In breve: La Svizzera avrà una legge federale autonoma sulla cibersicurezza (legge sulla cibersicurezza, LCib). Il 25 settembre 2026 il Consiglio federale ha incaricato il Dipartimento federale della difesa, della protezione della popolazione e dello sport (DDPS) di elaborare entro giugno 2027 un progetto da porre in consultazione. La legge riunirà requisiti di sicurezza vincolanti per software e hardware, obblighi per i fornitori di hosting e cloud e l’attuale obbligo di segnalazione per le infrastrutture critiche.
L’essenziale in breve
- Decisione: seduta del Consiglio federale del 25 settembre 2026
- Mandato: il DDPS elabora entro giugno 2027 un progetto da porre in consultazione per una nuova legge federale autonoma
- Contenuto: attuazione di tre mozioni: ciber-resilienza di prodotti con elementi digitali (mozione 24.3810), protezione dei dati digitali più importanti (mozione 23.3002), ruolo dei prestatori di servizi di hosting e di cloud nella cibersicurezza (mozione 25.3011)
- Modello: le regole sui prodotti si ispirano al Cyber Resilience Act (CRA) europeo
- Obbligo di segnalazione: l’obbligo di segnalare ciberattacchi a infrastrutture critiche, in vigore da aprile 2025, passerà dalla legge sulla sicurezza delle informazioni (LSIn) alla LCib
- Stato: non esiste ancora un progetto di legge; la consultazione seguirà
- Fonte: comunicato del Consiglio federale del 25 settembre 2026
Tre progetti in una sola legge
L’Ufficio federale della cibersicurezza (UFCS) trattava finora i tre mandati parlamentari come progetti separati, che inizialmente dovevano essere attuati con modifiche della LSIn. Ora saranno riuniti in una legge propria.
Prodotti sicuri: fabbricanti, importatori e commercianti di prodotti software e hardware dovranno rispettare requisiti vincolanti. Sono previste anche regole di sorveglianza del mercato e il divieto di vendere prodotti non sicuri. La regolamentazione si ispira al CRA dell’UE. Secondo il Consiglio federale, l’obiettivo è contenere l’onere amministrativo per le imprese; le aziende attive a livello internazionale che già rispettano il CRA non dovrebbero avere oneri aggiuntivi. Viene menzionato anche il software open source.
Dati importanti e cloud: sono previsti obblighi specifici per la protezione dei dati digitali particolarmente importanti e per i fornitori di hosting e cloud, tra cui obblighi di collaborazione e di difesa dalle ciberminacce.
Obbligo di segnalazione: l’obbligo per i gestori di infrastrutture critiche di segnalare i ciberattacchi sarà trasferito nella LCib. La LSIn continuerà a disciplinare la sicurezza delle informazioni delle autorità federali. Le leggi settoriali, come la legge sulle telecomunicazioni, restano in vigore; la LCib le completerà.
Che cosa significa per le PMI svizzere?
Per la maggior parte delle PMI per ora non cambia nulla: la legge non esiste ancora e i dettagli arriveranno solo con il progetto in consultazione. Tre gruppi dovrebbero però seguire il dossier:
- Fornitori di software e hardware che vendono in Svizzera. Chi fornisce già l’UE dovrebbe conoscere il calendario del CRA, a cui la LCib si ispira.
- Fornitori di hosting, cloud e servizi IT, per i quali sono previsti nuovi obblighi.
- Gestori di infrastrutture critiche, per cui l’obbligo di segnalazione resta in vigore. La nostra pagina sull’obbligo di segnalazione riassume le regole attuali.
A prescindere dalla regolamentazione, conviene fare il punto: il check rischio cyber evidenzia le lacune. Se una polizza comprenda consulenza legale o supporto nella crisi dipende dal contratto; vedi Assicurazione cyber per PMI, costi e il confronto.