Una PMI svizzera può fare un primo test di cibersicurezza, gratuito e rapido, con il Cybersecurity-Check, uno strumento nato dalla strategia nazionale e rivisto nel novembre 2025. Questa autovalutazione mostra in pochi minuti dove l'azienda è esposta e da dove cominciare. Non sostituisce un audit di cibersicurezza, ma aiuta a prepararlo e a fissare le priorità.
Il bisogno è reale: secondo lo studio «PMI Cibersicurezza 2026» della Mobiliare, pubblicato nell'ottobre 2026, molte PMI non dispongono di concetti di sicurezza, piani d'emergenza e audit. Questa pagina tratta soltanto la valutazione. Le misure di protezione vere e proprie sono illustrate nella nostra guida sulle basi della cibersicurezza per le PMI.
Cifre chiave
- Il Cybersecurity-Check esiste dal 2020; la sua versione 4.0 risale al novembre 2025.
- È disponibile in quattro lingue: tedesco, inglese, francese e italiano.
- Il 6% delle PMI interpellate ha subito un ciberattacco con conseguenze gravi in tre anni, contro il 4% nelle edizioni 2024 e 2025 dello studio.
- Tra le PMI con almeno dieci collaboratori, questa quota raggiunge fino al 16%.
- Il 45% delle PMI ritiene la cibersicurezza importante o molto importante, contro il 33% nel 2025.
- Solo il 36% ritiene che le misure di protezione siano facili da attuare.
Che cos'è il Cybersecurity-Check per le PMI?
Il Cybersecurity-Check è uno strumento di autovalutazione destinato alle piccole e medie imprese. La sua promessa sta in una frase: scoprire gratuitamente, in pochi minuti, quanto l'azienda è protetta dai ciberrischi e dove deve intervenire.
Lo strumento ha un'origine pubblica. La sua prima versione è stata sviluppata nel 2020 nell'ambito della Strategia nazionale per la protezione della Svizzera contro i ciberrischi. È stato interamente rielaborato nel novembre 2025, con diversi partner.
Il check si scarica dal sito cybersecurity-check.ch. La versione 4.0 è disponibile in tedesco, inglese, francese e italiano, il che lo rende utilizzabile in tutte le regioni linguistiche.
Che cosa misura un test di cibersicurezza per PMI?
Un check di cibersicurezza aziendale passa in rassegna i punti deboli più comuni. Il sito del Cybersecurity-Check cita quattro cause frequenti di attacchi riusciti contro le PMI:
- sistemi e processi non sufficientemente protetti;
- software e infrastruttura informatica obsoleti;
- l'inganno tramite ingegneria sociale, cioè la manipolazione delle persone;
- una preparazione insufficiente agli incidenti di sicurezza.
Questi quattro assi corrispondono agli attacchi realmente subiti. Nello studio della Mobiliare, le PMI colpite citano soprattutto il phishing, la violazione delle password, i software malevoli e gli attacchi contro reti e server. Ognuna di queste vie ha un ruolo in circa un terzo degli incidenti segnalati.
La nostra analisi: un buon test non si limita quindi alla tecnica. Due dei quattro assi riguardano le persone e l'organizzazione, proprio là dove lo studio individua i ritardi delle PMI.
Test, check o audit di cibersicurezza per PMI: qual è la differenza?
Gli strumenti disponibili non rispondono alla stessa domanda. La tabella riassume ciò che le nostre fonti dicono di ciascuno.
| Strumento | A che cosa serve | Il suo limite |
|---|---|---|
| Cybersecurity-Check | Autovalutare gratuitamente il livello di protezione e individuare i bisogni d'intervento | Si basa sulle risposte dell'azienda stessa |
| Assistente di intelligenza artificiale dello studio «PMI Cibersicurezza 2026» | Rispondere, sulla base dei soli documenti dello studio, alle domande sui suoi risultati e sulle sue raccomandazioni | Non fornisce alcuna consulenza di sicurezza individuale |
| Sito dell'Ufficio federale della cibersicurezza (UFCS) | Seguire gli avvisi, segnalare un incidente o una vulnerabilità | Per una PMI la segnalazione resta facoltativa; l'obbligo riguarda le infrastrutture critiche dal 1° aprile 2025 |
| Audit di cibersicurezza | Esame che lo studio cita tra gli elementi che spesso mancano alle PMI | Le nostre fonti non ne precisano né il contenuto né il costo |
La nostra analisi: il check serve da punto di partenza. Fornisce una prima immagine, che l'azienda può poi confrontare con il parere di uno specialista nel corso di un audit.
