L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Adrian Lobsiger, ha ricevuto 455 notifiche di violazione della sicurezza dei dati dall'inizio del 2026. Lo ha dichiarato in un'intervista al settimanale svizzero tedesco SonntagsBlick, ripresa il 25 ottobre 2026 dall'agenzia Keystone-ATS e da SWI swissinfo.ch. Per l'intero 2025, l'Incaricato ne contava 343. Secondo lui, il numero reale di violazioni di dati in Svizzera è probabilmente nettamente più alto.
Che cosa ha annunciato l'Incaricato il 25 ottobre 2026
La cifra di 455 copre le notifiche ricevute dal 1° gennaio 2026 fino all'intervista pubblicata il 25 ottobre. L'anno non è quindi ancora finito, e il totale supera già quello del 2025.
Adrian Lobsiger relativizza subito questa cifra. Ritiene che numerosi casi non gli vengano mai notificati. Le 455 notifiche misurano quindi ciò che arriva sulla sua scrivania, non l'insieme degli incidenti.
L'intervista giunge pochi giorni dopo un caso molto seguito. L'Incaricato ha aperto un'inchiesta formale su PK Softech, il fornitore di software di diverse casse pensioni svizzere. Per il momento l'inchiesta riguarda questo fornitore informatico esterno.
Adrian Lobsiger non esclude di estenderla in seguito a organi federali e a casse pensioni. Non ha fornito altri dettagli, a causa della confidenzialità dell'inchiesta.
Come collocare queste 455 notifiche?
Il confronto con il 2025 mostra un netto aumento. Entrambe le cifre provengono dall'Incaricato, citato da Keystone-ATS.
| Periodo | Notifiche di violazione ricevute dall'IFPDT |
|---|---|
| Intero anno 2025 | 343 |
| 2026, fino all'intervista pubblicata il 25 ottobre | 455 |
Il nostro calcolo: ancora prima della fine dell'anno, il 2026 conta 112 notifiche in più dell'intero 2025. L'aumento supera quindi già il 30%, e mancano ancora due mesi.
Le fonti consultate non forniscono le cifre degli anni precedenti al 2025. Non permettono quindi di dire se la tendenza sia più vecchia.
Che cosa la cifra non dice
Una notifica non è un attacco. La cifra conta le segnalazioni ricevute, non gli incidenti accertati né la loro gravità.
Restano possibili diverse spiegazioni, e le nostre fonti non scelgono tra di esse:
- più incidenti reali;
- organizzazioni che notificano più spesso i propri incidenti;
- attacchi in serie, in cui un solo fornitore colpito comporta più notifiche.
La nostra analisi: quest'ultimo meccanismo non ha nulla di teorico. A fine settembre 2026, l'attacco a un fornitore di software ha colpito la cassa pensioni di Zurigo, e anche la cassa della Posta si diceva coinvolta. Un solo punto debole può così produrre più dossier presso l'Incaricato.
Chi notifica una violazione di dati, e a chi?
In Svizzera, due sportelli federali ricevono segnalazioni, con ruoli diversi. L'Incaricato si occupa della protezione dei dati personali. L'Ufficio federale della cibersicurezza (UFCS) tratta i ciberincidenti dal punto di vista tecnico.
I casi recenti illustrano il primo circuito. PK Softech ha segnalato essa stessa l'attacco all'Incaricato l'8 ottobre 2026. Anche la rivista online Republik ha notificato all'Incaricato il furto dei dati dei suoi utenti.
Il secondo circuito passa dall'UFCS. Per una PMI, la segnalazione a questo ufficio resta volontaria. Dal 1° aprile 2025, i gestori di infrastrutture critiche devono invece segnalargli i loro ciberincidenti.
La nostra analisi: uno stesso attacco può quindi riguardare entrambi gli sportelli. L'UFCS aiuta a contenere l'incidente, mentre l'Incaricato esamina che cosa è successo ai dati personali.
Perché le violazioni si moltiplicano, secondo l'Incaricato
Adrian Lobsiger indica anzitutto un fattore umano. Secondo lui, l'analisi delle cause degli attacchi notificati mostra che il punto debole è raramente la tecnologia. Nella grande maggioranza dei casi, si tratta di un errore umano.
L'Incaricato definisce inoltre «reale» la minaccia legata all'intelligenza artificiale (IA). Non la colloca tuttavia al primo posto tra le cause osservate.
Il suo ufficio sottolinea infine un rischio organizzativo. L'interconnessione dei dati e l'eliminazione dei silos di dati aumentano, secondo lui, il rischio di violazione della sicurezza.
Che cosa cambia per una PMI in Svizzera
Le raccomandazioni dell'Incaricato si traducono in gesti concreti. Chiede di trasmettere solo i dati strettamente necessari. Raccomanda inoltre di lavorare preferibilmente con dati di test anonimizzati.
La nostra analisi: questi due consigli riguardano direttamente gli scambi con i fornitori. Una PMI che affida un archivio clienti a un fornitore può chiedersi che cosa gli invii davvero, e se non basterebbero dati fittizi.
L'errore umano indicato dall'Incaricato rimanda alle misure di base di sicurezza informatica: formare il team contro il phishing, proteggere gli accessi, tenere aggiornati i contatti d'emergenza. Secondo lo studio sulla cibersicurezza delle PMI 2026, solo un terzo circa delle PMI forma regolarmente il proprio personale.
Che cosa non si sa ancora
- La ripartizione delle 455 notifiche per settore, per dimensione dell'organizzazione o per tipo di incidente: l'intervista non la fornisce.
- Le cifre degli anni precedenti al 2025, che permetterebbero di collocare l'aumento su un periodo più lungo.
- La quota di notifiche legate a uno stesso attacco in serie, come quello che ha preso di mira le casse pensioni.
- L'entità dei casi non notificati: l'Incaricato la ritiene importante, senza quantificarla.
- I criteri e il termine esatti previsti dalla legge sulla protezione dei dati (nLPD) per notificare una violazione: le fonti consultate per questo articolo non li precisano.
