Risposta breve
In caso di ransomware le imprese devono innanzitutto fermare la propagazione, proteggere i backup, conservare le prove e attivare un aiuto specializzato. I sistemi colpiti vanno scollegati dalla rete; riavvii, cancellazioni e ripristini non coordinati possono distruggere prove o favorire una nuova infezione. L’UFCS sconsiglia di pagare riscatti e raccomanda di coordinare i passi successivi con la polizia cantonale.
A seconda della polizza, una cyberassicurazione può coprire incident response, analisi forense, ripristino, interruzione d’esercizio o consulenza in caso di estorsione. Non è però né una promessa di pagamento forfettaria né un’autorizzazione a pagare fornitori o un riscatto senza consenso.
Le prime 24 ore in caso di ransomware
| Periodo | Priorità | Passi concreti |
|---|---|---|
| 0–15 minuti | Contenere | isolare i dispositivi infetti e le aree di rete colpite; limitare le connessioni Internet, di accesso remoto e tra sedi secondo il piano d’emergenza; proteggere i backup; attivare il team di crisi e il registro |
| 15 minuti–4 ore | Capire e mettere in sicurezza | coinvolgere analisi forense/incident response; conservare log, messaggio di riscatto, file cifrati e marcature temporali; verificare identità e accessi cloud; contattare assicuratore e polizia tramite canali noti |
| 4–24 ore | Decidere e stabilizzare | valutare l’entità e un’eventuale fuga di dati; decidere sugli obblighi di notifica verso UFCS, IFPDT e altri; pianificare una ripresa sicura; approvare comunicazione e procedure operative d’emergenza; documentare danni e costi |
Questa sequenza temporale è un ausilio operativo. Non sostituisce né la valutazione giuridica né gli obblighi di notifica e di consenso pattuiti nella polizza.
Analisi forense prima della bonifica
L’UFCS raccomanda di salvare i log e di decidere presto se sia necessaria un’analisi forense. Soprattutto in caso di denuncia penale, polizia e forensi dovrebbero concordare i passi successivi prima di reinstallare i sistemi.
In pratica significa:
- non ripristinare, cancellare o riavviare in modo non coordinato i dispositivi sospetti;
- conservare invariati messaggi di riscatto, intestazioni delle e-mail, estensioni dei file, indirizzi di wallet e indicatori tecnici;
- esportare i log rilevanti da sistemi di identità, posta elettronica, endpoint, firewall, VPN, cloud e backup;
- documentare copie delle prove, momento, persona responsabile e luogo di archiviazione;
- ricostruire i sistemi infetti da supporti affidabili solo dopo aver conservato le prove;
- prima del ripristino, verificare l’integrità dei backup, l’assenza di malware e la chiusura del vettore d’attacco.
L’obiettivo non è solo la decifratura. Il vettore d’infezione va individuato ed eliminato, affinché gli aggressori non ritornino attraverso account, accessi remoti o vulnerabilità invariati.
Notificare subito l’assicuratore e documentare correttamente il consenso
Molte cyberpolizze organizzano una hotline d’emergenza o una rete di fornitori in ambito forense, legale e di comunicazione. È il contratto a stabilire se i loro costi sono coperti. Verificate in particolare:
- Chi può notificare il sinistro e quale numero vale fuori dagli orari d’ufficio?
- Occorre ricorrere a un fornitore determinato?
- Quali costi richiedono un consenso scritto preventivo?
- Esiste un obbligo di ridurre immediatamente il danno?
- Quali prove richiede l’assicuratore per interruzione, costi aggiuntivi e ripristino?
Se è necessario un contenimento immediato, l’organizzazione non dovrebbe restare inattiva solo perché un referente non ha ancora risposto. Documentate necessità, momento, alternative e costi di ogni misura immediata e ottenete il prima possibile il consenso richiesto dal contratto. Il rimborso dei costi resta una decisione caso per caso secondo la polizza.
UFCS, IFPDT e polizia: tre canali diversi
UFCS
L’UFCS riceve segnalazioni volontarie di cyberincidenti. Per i gestori di infrastrutture critiche soggetti per legge vige inoltre, dal 1° aprile 2025, un obbligo di segnalazione entro 24 ore per gli attacchi informatici soggetti a segnalazione. Questo obbligo non vale in modo generalizzato per ogni impresa.
IFPDT
Se sono coinvolti dati personali, va esaminato l’art. 24 LPD. Una violazione della sicurezza dei dati deve essere notificata all’IFPDT il prima possibile se comporta presumibilmente un rischio elevato per la personalità o i diritti fondamentali delle persone interessate. Oltre alla cifratura, un ransomware può comportare una fuga di dati; la mancata pubblicazione da parte degli autori non dimostra che non siano stati sottratti dati.
Polizia cantonale
In caso di ransomware l’UFCS raccomanda in ogni caso una denuncia penale e un coordinamento tempestivo con la polizia cantonale, in particolare prima dell’analisi forense, della reinstallazione o di qualsiasi comunicazione con gli estorsori. L’UFCS stesso non è un’autorità di perseguimento penale.
