Due obblighi da non confondere
Un attacco informatico non comporta automaticamente la stessa notifica per ogni organizzazione. Due regimi federali sono particolarmente importanti:
- Secondo l’art. 24 della Legge federale sulla protezione dei dati (LPD), il titolare notifica all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) una violazione della sicurezza dei dati il più presto possibile se questa comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali delle persone interessate.
- Dal 1° aprile 2025, i gestori di infrastrutture critiche che rientrano nella legge devono notificare determinati attacchi all’Ufficio federale della cibersicurezza (UFCS/BACS) entro 24 ore dalla scoperta.
La LPD svizzera non stabilisce un termine generale di 72 ore. La regola UFCS delle 24 ore non si applica a tutte le imprese svizzere. Possono aggiungersi obblighi settoriali o contrattuali.
| Regime | Destinatario | Termine | Ambito |
|---|---|---|---|
| LPD art. 24 | IFPDT | Il più presto possibile | Violazione che comporta verosimilmente un rischio elevato |
| Obbligo UFCS | UFCS | 24 ore dalla scoperta | Gestori e attacchi rientranti nella legge |
| Norme settoriali | Autorità competente | Secondo la norma applicabile | Per esempio organizzazioni regolamentate nei settori finanziario o sanitario |
Art. 24 LPD: quando è necessaria la notifica
Una violazione può comportare perdita, cancellazione, distruzione o modifica di dati personali, oppure divulgazione o accesso non autorizzati. Il titolare deve valutare se ne deriva verosimilmente un rischio elevato.
Tra i fattori rilevanti figurano:
- sensibilità e quantità dei dati
- rischio di furto d’identità, discriminazione o danno finanziario
- numero e vulnerabilità delle persone coinvolte
- cifratura o altre protezioni efficaci
- conseguenze probabili e possibilità di limitarle
La notifica all’IFPDT contiene le informazioni disponibili richieste dalla legge, tra cui natura e conseguenze della violazione e misure adottate o previste. Se l’analisi non è conclusa, l’organizzazione dovrebbe documentare la propria valutazione e ottenere una consulenza qualificata invece di attendere la certezza completa.
Le persone interessate sono informate quando è necessario per la loro protezione o quando lo esige l’IFPDT. È una valutazione separata dalla notifica all’autorità.
Sanzioni LPD: nessuna multa automatica di CHF 250’000
La LPD prevede multe fino a CHF 250’000 per specifiche infrazioni intenzionali, in genere attribuite a persone fisiche. Una notifica tardiva o omessa secondo l’art. 24 non determina automaticamente una multa di CHF 250’000. L’IFPDT può indagare e disporre misure; la violazione intenzionale di una decisione passata in giudicato può essere punibile.
Il rischio legale dipende dalla disposizione e dalla condotta concrete, non da un importo forfettario.
Obbligo UFCS per le infrastrutture critiche
L’obbligo vale solo quando sia l’organizzazione sia l’incidente rientrano nell’ambito della legge. Le informazioni ufficiali dell’UFCS descrivono settori, eccezioni e criteri di notifica.
La prima notifica è dovuta entro 24 ore dalla scoperta. Non deve già includere ogni risultato forense. Le informazioni non ancora disponibili possono in linea di principio essere integrate entro 14 giorni.
Il rapporto semestrale UFCS pubblicato nel marzo 2026 ha registrato 325 notifiche obbligatorie dall’introduzione dell’obbligo il 1° aprile alla fine del 2025. Il dato non rappresenta il numero totale di attacchi in Svizzera.
Applicazione graduale
La multa massima di CHF 100’000 non scatta automaticamente dopo 24 ore. Secondo l’UFCS, l’organizzazione viene prima informata del presunto obbligo. Se continua a non notificare, l’UFCS può emanare una decisione con comminatoria di pena. La persistente inosservanza intenzionale della decisione può poi portare a un procedimento penale.
Piano d’emergenza in dieci passi
- Attivare il team di risposta e assegnare ruoli decisionali, tecnici, legali e di comunicazione.
- Proteggere persone e operazioni con supporto tecnico competente; non applicare una regola universale di spegnimento senza valutare sicurezza e prove.
- Documentare la cronologia, l’ora della scoperta, i sistemi coinvolti e le decisioni.
- Preservare le prove, inclusi log, messaggi e immagini dei sistemi, senza alterarle inutilmente.
- Valutare i dati, le persone coinvolte e le conseguenze probabili.
- Verificare in parallelo gli obblighi LPD, UFCS, settoriali, contrattuali e transfrontalieri.
- Effettuare le notifiche urgenti con fatti verificati e integrare le incertezze quando consentito.
- Comunicare in modo sicuro alle persone quando necessario e coordinare i messaggi.
- Ripristinare con prudenza da fonti affidabili e controllare eventuali persistenze.
- Apprendere dall’incidente documentando causa, lacune, decisioni e correzioni.
Una denuncia penale può essere opportuna, in particolare per estorsione, frode o accesso non autorizzato, ma non è un obbligo generale per ogni incidente.
Il possibile aiuto della cyberassicurazione
Secondo la polizza e le autorizzazioni preventive, possono essere assicurati fornitori di risposta, forensica IT, consulenza legale, notifiche, comunicazione di crisi o interruzione d’esercizio. Disponibilità, tempi e rimborso dipendono dal contratto; le multe non sono automaticamente assicurabili né coperte.
Prima di un incidente occorre verificare hotline, fornitori approvati, processo, sottolimiti e momento di attivazione della copertura. L’organizzazione resta responsabile del rispetto dei propri obblighi.