Perché una PMI sopravvaluta spesso il proprio livello?
Lo studio della Mobiliare descrive uno scarto tra la resilienza percepita e la resilienza realmente organizzata. Quasi la metà delle PMI si ritiene ben informata sulle minacce che la riguardano. Molte dicono anche di sapere a chi rivolgersi in caso di emergenza.
Eppure i concetti di sicurezza, i piani d'emergenza e gli audit spesso mancano. Secondo lo studio, molte PMI valutano la propria resilienza in base alle conoscenze personali, piuttosto che a una preparazione organizzata.
Presentando lo studio il 22 ottobre 2026, l'UFCS ha riassunto così la constatazione: numerose aziende sono ben protette sul piano tecnico, ma devono ancora progredire sul piano organizzativo. Un test strutturato rende visibile questo scarto, domanda per domanda.
Le minacce, invece, evolvono. Secondo lo studio, l'81% delle PMI si aspetta un aumento delle ciberminacce legate all'intelligenza artificiale. Tuttavia, solo il 29% prevede misure supplementari.
Che cosa fare dei risultati del test?
Il risultato di un test serve anzitutto a classificare i cantieri. I punti deboli organizzativi meritano la stessa attenzione delle falle tecniche, poiché è lì che lo studio individua i ritardi maggiori.
Sul fronte organizzativo, lo studio sottolinea l'utilità di responsabilità chiare, processi definiti e concetti d'emergenza. Marc K. Peter, professore alla Scuola universitaria professionale della Svizzera occidentale (HES-SO), ritiene che la cibersicurezza cominci da una strategia digitale chiara, e non dal firewall.
Sul fronte tecnico, gli aggiornamenti restano prioritari. Un esempio datato: il 21 ottobre 2026 l'UFCS ha raccomandato di installare immediatamente le correzioni di due vulnerabilità critiche in PHP, presente in particolare sui server web.
Gli accessi costituiscono un altro cantiere frequente. Il 19 ottobre 2026 l'UFCS ha pubblicato «Cinque passi per un'autenticazione sicura». Propone una classificazione dei mezzi di autenticazione, come la password, la passkey o la smart card, in base alla sicurezza che offrono.
Infine, il risultato di un test può rivelare che l'azienda non sa chi allertare. L'UFCS riceve le segnalazioni volontarie di ciberincidenti da parte delle aziende e le aiuta nei loro passi. Secondo lo studio, il 40% delle PMI sarebbe pronto a segnalare un incidente di questo tipo.
Il Cybersecurity Hub dell'UFCS è un'altra risorsa, ancora poco utilizzata. Si rivolge anzitutto ai gestori di infrastrutture critiche e ai loro fornitori di servizi, ma anche le PMI possono aderirvi. Secondo lo studio, circa il 7% delle PMI o dei loro fornitori informatici lo utilizza.
Queste risorse e altre misure concrete sono raccolte nella nostra rubrica per proteggere la propria azienda.
Che cosa non si sa ancora
La pagina di presentazione del Cybersecurity-Check non precisa né il numero di domande né il modo in cui viene calcolato il risultato. Le nostre fonti non indicano nemmeno prezzi né un capitolato tipo per un audit di cibersicurezza destinato a una PMI.
Lo studio della Mobiliare si basa su 507 interviste a dirigenti di PMI con da 1 a 49 collaboratori, condotte da YouGov Svizzera dal 24 giugno al 10 luglio 2026. I risultati descrivono ciò che dichiarano le aziende, non un controllo dei loro sistemi.
