Lo standard minimo per le tecnologie dell'informazione e della comunicazione (TIC) è il quadro di riferimento della Confederazione in materia di cibersicurezza. Elaborato dall'Ufficio federale per l'approvvigionamento economico del Paese (UFAE), dal marzo 2024 è di competenza dell'Ufficio federale della cibersicurezza (UFCS). Obbligatorio per l'elettricità e il gas, è raccomandato alle altre organizzazioni, PMI comprese.
Per una piccola o media impresa (PMI), serve soprattutto come lista di controllo. L'UFCS lo presenta come una «lista di controllo per la sicurezza tecnica di base». Prolunga così le buone pratiche della cibersicurezza per le PMI con un quadro più strutturato.
Questa pagina spiega da dove viene lo standard, che cosa contiene e come una PMI può servirsene. Distingue i fatti pubblicati dalla Confederazione, le dichiarazioni degli esperti e la nostra analisi.
Che cos'è lo standard minimo TIC?
Lo standard minimo TIC è un quadro di riferimento per la sicurezza informatica destinato a proteggere le infrastrutture critiche dai ciber-rischi. Sono interessati settori vitali come l'elettricità, l'approvvigionamento idrico, i trasporti pubblici o le derrate alimentari.
Il suo punto di partenza è un principio posto dall'UFCS. Ogni impresa od organizzazione deve innanzitutto proteggersi da sé. Ma quando sono in gioco infrastrutture critiche, lo Stato deve vigilare sul loro buon funzionamento.
Questo dovere discende dalla legge del 17 giugno 2016 sull'approvvigionamento del Paese (LAP; RS 531). Secondo l'UFCS, lo standard esprime la volontà dello Stato di proteggere la popolazione, l'economia, le istituzioni e le amministrazioni.
Chi ha pubblicato lo standard minimo TIC, e chi lo gestisce oggi?
Lo standard è nato presso l'UFAE. Questo ufficio ha elaborato misure preventive per rafforzare la resilienza delle infrastrutture informatiche critiche. Ha poi declinato lo standard generale in standard specifici per ciascun settore.
Le competenze sono cambiate con la creazione dell'UFCS, centro di competenza della Confederazione per la cibersicurezza. Dal marzo 2024 è l'UFCS a essere responsabile dello standard minimo TIC.
Per elaborare gli standard settoriali, l'UFCS collabora con le associazioni di categoria dei settori critici interessati. I rami economici partecipano così all'adattamento del quadro di riferimento.
Per chi è obbligatorio lo standard?
Lo standard è una raccomandazione per tutti i gestori di infrastrutture critiche. È vincolante solo per due settori:
- l'elettricità, dal 1° luglio 2024;
- il gas, dal 1° luglio 2025.
Per le altre imprese resta facoltativo. L'UFCS precisa che le aiuta anche a migliorare la propria resilienza informatica. Una PMI di servizi, un negozio o un artigiano possono quindi utilizzarlo liberamente, senza obbligo di conformarvisi.
Che cosa contiene concretamente il quadro di riferimento?
Il quadro di riferimento si compone di diversi documenti pubblicati dall'UFCS. La pagina ufficiale ne propone tre tipi:
- il documento di riferimento «TIC - Standard minimi - 2023», in PDF, messo online il 20 dicembre 2024;
- uno strumento di autovalutazione in formato Excel (revisione 5), pubblicato il 2 giugno 2023;
- standard minimi settoriali.
Gli standard settoriali coprono diversi ambiti. Si tratta dell'approvvigionamento idrico, delle acque di scarico, dell'approvvigionamento di derrate alimentari e di gas. A questi si aggiungono i trasporti pubblici, l'elettricità, lo smaltimento dei rifiuti, il teleriscaldamento e il teleraffreddamento, nonché i beni culturali digitali.
La nostra analisi: lo strumento di autovalutazione è la porta d'ingresso più pratica per una PMI. Permette di misurare a che punto si trova prima di decidere che cosa migliorare.
Come può una PMI applicare lo standard minimo TIC?
Una PMI può partire dalle misure tecniche che l'UFCS collega allo standard minimo TIC. Nella sua pagina dedicata alla protezione di base, l'ufficio ne cita sei:
- censire l'ambiente TIC, ossia sapere quali apparecchi, software e servizi utilizza l'impresa;
- salvare i dati;
- installare gli aggiornamenti di sicurezza;
- utilizzare un antivirus e dei firewall;
- proteggere gli accessi remoti;
- segmentare le reti, affinché un'intrusione non si estenda a tutto il sistema.
La tecnica non basta, insiste l'UFCS. Le misure organizzative devono completarla. L'ufficio cita in particolare la sensibilizzazione del personale, l'autenticazione a più fattori e responsabilità chiare per il cloud e l'informatica esternalizzata.
