale: la situazione attuale delle aziende svizzere

L'Ufficio federale della cibersicurezza (UFCS) è il centro di competenza della Confederazione per la cibersicurezza e il primo punto di contatto per l'economia, l'amministrazione, le istituzioni educative e la popolazione. Coordina l'attuazione della Strategia nazionale per la cibersicurezza (SNCS). Le domande sulla situazione, i casi sospetti e le segnalazioni vengono indirizzate innanzitutto all'UFCS.

I rapporti semestrali sulla situazione pubblicati dall'UFCS mostrano una minaccia costante, non episodica. Il volume delle segnalazioni si mantiene su un livello elevato per diversi semestri, stabilizzandosi a tale quota. La frode domina come attività criminale di massa lucrativa.

Considerare la sicurezza informatica solo come una questione IT significa sottovalutarne la portata: si tratta di reputazione, interruzioni operative, questioni di responsabilità e di vigilanza, nonché della capacità di reagire correttamente entro i termini stabiliti. È quindi un compito dirigenziale, con chiare responsabilità, risorse definite e verifiche regolari, proprio come per altri ambiti di rischio.

Per le aziende sorgono tre domande: quali obblighi si applicano, quali misure li adempiono e con cosa si può dimostrare la conformità? La risposta dipende dal ruolo specifico dell'azienda, che va dalla gestione di infrastrutture critiche alle prescrizioni settoriali. Per il funzionamento di software e sistemi IT, queste prescrizioni influenzano sia la pianificazione che l'esercizio dei sistemi utilizzati.

Determinanti sono l'UFCS come centro di competenza e primo punto di contatto, la SNCS come quadro di coordinamento e – nei settori regolamentati – l'Autorità federale di vigilanza sui mercati finanziari (FINMA). Per le aziende, la verifica degli obblighi inizia dal proprio ruolo.

A livello federale si aggiunge l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) in qualità di autorità di vigilanza. È competente per la Legge sulla protezione dei dati (LPD) e la Legge sulla trasparenza (LTr) e, ai sensi dell'art. 4 LPD, vigila sull'applicazione delle disposizioni federali in materia di protezione dei dati.

Le basi legali sono quindi identificate: la Legge sulla protezione dei dati (LPD) riveduta; la Legge sulla sicurezza dell'informazione (LSI) e l'Ordinanza sulla cibersicurezza (OCS), entrambe entrate in vigore il 1° aprile 2025 per decisione del Consiglio federale; nel settore bancario, la Circolare FINMA 2023/1 «Rischi operativi e resilienza – Banche» del 7 dicembre 2022, Berna.

Chi è responsabile di cosa: UFCS, IFPDT e FINMA

Cosa significano i rapporti semestrali dell'UFCS per la quotidianità aziendale

L'UFCS pubblica semestralmente il rapporto «Cibersicurezza: situazione in Svizzera e a livello internazionale». Illustra tendenze ed evoluzioni negli incidenti legati alle tecnologie dell'informazione e della comunicazione (TIC), il funzionamento tecnico degli attacchi attuali, gli eventi in patria e all'estero, la prevenzione e le attività degli attori statali e privati.

I rapporti escono con cadenza semestrale: 2026/1 il 24 agosto 2026, 2025/2 il 30 marzo 2026, 2025/1 il 18 novembre 2025 e 2024/2 il 6 maggio 2025. Le aziende possono allineare la propria valutazione della situazione a questo ritmo.

Nel primo semestre 2026, l'UFCS ha ricevuto 27’128 segnalazioni volontarie e 200 incidenti informatici soggetti all'obbligo di notifica; il volume delle segnalazioni si stabilizza su un livello elevato. Nel secondo semestre 2025 si registravano 29'006 segnalazioni volontarie e 145 incidenti informatici soggetti all'obbligo di notifica.

Nel primo semestre 2025 sono state registrate 35’727 segnalazioni di incidenti informatici. Nel secondo semestre 2024, l'UFCS ha ricevuto 28’165 segnalazioni, dopo che il numero era aumentato di 13’574 unità nell'intero anno 2024, raggiungendo un totale di 62’954 segnalazioni.

