Le cifre confermate
Dal 1° aprile 2025, i gestori di infrastrutture critiche interessati devono segnalare all’Ufficio federale della cibersicurezza (UFCS), entro 24 ore dalla scoperta, gli attacchi informatici che soddisfano i criteri di legge.
Il rapporto semestrale pubblicato dall’UFCS il 30 marzo 2026 registra 325 segnalazioni obbligatorie dall’introduzione dell’obbligo fino alla fine del 2025, di cui 145 nel secondo semestre 2025. Nel 2025 l’UFCS ha inoltre ricevuto 64’733 segnalazioni volontarie. Queste cifre riguardano canali diversi e non rappresentano né il numero di attacchi confermati né i sinistri assicurati.
L’obbligo non si applica a tutte le aziende svizzere. La legge sulla sicurezza delle informazioni e l’ordinanza sulla cibersicurezza determinano se un’organizzazione e un incidente concreto rientrano nel campo d’applicazione.
Che cosa richiede il termine di 24 ore
La segnalazione iniziale non deve già contenere tutti i dettagli. Le informazioni mancanti possono in linea di principio essere completate entro 14 giorni; non si dovrebbe quindi attendere la conclusione dell’analisi forense prima della prima segnalazione.
Un processo pratico dovrebbe prevedere:
- una persona responsabile e un sostituto per la segnalazione
- la registrazione dell’ora della scoperta
- la conservazione dei primi fatti sul servizio colpito e sull’impatto
- la verifica parallela di altri obblighi, per esempio verso l’IFPDT o la FINMA
- una scadenza per integrare la segnalazione
Una multa non scatta automaticamente dopo 24 ore
Dal 1° ottobre 2025 sono previste multe fino a CHF 100’000. Secondo l’UFCS, un sospetto di omessa segnalazione porta dapprima a un richiamo dell’obbligo. Se l’organizzazione non reagisce, l’UFCS può emanare una decisione con comminatoria penale. Una denuncia penale può seguire solo se la segnalazione continua a non essere presentata.
Una cyberassicurazione non sostituisce la conformità. A seconda del contratto, possono essere assicurati consulenza legale, analisi forense o supporto nella gestione della crisi. La copertura e l’assicurabilità giuridica dei costi procedurali o delle multe devono essere verificate espressamente nella polizza concreta.