Risposta immediata
In caso di attacco informatico contano tre obiettivi: limitare la propagazione, conservare le prove e stabilizzare l’operatività in modo controllato. Allertate l’organizzazione d’emergenza interna, isolate i sistemi colpiti secondo il piano di incident response e iniziate subito un registro con orari e decisioni. Non riavviate i sistemi in modo non coordinato, non cancellate nulla e comunicate tramite un canale sicuro, se necessario esterno.
La sequenza temporale seguente è una procedura operativa, non un termine legale generale. Se e quando occorra informare IFPDT, UFCS, polizia, autorità di vigilanza, assicuratore o partner contrattuali va verificato separatamente.
I primi 15 minuti
- Dare l’allarme. Raggiungere i responsabili IT, la direzione e i sostituti designati tramite il canale predisposto.
- Limitare la propagazione. Scollegare dalla rete i dispositivi e i segmenti colpiti; bloccare gli accessi remoti compromessi. Non ripristinare né reinstallare di propria iniziativa.
- Proteggere i backup. Mettere al riparo dagli aggressori i backup non ancora colpiti e gli accessi di amministrazione.
- Avviare il registro. Annotare l’ora della scoperta, chi l’ha segnalata, i sintomi visibili, i sistemi e ogni misura con l’orario.
- Usare una comunicazione sicura. Se la posta elettronica potrebbe essere compromessa, non coordinarsi tramite lo stesso account o la stessa chat.
Se sono in pericolo persone, l’assistenza medica, la sicurezza industriale o altri processi critici, il piano di sicurezza e continuità predisposto a tale scopo prevale su questa guida generale.
Entro 4 ore
Quadro della situazione e conservazione delle prove
- Delimitare identità, dispositivi, server, servizi cloud, sedi e dati coinvolti.
- Salvare log, messaggi sospetti, nomi di file, marcature temporali e indicatori tecnici.
- In mancanza di competenze interne, coinvolgere specialisti qualificati di incident response e analisi forense.
- Coordinare reinstallazione e ripristino con l’analisi forense o la polizia se le prove possono essere rilevanti.
Aiuto esterno e contenimento finanziario
- Verificare numero di polizza, hotline d’emergenza, fornitori autorizzati e riserve di consenso; notificare presto l’incidente secondo le regole del contratto.
- In caso di bonifici errati o accessi bancari compromessi, contattare subito la banca tramite un numero noto.
- In caso di possibile reato, coinvolgere la polizia cantonale competente. L’UFCS raccomanda di segnalare anche i tentativi di cyberincidente.
- Passare i processi aziendali critici a procedure d’emergenza collaudate e far approvare ogni eccezione.
Entro 24 ore
- Decidere e documentare gli obblighi di notifica. Esaminare separatamente l’art. 24 LPD, l’assoggettamento all’UFCS, la vigilanza di settore, i contratti e i legami con l’estero.
- Definire la comunicazione. Informare collaboratori, clienti e partner solo con fatti confermati, istruzioni chiare e un referente designato.
- Pianificare la ripresa. Chiudere il vettore d’attacco, mettere in sicurezza le identità, ricostruire sistemi puliti e ripristinare i dati solo da backup verificati.
- Rilevare il danno. Documentare costantemente interruzione, costi aggiuntivi, prestazioni esterne e decisioni; non ricostruire i costi a memoria.
- Fissare il prossimo punto della situazione. Mettere per iscritto responsabili, questioni aperte, rischi e criteri di autorizzazione.
Non confondere IFPDT e UFCS
| Verifica | Momento | Domanda chiave |
|---|---|---|
| IFPDT, art. 24 LPD | il prima possibile, se vige l’obbligo di notifica | Una violazione della sicurezza dei dati comporta presumibilmente un rischio elevato per le persone interessate? |
| UFCS, obbligo legale | entro 24 ore dalla scoperta | L’organizzazione è un’infrastruttura critica soggetta all’obbligo e l’attacco va segnalato? |
| UFCS, segnalazione volontaria | il prima possibile | La segnalazione può contribuire alla valutazione della situazione e ad allertare altri? |
La notifica generale secondo la LPD svizzera non prevede un termine forfettario di 72 ore. Per le imprese attive a livello internazionale possono valere anche norme estere. I dettagli sono spiegati nella guida sull’obbligo di notifica.
Piano d’emergenza di una pagina da stampare e registro dell’incidente
La sezione seguente è ottimizzata per il formato A4. Con Ctrl/⌘ + P viene stampato solo il piano d’emergenza. Stampatelo a titolo preventivo, completate nomi e numeri e conservatelo al di fuori dell’IT produttiva.
A4 · da compilare offline · da verificare ogni sei mesi
Piano d’emergenza cyber per la prima ora
Organizzazione: · Versione/data: · Responsabile:
1 · Allarme e protezione
- □ Direzione dell’emergenza e IT allertate
- □ Sistemi/segmenti colpiti isolati
- □ Backup e accessi admin protetti
- □ Nessun riavvio/reset non coordinato
- □ Canale di comunicazione sicuro attivato
2 · Contatti d’emergenza
Direzione dell’emergenza:
IT/forense:
Assicuratore/polizza:
Banca/polizia:
Diritto/protezione dei dati:
3 · Primo quadro della situazione
| Scoperto | Data/ora: · da: |
|---|---|
| Sintomi | |
| Coinvolti | Sistemi/dati/sedi: |
| Impatto | Operatività/persone/terzi: |
4 · Registro dell’incidente
| Ora | Osservazione/misura | Persona | Autorizzazione/prova |
|---|---|---|---|
Ora: · Direzione:
□ Assicuratore · □ UFCS · □ IFPDT · □ Polizia · □ altre
Cosa evitare durante l’incidente
- continuare a usare dispositivi compromessi per copiare «in fretta» dei dati;
- cancellare, riavviare o ripristinare sistemi prima di aver coordinato conservazione delle prove e ripresa;
- coordinarsi tramite account o dispositivi probabilmente compromessi;
- affermare pubblicamente cause, autori o fughe di dati non confermati;
- incaricare prestazioni esterne senza verificare la necessità della misura immediata e il consenso contrattuale;
- confondere un ripristino sicuro con un semplice ritorno alla disponibilità.
Che ruolo ha la cyberassicurazione?
A seconda del contratto, una cyberassicurazione può coprire coordinamento dell’emergenza, analisi forense, consulenza legale, comunicazione di crisi, ripristino dei dati, interruzione d’esercizio o responsabilità civile. La copertura non è automatica: eventi scatenanti, limiti, sottolimiti, franchigia, periodo di carenza, requisiti di sicurezza, scelta dei fornitori e obblighi di consenso vanno verificati nel contratto concreto.
Tenete quindi polizza e numero d’emergenza disponibili offline. La guida all’estensione della copertura mostra quali punti del contratto chiarire prima di un incidente.
Fonti ufficiali
- UFCS: Incidente – cosa fare? Informazioni per imprese e autorità
- IFPDT: Linee guida sulla notifica di violazioni della sicurezza dei dati secondo l’art. 24 LPD
- UFCS: Obbligo di segnalazione per le infrastrutture critiche
Contenuto verificato il 18 luglio 2026. Questa guida non sostituisce un piano di incident response adattato all’impresa né una consulenza tecnica, legale o assicurativa sul caso specifico.