La frode rimane dominante: nel secondo semestre 2025, il 52 percento delle segnalazioni riguardava il fenomeno «frode», mentre nel primo semestre 2025 era il 58 percento. Le varianti telefoniche come il «Voice Phishing» si sono affermate come metodo. Al contrario, le chiamate fraudolente minatorie a nome delle autorità, dominanti dalla metà del 2023, sono diminuite significativamente.

Per la quotidianità aziendale, i punti di contatto sono decisivi: piattaforme di annunci classificati, posizionamenti nei motori di ricerca o fughe di dati servono ai criminali informatici come punto di ingresso. Approcciano le loro vittime con metodi personali, emotivi e talvolta tecnicamente molto sofisticati.

Gli aggressori utilizzano sistematicamente l'intelligenza artificiale (IA) per portare alle vittime contenuti mirati e personalizzati credibili. La serietà dei singoli messaggi non è più un indicatore affidabile; sono necessari processi che non si basino sull'istinto dei singoli.

Segnalazioni volontarie all'UFCS per semestre

Obblighi di notifica nella pratica: incidenti informatici soggetti a notifica e segnalazioni volontarie

L'UFCS tiene una statistica sugli obblighi di notifica. Vengono registrate le segnalazioni dei gestori di infrastrutture critiche relative agli incidenti informatici che devono essere comunicati all'UFCS. Una delle prime domande per ogni organizzazione è se la propria azienda rientri in questa cerchia.

La base legale dell'obbligo di notifica all'UFCS è la Legge sulla sicurezza dell'informazione (LSI) nella versione riveduta. Il Consiglio federale ha messo in vigore la modifica necessaria della LSI il 1° aprile 2025. Le disposizioni di esecuzione relative all'obbligo di notifica e le eccezioni ai sensi dell'art. 74c LSI sono regolamentate dall'Ordinanza sulla cibersicurezza (OCS), anch'essa in vigore dal 1° aprile 2025.

La LSI obbliga le autorità e le organizzazioni soggette all'obbligo di notifica a comunicare all'UFCS gli attacchi informatici entro 24 ore dalla loro scoperta. Se al momento della prima segnalazione non è possibile fornire tutte le informazioni, esiste un termine di 14 giorni per completare la segnalazione. In caso di mancata ottemperanza all'obbligo di notifica, la legge prevede sanzioni pecuniarie.

Tra le autorità e le organizzazioni soggette all'obbligo di notifica vi sono, ad esempio, l'approvvigionamento energetico e idrico potabile, le imprese di trasporto e le amministrazioni cantonali e comunali. Sono espressamente inclusi anche gli ospedali nel settore sanitario, purché raggiungano le soglie definite nell'ordinanza, come il numero di posti letto o l'importanza per l'approvvigionamento.

Un attacco informatico è soggetto all'obbligo di notifica se mette in pericolo la funzionalità dell'infrastruttura critica, porta alla manipolazione o alla fuoriuscita di informazioni, rimane non scoperto per un periodo prolungato o è associato a ricatto, minaccia o coercizione.

Per un ospedale, gli incidenti tipici soggetti all'obbligo di notifica includono: ransomware con crittografia dei sistemi produttivi, accesso non autorizzato confermato al sistema informativo clinico o di laboratorio, compromissione degli accessi remoti (VPN, accessi di manutenzione dei fornitori di dispositivi medici) o un attacco riuscito all'infrastruttura e-mail con fuoriuscita di dati.

La notifica ISG/UFCS va distinta dalla notifica in materia di protezione dei dati all'IFPDT ai sensi dell'art. 24 LPD, quando l'incidente porta a una violazione della sicurezza dei dati personali con alto rischio. In caso di dati sanitari particolarmente sensibili, si aggiunge l'informazione delle persone interessate. Un singolo incidente ransomware può attivare tre obblighi di notifica.

