Due normative, due approcci, un'unica azienda: chiunque gestisca infrastrutture critiche in Svizzera è tenuto a segnalare gli attacchi informatici all'Ufficio federale per la sicurezza informatica entro 24 ore. Chi opera nell'UE, invece, deve valutare il proprio settore, il numero di dipendenti e i parametri finanziari, ritrovandosi così con una serie di obblighi significativamente più ampia. Molte aziende sono soggette a entrambi i regimi contemporaneamente senza nemmeno rendersene conto.

La differenza non è solo teorica. In Germania, la legge di attuazione della NIS2 è in vigore dal 6 dicembre 2025, senza alcun periodo di transizione; in Austria, gli obblighi sostanziali previsti dalla NISG 2026 entrano in vigore il 1° ottobre 2026; e in Svizzera, le sanzioni per la mancata segnalazione vengono applicate rigorosamente dal 1° ottobre 2025. A partire dall’11 settembre 2026, i produttori di prodotti digitali dovranno far fronte a un ulteriore obbligo di segnalazione ai sensi della legge sulla resilienza informatica.

Questo articolo chiarisce chi è effettivamente interessato, quale ruolo riveste la dimensione dell’azienda, quali scadenze si applicano a quali soggetti e quali componenti tecniche possono essere utilizzate per attuare i requisiti nelle operazioni quotidiane. Informazioni aggiornate ad agosto 2026.

Chi è tenuto a segnalare gli attacchi informatici in Svizzera?

È determinante l’elenco contenuto nell’articolo 74b, capoverso 1, della Legge sulla sicurezza dell’informazione. Esso elenca autorità e organizzazioni dalla A alla U — tra cui università, amministrazioni federali, cantonali e comunali, servizi di fornitura di energia e acqua potabile, strutture sanitarie, aziende postali, ferroviarie, di autobus, di funivie e di navigazione, fornitori di servizi digitali e produttori di hardware e software utilizzati nelle infrastrutture critiche.

Il fattore determinante è la funzione, non la forma giuridica. È inclusa una società privata che si occupa del trattamento dell’acqua potabile; non è necessariamente inclusa un’agenzia governativa impegnata esclusivamente in attività amministrative interne. L’autorità competente per la segnalazione è l’Ufficio federale per la sicurezza informatica (BACS). Questo obbligo è in vigore dal 1° aprile 2025, contestualmente all’Ordinanza sulla sicurezza informatica.

Quali incidenti devono essere segnalati e quali no?

Gli attacchi informatici, ovvero gli incidenti informatici causati intenzionalmente, devono essere segnalati. Un guasto tecnico senza un autore dell’attacco non comporta l’obbligo di segnalazione. La soglia è raggiunta se si verifica una delle seguenti condizioni:

• La capacità operativa dell’infrastruttura critica è compromessa.
• Le informazioni sono state manipolate o sono trapelate.
• L’attacco è rimasto inosservato per un periodo prolungato o era chiaramente inteso a preparare il terreno per ulteriori attacchi.
• Si sono verificati casi di estorsione, minacce o coercizione.

Un attacco a settori che esulano dall’ambito delle operazioni critiche — come il reparto marketing di un’azienda di servizi pubblici — non è soggetto all’obbligo di segnalazione. In pratica, può essere utile un semplice test: se l’organizzazione deve ricorrere a piani di emergenza o se dipendenti e terze parti sono interessati da interruzioni del sistema, l’incidente deve essere segnalato.

Entro quanto tempo deve essere segnalato l’incidente e cosa deve includere la segnalazione?

La segnalazione iniziale deve pervenire al BACS entro 24 ore dalla scoperta. Se in quel momento non sono disponibili tutti i dettagli, si hanno 14 giorni di tempo per fornire le informazioni mancanti. Il conteggio del tempo inizia quando l’incidente viene riconosciuto per la prima volta, non quando si verifica l’attacco stesso: ciò sposta il problema dall’ambito tecnico a quello organizzativo.

Per quanto riguarda il contenuto, la segnalazione deve includere informazioni sull’organizzazione, la natura e lo svolgimento dell’attacco, l’impatto, le misure già adottate e, per quanto noto, i passi successivi. Esistono due opzioni: il modulo online o un account sul Cyber Security Hub. Chiunque aspetti che si verifichi un’emergenza per creare un account perderà ore di cui semplicemente non dispone. La registrazione dovrebbe quindi far parte del vostro piano di preparazione, non essere un’azione intrapresa durante una crisi.

A partire da quale dimensione l’obbligo di segnalazione svizzero non si applica più?