Le diverse soglie e i termini sono spiegati nella guida sull’obbligo di notifica.
Riscatto, sanzioni e consenso
L’UFCS sconsiglia di pagare un riscatto: un pagamento non garantisce né la decifratura né la cancellazione dei dati rubati e finanzia il modello di business criminale. Secondo l’UFCS, chi valuta comunque un pagamento dovrebbe assolutamente discuterne con la polizia cantonale.
Il rapporto del Consiglio federale sulle misure contro gli attacchi ransomware ha stabilito nel 2024 che in Svizzera non saranno introdotti né un divieto generale né un obbligo generale specifico di notifica dei pagamenti di riscatto. Da ciò non deriva alcuna liceità generale di un pagamento concreto. La situazione giuridica attuale e il destinatario concreto vanno esaminati ogni volta.
Particolarmente importante:
- Le imprese svizzere devono rispettare le sanzioni in vigore. Un pagamento o la messa a disposizione di risorse economiche può essere vietato se sono coinvolte persone o organizzazioni sanzionate.
- Identità e legami degli autori sono spesso poco chiari. Prima di ogni decisione di pagamento è quindi necessaria una verifica professionale delle sanzioni e del diritto.
- Polizia, consulenza legale, assicuratore ed eventualmente un consulente autorizzato in materia di estorsione devono essere coordinati.
- Né una trattativa con gli estorsori né un pagamento possono essere autorizzati solo in base alla fattibilità tecnica o a una presunta copertura assicurativa.
- Il riscatto e i costi connessi possono essere esclusi, coperti solo in parte o vincolati a un sottolimite proprio e a un consenso preventivo.
La pagina della SECO sulle sanzioni elenca le ordinanze vigenti e la ricerca di persone e organizzazioni sanzionate. In caso di una reale decisione di pagamento è indispensabile una verifica aggiornata caso per caso.
Interruzione d’esercizio: periodo di carenza, periodo d’indennizzo e sottolimiti
«Interruzione d’esercizio assicurata» non dice ancora quanto paghi una polizza. Per il ransomware occorre verificare almeno questi punti del contratto:
| Concetto | Cosa chiarire |
|---|---|
| Evento assicurato | Deve essere colpito un sistema proprio o basta il guasto di un fornitore cloud/IT? |
| Periodo di carenza | Da quale momento inizia l’interruzione assicurata? Il periodo di carenza è un lasso di tempo, una partecipazione finanziaria o entrambe le cose? |
| Periodo d’indennizzo | Per quanto tempo vengono considerati le perdite e i costi aggiuntivi assicurati? |
| Calcolo | Quali fatturati, costi variabili, costi correnti e spese di riduzione del danno vengono considerati? |
| Sottolimite | Per interruzione d’esercizio, estorsione, ripristino o guasto di un fornitore vale un limite inferiore alla somma assicurata complessiva? |
| Ripresa | La prestazione termina con la disponibilità tecnica o tiene conto della ripresa controllata? |
| Prove | Quali dati finanziari, registri di sistema, ore di lavoro, fatture e decisioni vanno documentati? |
Un sottolimite è un tetto di prestazione all’interno del limite complessivo. Un periodo di carenza non è automaticamente la stessa cosa di una franchigia in denaro. Solo il testo concreto mostra come interagiscono.
Checklist per la polizza prima dell’incidente
- Numero d’emergenza e numero di polizza disponibili offline
- Persone autorizzate alla notifica e sostituti designati
- Partner autorizzati per analisi forense, diritto e comunicazione noti
- Consenso per costi immediati e fornitori chiarito
- Consulenza in caso di estorsione e riscatto esaminati separatamente
- Interruzione d’esercizio, periodo di carenza, periodo d’indennizzo e calcolo compresi
- Sottolimiti documentati per ogni modulo di prestazione
- Guasto di fornitori cloud, IT e di fornitura verificato
- Requisiti di sicurezza ed esclusioni attualmente rispettati
- Prove per fatturato, costi aggiuntivi e ripresa preparate
La guida generale all’estensione della copertura e le domande per la proposta d’assicurazione aiutano nella preparazione.
Fonti ufficiali e primarie
- UFCS: Ransomware
- Consiglio federale: rapporto sulle misure contro gli attacchi ransomware (PDF, in tedesco)
- IFPDT: Linee guida sulla notifica di violazioni della sicurezza dei dati
- UFCS: Obbligo di segnalazione per le infrastrutture critiche
- SECO: Informazioni generali sulle sanzioni
- Associazione Svizzera d’Assicurazioni: possibili prestazioni e limiti delle cyberassicurazioni
Contenuto verificato il 18 luglio 2026. Prestazione assicurativa, obbligo di notifica e liceità giuridica dipendono dal caso specifico, dalla situazione giuridica attuale e dal contratto concreto.