La segnalazione avviene tramite il modulo di notifica che l'UFCS mette a disposizione sulla sua piattaforma esistente per lo scambio di informazioni con i gestori di infrastrutture critiche. Una scheda informativa sull'obbligo di notifica per gli attacchi informatici alle infrastrutture critiche riassume la procedura.

Le segnalazioni possono avvenire anche al di fuori dell'orario lavorativo normale. Responsabilità, sostituzioni e vie di contatto dovrebbero quindi essere stabilite in anticipo, per poter reagire rapidamente in caso di evento.

Una segnalazione non è la conclusione, ma l'inizio della gestione del caso: in seguito, continuano l'accertamento tecnico e il ripristino dei sistemi interessati. Responsabilità e vie di informazione devono essere stabilite e esercitate in anticipo; le segnalazioni fanno parte dell'esercizio operativo, non sono un caso speciale.

Incidenti informatici soggetti all'obbligo di notifica all'UFCS

Procedura di segnalazione di un incidente informatico all'UFCS

Obblighi di protezione dei dati secondo la LPD riveduta

La Legge sulla protezione dei dati (LPD) riveduta è in vigore dal 1° settembre 2023. La LPD riveduta (revLPD) obbliga le aziende nella raccolta e conservazione dei dati. Responsabile è l'azienda stessa: chi elabora dati personali deve conoscere i principi, rispettarli nella quotidianità ed essere in grado di documentare la propria prassi.

A livello federale, l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) è l'autorità di vigilanza. Vigila affinché gli organi federali e le imprese private non effettuino elaborazioni illecite di dati personali (art. 4 LPD). L'IFPDT è indipendente e amministrativamente assegnato alla Cancelleria federale; il suo titolare è eletto dall'Assemblea federale plenaria, la durata del mandato è di quattro anni ed è rinnovabile al massimo due volte.

La LPD riveduta sancisce i principi «Privacy by Design» (protezione dei dati attraverso la tecnologia) e «Privacy by Default» (protezione dei dati attraverso impostazioni predefinite favorevoli alla privacy). Obbligano le aziende ad attuare i principi di elaborazione della LPD già dalla pianificazione dei relativi progetti, adottando adeguate misure di protezione tecniche e organizzative.

I responsabili devono notificare all'IFPDT le violazioni della sicurezza dei dati che presumibilmente comportano un alto rischio per la personalità o i diritti fondamentali delle persone interessate. A tal fine è disponibile il portale di notifica Data Breach; l'obbligo è sancito nell'art. 24 LPD.

Le elaborazioni pianificate di dati personali con alto rischio per la personalità o i diritti fondamentali richiedono una valutazione d'impatto sulla protezione dei dati (VIPD). Se, nonostante misure adeguate, persiste un alto rischio, il responsabile deve consultare l'IFPDT prima dell'attuazione. L'IFPDT esamina la VIPD e comunica eventuali obiezioni entro due mesi; il parere non costituisce un'autorizzazione, non è impugnabile, ma è soggetto a tasse.

L'IFPDT può aprire un'indagine d'ufficio o su denuncia qualora sussistano indizi di una violazione delle disposizioni sulla protezione dei dati (art. 49 LPD). In caso di indagine, devono essere fornite tutte le informazioni e messi a disposizione tutti i documenti (art. 49 cpv. 3 LPD). Se un'organizzazione rifiuta la collaborazione, l'IFPDT può far valere l'accesso alle informazioni e ai locali aziendali (art. 50 LPD).

Le associazioni professionali, settoriali ed economiche possono sviluppare propri codici di condotta e sottoporli all'IFPDT per un parere; l'IFPDT pubblica tali pareri. Pubblica inoltre un elenco delle clausole contrattuali tipo standard approvate, emanate o riconosciute. Il Consiglio federale stabilisce se la legislazione di uno Stato terzo garantisca una protezione adeguata; l'elenco è riportato come allegato all'Ordinanza sulla protezione dei dati.

L'IFPDT riferisce annualmente all'Assemblea federale sulla sua attività; il rapporto di attività è datato 29 giugno 2026. L'intelligenza artificiale permea la vita della popolazione anche in Svizzera; l'IFPDT sottolinea che la LPD è direttamente applicabile alle elaborazioni di dati supportate dall'IA (24 settembre 2025).

