Segnalare un ciberattacco in 24 ore: la parte tecnica

Chi deve segnalare

La regola sta nella legge sulla sicurezza delle informazioni (LSIn, articoli 74a e seguenti). L'elenco dell'articolo 74b è lungo: Cantoni e Comuni, scuole universitarie, ospedali, aziende dell'energia, acqua e rifiuti, banche e assicurazioni, trasporti, telecomunicazioni, poste, chi rifornisce la popolazione di beni di uso quotidiano. Ci sono anche i fornitori di cloud, i centri di calcolo e le piattaforme di commercio elettronico, se in Svizzera hanno molti utenti o un peso notevole per l'economia digitale.

Una ditta privata fuori da quell'elenco non ha l'obbligo. Può sentirne parlare lo stesso: un Comune o un'azienda elettrica che deve segnalare in 24 ore ha bisogno di sapere subito cosa è successo sul sistema che gli gestite voi.

Termini e sanzioni

• 24 ore dalla scoperta per segnalare all'Ufficio federale della cibersicurezza (UFCS);
• 14 giorni per completare le informazioni mancanti;
• la segnalazione parte dal modulo del Cyber Security Hub, oppure via email se non volete registrarvi;
• fino a 100 000 franchi di multa, dal 1° ottobre 2025, con l'UFCS che prima contatta l'azienda.

La segnalazione deve dire che infrastruttura è stata colpita, il tipo di attacco, come è stato eseguito, che conseguenze ha e come pensate di procedere. Nei primi sei mesi all'UFCS sono arrivate 164 segnalazioni: in testa DDoS (18,1%), hacking (16,1%) e ransomware (12,4%).

Dove si perdono le 24 ore

Di solito nel capire cosa è successo. Se i log stanno solo sul server attaccato, l'attacco se li porta via. Se nessuno riceve un allarme, l'orologio parte la mattina dopo, e un attacco rimasto nascosto per più di 30 giorni va segnalato anche per quel motivo. Poi c'è la domanda più banale: chi ha l'accesso, e chi è reperibile sabato sera?

Cosa faccio io

• un inventario di server, siti, gestionali e accessi da remoto, con chi li gestisce;
• log copiati fuori dal server, così restano leggibili dopo un attacco;
• allarmi su file cambiati e accessi degli amministratori con SitePing;
• backup cifrati separati dal server, con una prova di ripristino datata;
• una procedura di una pagina: chi chiama chi, dove stanno i dati per la segnalazione, chi la invia.

Lavoro su quello che conosco: server Linux, siti, gestionali web. Reti aziendali, firewall e postazioni Windows restano a chi li segue oggi. Se il sito è già stato attaccato, vedete sito WordPress hackerato.

Cosa non faccio

Non decido se la vostra azienda è soggetta all'obbligo e non invio la segnalazione al posto vostro. Questa pagina riassume la legge e le indicazioni della Confederazione lette il 31 ottobre 2026 e non è un parere legale. Se avete una sede anche in Italia, lì vale la NIS2.

Domande frequenti

Sono una piccola azienda: l'obbligo mi riguarda?

Il Portale PMI della Confederazione indica un'esenzione per chi, nei settori critici, ha meno di 50 dipendenti e un fatturato o un bilancio annuo sotto i 10 milioni di franchi. L'ordinanza sulla cibersicurezza può prevedere regole diverse per il vostro settore: se avete un dubbio, chiedete all'UFCS.

Fornisco un software a un ospedale o a un'azienda elettrica. Sono dentro?

Può darsi. L'articolo 74b cita i produttori di hardware e software usati da infrastrutture critiche, quando il prodotto ha accesso per la manutenzione remota o serve per esempio al comando degli impianti, ai dispositivi medici o alla sicurezza informatica. Il vostro caso va controllato sul testo della legge e dell'ordinanza.

Devo segnalare ogni tentativo bloccato dal firewall?

No. L'articolo 74d elenca i casi: funzionamento compromesso, attacco di uno Stato estero, fuga o manipolazione di informazioni, attacco non individuato per più di 30 giorni. Un attacco legato a estorsione, minaccia o coazione va segnalato sempre.

Se sono coinvolti dati personali basta la segnalazione all'UFCS?

No, sono due strade diverse. Con un rischio elevato per le persone serve anche la notifica all'IFPDT prevista dall'articolo 24 della LPD, quanto prima. Banche e assicurazioni hanno inoltre i loro obblighi verso la FINMA.

Se siete in Ticino o nel resto della Svizzera

Lavoro da Rovellasca, in provincia di Como, fra Milano e il confine svizzero, e part-time in un'agenzia di comunicazione in Svizzera. Per un'azienda svizzera ho fatto sito, gestionale e app di AREAVISION.

Per approfondire

• Il servizio: Siti attaccati e sicurezza
• Un lavoro di questo tipo: SitePing
• Altre pagine come questa: Regole da rispettare in Svizzera