L’articolo 12 dell’Ordinanza sulla sicurezza informatica stabilisce le eccezioni, che sono specifiche per settore piuttosto che generali. Le aziende farmaceutiche sono esentate se impiegano meno di 50 persone nel settore soggetto a segnalazione e il loro fatturato annuo o il totale delle attività in quel settore non supera i 10 milioni di franchi svizzeri. Sono esenti le università con meno di 2'000 studenti, così come le piccole amministrazioni comunali al di sotto di una certa soglia demografica. Soglie distinte si applicano ai settori dell’energia, dei trasporti e ad altri settori.

Il punto di riferimento è sempre l’area soggetta a obbligo di segnalazione, non l’intero gruppo. Un conglomerato può avvalersi di un’esenzione per una divisione aziendale ma non per un’altra. Un’azienda che fornisce sia energia elettrica che teleriscaldamento può avvalersi dell’esenzione solo se l’attacco e i suoi effetti sono limitati all’area aziendale esentata.

Cosa succede se non viene presentata una segnalazione?

Fino al 30 settembre 2025 era in vigore un periodo di tolleranza. Da allora, il BACS ha la facoltà di emettere ordinanze e il mancato rispetto di un’ordinanza giuridicamente vincolante è punibile con multe fino a 100'000 franchi svizzeri. Un dettaglio viene spesso trascurato: la multa ai sensi dell’articolo 74h della Legge sulla sicurezza dell’informazione (ISG) viene inflitta alla persona responsabile, non all’azienda. Ciò comporta un rischio personale per i dirigenti e i responsabili IT.

L’obbligo di segnalazione può essere delegato a un fornitore di servizi informatici. Tuttavia, la responsabilità ricade comunque sul soggetto tenuto a effettuare la segnalazione. Se il terzo non presenta la segnalazione, la responsabilità ricade sul cliente. Pertanto, le organizzazioni che esternalizzano questa funzione dovrebbero definire la catena di segnalazione in un contratto e verificarla almeno una volta all’anno.

In Svizzera esistono normative applicabili alle aziende prive di infrastrutture critiche?

Non l’obbligo di segnalazione previsto dalla LSI. Si applicano tuttavia altri obblighi. Ai sensi dell’articolo 24 della LPD, una violazione della sicurezza dei dati deve essere segnalata all’EDÖB se comporta un rischio elevato per gli interessati. In caso di incidente causato da un ransomware che comporti la fuga di dati personali, potrebbe essere necessaria una doppia segnalazione al BACS e all’EDÖB. Le istituzioni soggette alla vigilanza della FINMA devono inoltre segnalare gli attacchi informatici gravi entro 24 ore come notifica preliminare e formalmente entro 72 ore.

Esistono inoltre obblighi contrattuali. Chi lavora per un operatore soggetto a obblighi di segnalazione si trova sempre più spesso di fronte a requisiti ISG inclusi nei contratti, comprese scadenze più brevi di quelle previste dalla legge. Per i piccoli team che necessitano semplicemente di una solida protezione di base con firewall, gestione delle password e crittografia, una soluzione compatta per l’ufficio è spesso sufficiente.

Kaspersky Small Office Security

Visualizza Kaspersky Small Office Security

Chi rientra nell’ambito di applicazione della direttiva NIS-2 nell’UE?

La valutazione viene condotta in due fasi. Innanzitutto, il settore: l’Allegato 1 copre undici settori ad alta criticità, l’Allegato 2 ne copre altri sette, per un totale di 18 — che spaziano dall’energia, ai trasporti e alla sanità, fino alle infrastrutture digitali, al settore alimentare, a quello chimico, ai rifiuti e alla produzione manifatturiera. Le organizzazioni che non operano in nessuno di questi settori sono escluse.

Segue poi la dimensione, in base alla definizione UE di PMI:

• Struttura critica: almeno 50 dipendenti oppure un fatturato annuo e un totale di attivo che superino entrambi i 10 milioni di euro.
• Entità di particolare importanza: almeno 250 dipendenti oppure un fatturato annuo superiore a 50 milioni di euro e, in aggiunta, un totale di attivo superiore a 43 milioni di euro.

I due criteri principali si escludono a vicenda, mentre le soglie finanziarie sono cumulative. Pertanto, sono sufficienti 60 dipendenti, anche in presenza di un fatturato basso. Al contrario, un fatturato di 80 milioni di euro combinato con un valore basso del totale delle attività non è di per sé sufficiente.

Perché il numero di dipendenti da solo non determina se un’impresa è interessata?