Prescrizioni di resilienza nel settore finanziario sull'esempio della Circolare FINMA 2023/1

L'Autorità federale di vigilanza sui mercati finanziari FINMA ha emanato la Circolare 2023/1 «Rischi operativi e resilienza – Banche», datata 7 dicembre 2022, Berna. È documentata nella letteratura giuridica specialistica.

L'esempio rappresenta una struttura che va oltre il settore finanziario: gli obblighi generali di diligenza si applicano ampiamente; singoli settori conoscono requisiti aggiuntivi, imposti dal diritto di vigilanza, sui rischi operativi e la resilienza. Le aziende dovrebbero verificare se, oltre agli obblighi generali, siano soggette anche a regole settoriali specifiche.

In un settore regolamentato, le prescrizioni devono confluirne nell'organizzazione interna della sicurezza informatica, con chiare responsabilità, procedure documentate e la capacità di fornire informazioni all'autorità di vigilanza. Un concetto di sicurezza da solo non basta; decisiva è l'attuazione verificabile in caso di emergenza.

Dall'obbligo all'attuazione: misure e capacità di notifica in azienda

Dagli obblighi si possono derivare punti di approccio pratici. Primo: chiare vie di segnalazione interne e responsabilità. I collaboratori devono sapere a chi segnalare una chiamata sospetta, un'e-mail anomala o una possibile fuoriuscita di dati; il punto di segnalazione deve essere raggiungibile anche al di fuori dell'orario d'ufficio.

Secondo: rapido riconoscimento degli attacchi legati a frodi e phishing. Varianti telefoniche come il «Voice Phishing» nonché contatti tramite piattaforme di annunci classificati, posizionamenti nei motori di ricerca o fughe di dati servono come punto di ingresso. Pertanto, la sensibilizzazione dei collaboratori proprio su questi canali ne fa parte integrante.

Tra i vettori di attacco tipici vi sono gli accessi remoti come VPN o accessi di manutenzione dei fornitori di dispositivi medici. Chi gestisce tali accessi dovrebbe includerli nell'ordine interno di segnalazione e responsabilità.

Terzo: la capacità di reagire in modo ordinato in caso di evento. Chi è soggetto all'obbligo di notifica necessita di procedure definite in anticipo, modelli salvati e una responsabilità nominata con sostituzione. L'analisi tecnica può procedere in parallelo; la segnalazione deve essere gestita anche organizzativamente.

La prima segnalazione all'UFCS viene inviata con lo stato delle conoscenze disponibile, senza attendere la forensics completa. L'accertamento tecnico e il ripristino dei sistemi interessati continuano in parallelo.

Quarto: esercizio. Le vie di segnalazione che esistono solo sulla carta falliscono in caso di emergenza. Sono utili test interni regolari, ad esempio la simulazione verbale di un incidente ipotetico, e la verifica se i dati di contatto e le responsabilità siano ancora aggiornati.

Quinto: coinvolgimento della direzione aziendale. La sicurezza informatica riguarda la reputazione, le interruzioni operative e le questioni di vigilanza; appartiene alla valutazione dei rischi e all'agenda dirigenziale.

Da regolamentare concretamente sono: la segnalazione all'UFCS, qualora sussista un obbligo di notifica, e – per i dati personali – l'elaborazione secondo la revLPD. Nel settore bancario si aggiunge la Circolare FINMA 2023/1. Ciascuno di questi obblighi richiede una responsabilità nominata.

Strumenti nominati con riferimento legale: la segnalazione all'UFCS, qualora sussista un obbligo di notifica; in caso di violazioni della sicurezza dei dati con presumibilmente alto rischio, la segnalazione all'IFPDT tramite il portale di notifica Data Breach ai sensi dell'art. 24 LPD; per elaborazioni pianificate con alto rischio, la valutazione d'impatto sulla protezione dei dati (VIPD); nel settore bancario, la Circolare FINMA 2023/1.

