La sensibilizzazione dei dipendenti alla cibersicurezza resta il punto debole delle PMI svizzere: solo circa un terzo forma regolarmente il proprio personale, secondo lo studio «Cibersicurezza delle PMI 2026». Eppure il phishing gioca un ruolo in circa un terzo degli incidenti. L'Ufficio federale della cibersicurezza (UFCS) e diversi strumenti svizzeri aiutano a organizzare questa sensibilizzazione al phishing.
Le fonti svizzere convergono su alcune leve. Si tratta di formare regolarmente il personale, di basarsi su truffe reali e recenti e di fissare regole semplici sugli accessi e sui dati. Questa pagina tratta solo della formazione dei team. Gli altri gesti di base figurano nella nostra guida sulla cibersicurezza delle PMI.
Questa pagina distingue i fatti pubblicati dalle fonti, le dichiarazioni degli esperti e la nostra analisi.
Cifre chiave
- Circa un terzo delle PMI svizzere forma regolarmente il proprio personale, secondo lo studio «Cibersicurezza delle PMI 2026».
- Il 6% delle PMI ha subito un ciberattacco grave in tre anni, e fino al 16% tra quelle con almeno dieci collaboratori.
- Il phishing, il furto di password, i software malevoli e gli attacchi contro le reti giocano ciascuno un ruolo in circa un terzo degli incidenti.
- L'81% delle PMI si aspetta un aumento delle ciberminacce legate all'intelligenza artificiale (IA), ma solo il 29% prevede misure supplementari.
- Solo il 36% dei dirigenti ritiene semplici da attuare le misure di protezione.
Perché formare i dipendenti invece di aggiungere uno strumento?
Le PMI svizzere sono piuttosto ben attrezzate sul piano tecnico. Secondo lo studio Cibersicurezza delle PMI 2026, oltre l'80% installa gli aggiornamenti. Nove su dieci fanno backup, e l'autenticazione a più fattori è diffusa.
Il ritardo riguarda l'organizzazione. Solo circa un terzo delle PMI forma regolarmente il proprio personale o tiene un inventario dei propri sistemi. L'indagine si basa su 507 dirigenti di PMI da 1 a 49 collaboratori.
Le persone sono anche una porta d'ingresso nota. Il sito del Cybersecurity-Check cita quattro cause frequenti di attacchi riusciti contro le PMI. Tra queste figura l'inganno tramite ingegneria sociale, cioè la manipolazione delle persone.
L'UFCS va nella stessa direzione. Cita la sensibilizzazione del personale tra le misure organizzative che devono completare la tecnica. L'ufficio ne fa un compito della direzione, non un semplice incarico del servizio informatico.
La nostra analisi: una solida protezione tecnica perde valore se una persona consegna lei stessa un accesso. La formazione mira proprio a questo anello.
Che aspetto ha il phishing che prende di mira una PMI?
Il phishing consiste nell'ingannare una persona con un falso messaggio per ottenerne i dati o gli accessi. I truffatori adattano continuamente i loro scenari. L'UFCS pubblica ogni settimana casi concreti, che mostrano questa evoluzione.
Esempio datato: il 20 ottobre 2026, l'UFCS descriveva una variante legata alle prenotazioni di hotel. Queste campagne miravano soprattutto alle carte di credito. Nelle nuove varianti, i truffatori tentano anche di prendere il controllo di conti TWINT e di e-banking.
Esempio datato: il 13 ottobre 2026, l'ufficio metteva in guardia contro un altro inganno: falsi negozi svizzeri. Esibiscono un dominio .ch, il nome di una città svizzera e una storia commovente. Le note legali o le condizioni generali rivelano tuttavia un'impresa con sede all'estero, con un magazzino in Asia.
L'intelligenza artificiale aggiunge un rischio. Il sito del Cybersecurity-Check, citando il portale PMI della Segreteria di Stato dell'economia (SECO), segnala attacchi basati sull'IA. I deepfake servono ad esempio per tentativi di frode del CEO.
La nostra analisi: queste rassegne settimanali dell'UFCS forniscono materiale gratuito e attuale per una breve riunione di team. Un caso reale parla più di una regola astratta.
Quali regole semplici dare al proprio team?
Le pubblicazioni recenti dell'UFCS permettono di ricavare alcune regole facili da ricordare. La loro formulazione come istruzioni per il team è frutto della nostra analisi.
- Condividere con discernimento. Il Cyber Security Month 2026 dell'UFCS era dedicato all'«oversharing». Una foto, un luogo e un nome, combinati, tracciano un ritratto preciso che un criminale può sfruttare.
