Un piano di risposta ai ciberattacchi stabilisce in anticipo chi decide, chi allertare, come ripristinare i dati e cosa dire ai clienti. In Svizzera, una piccola o media impresa (PMI) resta responsabile del proprio incidente. L'Ufficio federale della cibersicurezza (UFCS) interviene solo a supporto. Questo documento risponde quindi alla domanda «cosa fare dopo un ciberattacco», comprese le segnalazioni alle autorità.
Questo piano completa le basi della cibersicurezza per le PMI, come gli aggiornamenti e l'autenticazione a due fattori. Non sostituisce la prevenzione: organizza le ore che seguono un attacco. Questo articolo distingue i fatti riportati dalle nostre fonti dalla nostra analisi.
Cifre chiave
- Il 6% delle PMI svizzere ha subito un ciberattacco grave in tre anni, secondo lo studio «Cibersicurezza delle PMI 2026», contro il 4% nel 2024 e nel 2025.
- Il 7% delle PMI è già stato vittima di estorsione, secondo lo stesso studio.
- Nove PMI su dieci effettuano backup, ma solo un quarto ne testa regolarmente il ripristino.
- Il 40% delle PMI sarebbe disposto a segnalare un incidente all'UFCS.
- La linea di picchetto dell'UFCS è attiva 24 ore su 24; gli incidenti vi sono classificati su quattro livelli, da «basso» a «critico».
- Dal 1° aprile 2025, i gestori di infrastrutture critiche devono segnalare i loro ciberincidenti all'UFCS.
Perché una PMI ha bisogno di un piano scritto?
Perché nessuno gestisce l'incidente al suo posto. «In Svizzera, la gestione degli incidenti rientra nella responsabilità propria dell'organizzazione colpita, l'UFCS agisce in via sussidiaria», spiega Roman Hüssy alla rivista PME. È corresponsabile del Govcert, la squadra d'intervento dell'UFCS.
L'ufficio non ha alcun potere di impartire direttive. È l'impresa a scegliere tra un'analisi forense, per capire l'attacco, e misure immediate per contenerlo. La nostra analisi: questa scelta si compie con più serenità se è stata discussa prima dell'incidente.
Questo tipo di piano resta poco diffuso. Secondo lo studio sulla cibersicurezza delle PMI 2026, pubblicato il 22 ottobre 2026, i piani d'emergenza sono nettamente meno frequenti delle misure tecniche. Lo studio non quantifica con precisione la loro quota. Gli audit di sicurezza e il controllo dei fornitori registrano lo stesso ritardo.
Per misurare il proprio punto di partenza, un test di cibersicurezza per PMI offre una prima fotografia della situazione. Le imprese che cercano un quadro più completo possono basarsi sullo standard minimo TIC (tecnologie dell'informazione e della comunicazione) della Confederazione.
Chi fa cosa durante un ciberattacco?
La prima decisione consiste nel nominare una persona responsabile a livello di direzione. Lo studio 2026 ne fa la sua prima pista e osserva che sempre più PMI lo fanno. La cibersicurezza diventa così una questione della direzione, non più soltanto del servizio informatico.
La nostra analisi: un piano utile ripartisce almeno tre ruoli, con nomi e non funzioni vaghe.
- la persona che decide: spegnere un sistema, scegliere l'analisi o il riavvio, sporgere denuncia;
- la persona o il fornitore di servizi che svolge il lavoro tecnico e applica le raccomandazioni ricevute;
- la persona che parla con i collaboratori, i clienti e le autorità.
Quali contatti inserire nel piano?
Un elenco di contatti aggiornato è la parte più semplice del piano, e la più spesso trascurata. Tra gli errori frequenti Roman Hüssy cita dati di contatto obsoleti, che rallentano gli allarmi.
Le nostre fonti permettono di porne la base:
- l'UFCS, raggiungibile tramite un modulo di segnalazione o la sua linea di picchetto 24 ore su 24;
- l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), a Berna, la cui hotline risponde dal lunedì al venerdì dalle 10 alle 11:30, al numero 058 462 43 95;
- i fornitori di servizi informatici e i fornitori di software che detengono dati dell'impresa.
I fornitori di servizi meritano un posto a parte. A fine settembre 2026, un attacco contro un fornitore di software ha permesso di rubare dati della cassa pensioni della Città di Zurigo. Questi dati gli erano stati trasferiti in vista di un cambio del sistema di gestione. La nostra analisi: una PMI deve sapere chi detiene i suoi dati, e chi chiamare presso ciascuno.
Perché testare i propri backup, e non solo farli?
Un backup protegge solo se si può ripristinare in tempo. Secondo lo studio 2026, nove PMI su dieci effettuano backup, ma solo un quarto ne testa regolarmente il ripristino.
«Non basta salvare i dati. Le PMI devono verificare regolarmente se sono in grado di riprendere rapidamente la loro attività dopo un ciberattacco», sottolinea Anu Anthamatten, capoprogetto presso digitalswitzerland.