Sei misure per il caso di emergenza

Fornire prove: documentazione verso vigilanza, revisione e direzione

Gli obblighi diventano efficaci quando la loro conformità è dimostrabile. Ciò include un'elaborazione documentata dei dati personali: quali dati vengono elaborati, per quale scopo, chi ha accesso e come vengono informate le persone interessate. Le segnalazioni all'UFCS appartengono a un archivio verificabile, con data, contenuto e misure adottate.

Alle prove appartiene anche l'attuazione dei principi «Privacy by Design» e «Privacy by Default»: chi considera i principi di elaborazione già dalla pianificazione, documenta le misure di protezione tecniche e organizzative adottate a tal fine.

Responsabilità e procedure devono essere fissate per iscritto: chi decide su una segnalazione, chi sostituisce chi, attraverso quali canali si informa internamente, come si conclude un incidente? Tali documenti formano la base per i colloqui con le autorità di vigilanza, le revisioni interne e il reporting alla direzione.

La documentazione facilita la collaborazione con le autorità e la vigilanza e costringe l'azienda a verificare le proprie procedure. Dove diventano visibili lacune, le misure possono essere aggiornate in modo mirato, invece di improvvisarle solo in caso di evento.

Dimostrabile significa: una segnalazione all'UFCS è documentata con data, contenuto e misure adottate. Si aggiungono la documentazione dell'elaborazione dei dati secondo la revLPD e – nei settori regolamentati – la capacità di fornire informazioni alla vigilanza, nel settore bancario secondo la Circolare FINMA 2023/1.

Artefatti di prova nominati: la VIPD, il parere dell'IFPDT su un'elaborazione pianificata, la segnalazione tramite il portale di notifica Data Breach ai sensi dell'art. 24 LPD e, nel settore bancario, le informazioni alla FINMA secondo la Circolare 2023/1.

L'IFPDT può richiedere tutte le informazioni e i documenti in caso di indagine (art. 49 cpv. 3 LPD); se un'organizzazione rifiuta la collaborazione, può far valere l'accesso alle informazioni e ai locali aziendali (art. 50 LPD). Un archivio solido fa quindi parte della fornitura di prove.

In caso di dati sanitari particolarmente sensibili, l'informazione delle persone interessate appartiene alla fornitura di prove. I tre possibili obblighi di notifica – LSI/UFCS, art. 24 LPD all'IFPDT e informazione delle persone interessate – devono essere documentati ciascuno con data, contenuto e misure adottate.

Conclusione: conoscere gli obblighi, rimanere capaci di agire

La sicurezza informatica per le aziende svizzere non è un progetto con una data di scadenza. L'UFCS, come centro di competenza della Confederazione e primo punto di contatto per economia, amministrazione e istituzioni educative, è la grandezza di riferimento centrale. I suoi rapporti semestrali sulla situazione mostrano un volume di segnalazioni stabilizzato su un livello elevato, la frode come fenomeno dominante e gli attacchi personalizzati supportati dall'IA come evoluzione.

Obblighi di notifica, prescrizioni sulla protezione dei dati e requisiti di resilienza settoriali non sono dossier separati. La segnalazione all'UFCS, qualora sussista un obbligo di notifica, gli obblighi derivanti dalla Legge sulla protezione dei dati riveduta in vigore dal 1° settembre 2023 e i requisiti aggiuntivi nei settori regolamentati si intrecciano.

Chi conosce gli obblighi, stabilisce le responsabilità, sensibilizza i collaboratori e documenta la conformità, rimane capace di agire in caso di emergenza. Decisiva non è l'organizzazione perfetta sulla carta, ma la capacità dimostrabile di reagire correttamente entro i termini.

A livello federale si aggiunge l'IFPDT come autorità di vigilanza: le violazioni della sicurezza dei dati con presumibilmente alto rischio devono essere segnalate tramite il portale di notifica Data Breach ai sensi dell'art. 24 LPD, le elaborazioni pianificate con alto rischio richiedono una VIPD. Nel settore bancario si aggiunge la Circolare FINMA 2023/1.