- Proteggere i dati di fronte all'IA. Il 16 ottobre 2026, l'UFCS ricordava che inserire senza precauzioni informazioni confidenziali o commerciali in un'IA può portare a una condivisione eccessiva di dati.
- Rafforzare gli accessi. Il 19 ottobre 2026, l'ufficio ha pubblicato «Cinque passi per un'autenticazione sicura». Vi propone una classificazione dei mezzi, come la password, la passkey o la smart card, secondo la sicurezza che offrono.
- Verificare prima di acquistare o pagare. Le note legali e le condizioni generali di un sito possono rivelare una falsa origine svizzera.
- Sapere chi allertare. L'UFCS riceve le segnalazioni volontarie di ciberincidenti delle imprese e le aiuta nei loro passi.
L'ultimo punto conta anche in caso di crisi. Roman Hüssy, corresponsabile del Govcert dell'UFCS, cita i dati di contatto obsoleti tra gli errori frequenti, perché rallentano gli allarmi. La nostra analisi: un elenco aggiornato delle persone da contattare trova posto nella sensibilizzazione.
Formazione, test o label: quali risorse per una PMI svizzera?
Una PMI non ha bisogno di partire da zero. Diverse risorse pubbliche o associative coprono una parte della sensibilizzazione dei dipendenti, senza rispondere alla stessa domanda.
| Risorsa | Chi la promuove | Che cosa offre | Il suo limite |
|---|---|---|---|
| Sito dell'UFCS | Confederazione | Rassegne settimanali delle truffe, allerte, profilo «Imprese e autorità» | La sua pagina iniziale non descrive un programma di formazione |
| Cybersecurity-Check | Strumento nato dalla strategia nazionale, versione 4.0 di novembre 2025 | Autovalutazione gratuita in pochi minuti | Si basa sulle risposte dell'impresa stessa |
| Standard minimo TIC | UFCS | Cita la sensibilizzazione del personale tra le misure organizzative | Facoltativo per una PMI |
| Label Cyber-Safe | Associazione svizzera per il label di cibersicurezza (ASLaC), dal 2018 | Analisi della situazione, piano d'azione e verifica da parte di un auditor | Né prezzo né durata pubblicati sulla sua pagina iniziale |
Il test di cibersicurezza per PMI gratuito dà una prima immagine del livello di protezione. Lo standard minimo TIC serve da lista di controllo più strutturata.
Il label Cyber Safe aggiunge uno sguardo esterno. Secondo il suo sito, 250 PMI e 200 comuni svizzeri lo hanno ottenuto. Aurélie Tulot, sindaca di Roche, ritiene che il percorso sviluppi «la presa di coscienza, la formazione dei collaboratori».
Chi deve farsi carico della sensibilizzazione in azienda?
La sensibilizzazione diventa una questione di direzione. Lo studio 2026 rileva che un numero crescente di PMI designa un responsabile della cibersicurezza. Tra le piste tratte dallo studio figura la nomina di un responsabile a livello di direzione.
«La cibersicurezza non comincia dal firewall, ma da una strategia digitale chiara», ritiene Marc K. Peter, professore alla HES-SO Valais-Wallis e capo del progetto di studio.
La regolarità conta quanto l'avvio. Le truffe «continuano a evolvere», osserva l'UFCS a proposito delle false prenotazioni di hotel. Anche i requisiti del label Cyber-Safe evolvono da una sessione all'altra, secondo Jean Bourgeois, presidente dell'AUBEP.
Il rinnovo fa avanzare la riflessione. Per Yves Chardonnens Cook, direttore della Fondazione per la formazione professionale e continua (FFPC), ha aiutato a integrare le buone pratiche nel quotidiano. Ha anche aperto una riflessione sulle informazioni sensibili trasmesse all'IA.
Altre pagine pratiche figurano nella nostra rubrica proteggere la propria azienda.
Ciò che non si sa ancora
- Le nostre fonti non descrivono né il metodo, né la frequenza, né il costo di una simulazione di phishing per una PMI.
- Il sito Cyber-Safe indica oltre 25'000 e-mail di phishing inviate, senza precisare in quale contesto.
- Nessuna fonte consultata misura l'effetto di una formazione sul numero di incidenti.
- Lo studio 2026 si basa su 507 interviste condotte da YouGov Svizzera dal 24 giugno al 10 luglio 2026. Descrive ciò che dichiarano le imprese, non un controllo delle loro pratiche.
Fonti
- Ufficio federale della cibersicurezza (UFCS)
- Cyber-Safe, il label svizzero di cibersicurezza
- Cybersecurity-Check für KMU
- Studio «Cibersicurezza delle PMI 2026» della Mobiliare e dei suoi partner, secondo 2clics.com