La posta in gioco si misura in tempo di lavoro. Tra le 44 PMI colpite del campione, l'ingente lavoro di ripristino ricorre 16 volte, quanto il carico emotivo. Il danno finanziario arriva solo dopo, con 10 menzioni.
La nostra analisi: il piano può fissare la frequenza dei test di ripristino e la persona che li svolge. Le nostre fonti non indicano né regole sui backup offline né una frequenza raccomandata.
Cosa fare nelle prime ore dopo un ciberattacco?
Il percorso descritto dall'UFCS inizia con un contatto. L'impresa colpita si rivolge all'ufficio tramite modulo o linea di picchetto. Il Govcert fornisce allora, secondo Roman Hüssy, il primo soccorso e una prima valutazione tecnica, «come un servizio antincendio». L'incidente viene poi classificato in base alla sua gravità.
Le raccomandazioni ricevute devono essere applicate fino in fondo. Roman Hüssy cita la loro attuazione parziale come un errore frequente, perché lascia che gli aggressori si propaghino.
Il caso della rivista online Republik, nel 2026, mostra il costo di un ritardo. Ignoti hanno sfruttato una falla di Metabase, uno strumento di analisi dei dati. «La falla di sicurezza era nota dal 6 agosto, ma non abbiamo adottato in tempo le contromisure necessarie», ha riconosciuto la rivista.
Per i software malevoli, il 6 ottobre 2026 l'UFCS ha pubblicato le misure da adottare in caso di sospetta infezione. La nostra analisi: conviene che il piano rimandi a queste pagine ufficiali piuttosto che ricopiare istruzioni tecniche destinate a cambiare.
Quali segnalazioni fare dopo l'incidente?
Tre procedure ricorrono nei recenti casi svizzeri, e non si rivolgono agli stessi destinatari.
| Procedura | Chi è interessato | Cosa dicono le nostre fonti |
|---|---|---|
| Segnalazione all'UFCS | Qualsiasi impresa; obbligatoria per i gestori di infrastrutture critiche | Volontaria per una PMI; obbligo di segnalare senza indugio dal 1° aprile 2025 per le infrastrutture critiche |
| Notifica all'IFPDT | Impresa i cui dati personali possono essere stati colpiti | Republik e il fornitore PK Softech hanno segnalato il loro incidente all'Incaricato |
| Denuncia penale | Impresa vittima dell'attacco | La cassa pensioni della Città di Zurigo ha sporto denuncia penale |
L'UFCS riceve le segnalazioni volontarie delle imprese e le aiuta a svolgere le procedure necessarie. Per una PMI che non gestisce infrastrutture critiche, questa segnalazione resta facoltativa.
L'Incaricato è l'autorità di vigilanza sulla protezione dei dati. Vigila affinché le imprese private non trattino dati personali in modo illecito. Le sue domande danno un'idea di ciò che una PMI deve essere in grado di documentare.
Esempio datato: PK Softech, fornitore di software di diverse casse pensioni, ha segnalato un attacco all'Incaricato l'8 ottobre 2026. Il 23 ottobre 2026, quest'ultimo ha aperto un'inchiesta formale contro l'impresa. Vuole accertare tre punti:
- i dati personali che le casse avevano affidato al fornitore;
- il quadro giuridico di questi trasferimenti e la sua applicazione nella pratica;
- l'entità delle informazioni rubate.
La nostra analisi: una PMI che tiene un inventario dei propri dati e dei propri fornitori di servizi può rispondere più rapidamente a queste domande. Il piano è il posto giusto per conservarlo.
Come informare i clienti e il personale?
Le persone interessate vogliono anzitutto sapere che cosa funziona ancora. La Città di Zurigo ha indicato che la sua cassa e il versamento delle rendite restavano funzionanti. La cassa pensioni della Posta ha precisato che il patrimonio previdenziale e le rendite non erano a rischio.
Vogliono poi sapere quali dati sono in gioco. La cassa della Posta ha elencato i dati che potevano essere stati colpiti, come il nome, l'indirizzo e il numero d'assicurazione sociale. Republik ha descritto nel dettaglio le categorie consultate e precisato che nessun dato di carte di credito era trapelato.
La nostra analisi: una fuga di dati rende le truffe più credibili. Dati di contatto combinati con un numero IBAN permettono di scrivere un'e-mail fraudolenta molto mirata. Mettere in guardia clienti e collaboratori da questi messaggi trova quindi posto nella comunicazione prevista dal piano.
Anche la tempistica conta. Nel caso delle casse pensioni, spettava a ciascuna cassa informare le persone interessate una volta conclusa la propria analisi.
Cosa non precisano le nostre fonti
- Le condizioni legali e il termine di una notifica all'IFPDT dopo una violazione dei dati.
- Una regola sui backup offline o una frequenza di test raccomandata.
- Un modello ufficiale di piano di risposta destinato alle PMI, o la quota esatta delle PMI che ne dispongono.
Altre risorse si trovano nella rubrica proteggere la propria impresa.