L'UFCS ne fa un compito della direzione, non un semplice incarico del servizio informatico. È la direzione a decidere dove investire per proteggere i processi critici. Quando una misura è costosa, l'ufficio raccomanda di soppesarne il costo rispetto al rischio di non fare nulla.
Per approfondire, la rubrica proteggere la propria impresa raccoglie le nostre pagine pratiche sul tema.
Cifre chiave
- Marzo 2024: l'UFCS assume la responsabilità dello standard minimo TIC.
- 1° luglio 2024: lo standard diventa vincolante per il settore dell'elettricità.
- 1° luglio 2025: lo diventa per il settore del gas.
- Oltre l'80 % delle PMI svizzere esegue gli aggiornamenti software, secondo lo studio «PMI Cibersicurezza 2026».
- Solo una PMI su quattro verifica di poter ripristinare i propri backup, secondo lo stesso studio.
A che punto sono le PMI svizzere rispetto a questo quadro di riferimento?
Lo studio «PMI Cibersicurezza 2026», condotto dalla Mobiliare con diversi partner, fornisce un quadro della situazione. L'UFCS ne ha diffuso i risultati il 22 ottobre 2026.
Sul piano tecnico, le PMI se la cavano piuttosto bene. Oltre l'80 % installa gli aggiornamenti software e nove su dieci salvano i propri dati. L'autenticazione a più fattori fa parte della quotidianità di numerose imprese.
Il ritardo è organizzativo. Solo un terzo circa forma regolarmente il personale o fa l'inventario dei propri sistemi informatici. Solo una PMI su quattro verifica di poter davvero ripristinare i propri dati in caso di emergenza.
La nostra analisi: l'inventario dei sistemi è proprio la prima misura tecnica legata allo standard minimo TIC. È lì che una PMI ha il maggiore margine di miglioramento.
La posta in gioco resta concreta. «Negli ultimi tre anni, circa 35'000 PMI svizzere hanno subito un ciberattacco», dichiara Jesús Pampín, responsabile del centro di competenza Cyber Risk della Mobiliare.
Un esempio datato: che cosa mostra la falla PHP del 21 ottobre 2026?
Mercoledì 21 ottobre 2026 sono state segnalate due falle critiche in PHP, un linguaggio di programmazione utilizzato da moltissimi siti web. L'UFCS ha raccomandato di aggiornare immediatamente i sistemi interessati.
Queste falle permettevano di prendere il controllo di un sito senza password, secondo la rivista PME. Gli aggressori potevano anche rubare dati o installare software dannosi. Alcuni dettagli erano trapelati prima che la correzione fosse disponibile.
Diversi provider di hosting svizzeri hanno allora bloccato l'accesso ai siti dei loro clienti. Da Cyon, a Basilea, oltre 100'000 siti web sono finiti offline. I clienti dell'editore sangallese Bexio, soprattutto PMI, hanno subito un'interruzione di diverse ore, secondo il portale «Inside Paradeplatz».
La nostra analisi: l'episodio illustra due misure dell'elenco dell'UFCS. Bisogna sapere quali siti e strumenti si basano su PHP, il che presuppone un inventario. E bisogna poter installare rapidamente una correzione.
Quanto può costare una falla a una PMI?
Il costo dipende da ciò che era stato previsto. «Nel migliore dei casi, le imprese sostengono solo i costi di un aggiornamento d'emergenza e di piccoli aggiornamenti software», spiega Nicolas Mayencourt, fondatore e CEO dell'impresa bernese Dreamlab Technologies, a Blick, citato dalla rivista PME.
Un sito offline per ore o giorni comporta perdite di fatturato. Un negozio online non registra più ordini e un fornitore di servizi può perdere prenotazioni.
Lo scenario peggiore è il ricatto dopo un'intrusione. «Si arriva rapidamente a milioni», avverte Nicolas Mayencourt. Secondo lui, in Svizzera ci sono già stati fallimenti dovuti ad attacchi ransomware.
L'esperto ricorda anche che le misure fondamentali «di solito non sono nemmeno particolarmente costose». Cita software aggiornati, backup regolari conservati offline e l'autenticazione a due fattori per i sistemi sensibili. Queste precauzioni impediscono agli aggressori di propagarsi liberamente nella rete.
La nostra analisi: questi consigli coincidono in larga misura con le misure che l'UFCS associa allo standard minimo TIC. Il quadro di riferimento non impedisce ogni attacco, ma limita i danni quando emerge una falla.
Che cosa le nostre fonti non precisano
Le pagine web dell'UFCS non descrivono in dettaglio la struttura interna del documento di riferimento. Il suo contenuto completo figura nel PDF «TIC - Standard minimi - 2023», che non abbiamo analizzato per questa pagina.
Le nostre fonti non indicano nemmeno un budget tipo per una PMI. Né precisano il tempo necessario per compilare lo strumento di autovalutazione.