È proprio qui che la maggior parte delle autovalutazioni fallisce. Quattro motivi:

• Se il settore non corrisponde, l’entità non rientra nell’ambito di applicazione; le dimensioni vengono valutate solo in un secondo momento.
• Alcune entità sono soggette alla normativa indipendentemente dalle dimensioni: gestori di infrastrutture critiche, fornitori qualificati di servizi di fiducia, registri di domini di primo livello (TLD), fornitori di servizi DNS, nonché fornitori di servizi di telecomunicazione accessibili al pubblico e gestori di rete.
• L’appartenenza a un gruppo è rilevante. Una controllata con 35 dipendenti e 8 milioni di euro di fatturato può rientrare nell’ambito di applicazione tramite l’entità economica se il gruppo supera le soglie.
• Le diverse aree di attività vengono valutate separatamente. La classificazione più elevata risultante da una qualsiasi delle attività è il fattore determinante.

Chi si limita a considerare l’elenco dei dipendenti giungerà spesso a conclusioni errate, in un senso o nell’altro. L’autovalutazione deve essere documentata, anche se il risultato è negativo. In caso di verifica, una giustificazione chiara e ragionevole ha più valore di una semplice affermazione.

Cosa distingue le istituzioni particolarmente importanti da quelle semplicemente importanti?

Non è l’elenco delle misure, bensì il quadro di vigilanza e sanzioni. Gli enti particolarmente importanti sono soggetti a una vigilanza proattiva: l’autorità può condurre verifiche e richiedere prove senza un motivo specifico. Per gli enti importanti, la vigilanza è basata sugli eventi, ovvero avviene in risposta a segnalazioni o incidenti.

L’ammenda massima per gli enti particolarmente importanti è di 10 milioni di euro o del 2% del fatturato annuo globale; per gli enti importanti, è di 7 milioni di euro o dell’1,4%. In Germania, la mancata registrazione ai sensi dell’articolo 65 del BSIG è punibile separatamente con un’ammenda fino a 500.000 euro. Tecnicamente, entrambe le categorie devono attuare le stesse misure di gestione del rischio: la differenza risiede nel livello di documentazione richiesto.

Quali sono i termini di segnalazione applicabili nell’UE?

La catena di segnalazione si articola in tre fasi ed è strutturata allo stesso modo per tutti gli Stati membri:

• Segnalazione tempestiva entro 24 ore dal momento in cui si viene a conoscenza di un incidente di sicurezza significativo.
• Segnalazione dell’incidente con una valutazione iniziale entro 72 ore.
• Rapporto finale entro un mese; se l’incidente è ancora oggetto di indagine, deve essere presentato prima un rapporto intermedio sullo stato di avanzamento.

I soggetti soggetti agli obblighi di segnalazione sia in Svizzera che nell’UE devono rispettare contemporaneamente due serie di scadenze. Il termine svizzero di 24 ore, con una proroga di 14 giorni, non è perfettamente allineato al quadro normativo dell’UE. Un quadro di segnalazione unificato con linee guida chiare — che specifichino quale incidente debba essere segnalato a quale autorità, con quali contenuti e entro quale termine — previene controversie su chi sia responsabile in caso di emergenza.

Quali misure specifiche richiede la NIS-2?

La legge tedesca BSIG specifica nella Sezione 30 dieci aree che corrispondono nella sostanza all’articolo 21 della direttiva: Analisi dei rischi e politiche di sicurezza, risposta agli incidenti, continuità operativa, compresi backup e gestione delle crisi, sicurezza della catena di approvvigionamento, sicurezza negli appalti e nello sviluppo, valutazione dell’efficacia, formazione e «cyberigiene», crittografia e crittografia, controllo del personale e degli accessi, nonché autenticazione a più fattori e comunicazioni sicure.

L’elenco è formulato deliberatamente in modo da essere tecnologicamente neutro. Ciò che è richiesto è l’adeguatezza misurata in relazione al rischio, alle dimensioni e alle potenziali conseguenze del danno, non un prodotto specifico. L’esperienza dimostra che le organizzazioni che gestiscono un SGSI (Sistema di Gestione della Sicurezza delle Informazioni) in conformità con la norma ISO 27001 soddisfano gran parte di questi requisiti. Nella pratica, le carenze raramente derivano dal concetto stesso, ma piuttosto da tre aspetti: l’autenticazione a più fattori (MFA) non è stata implementata ovunque, i backup non sono stati testati e gli endpoint non sono monitorati a livello centrale.

ESET Small Business Security

Visualizza ESET Small Business Security

Che ruolo svolgono il backup e il ripristino?

La gestione dei backup non è un aspetto secondario in nessuno dei due quadri normativi. Ai sensi della direttiva NIS-2, essa fa esplicitamente parte del mantenimento delle operazioni; in Svizzera, la capacità di ripristino determina se un attacco metta effettivamente a rischio la funzionalità dell’infrastruttura critica. Un’organizzazione che torna operativa dopo due ore sta affrontando un incidente diverso rispetto a una che opera in modalità di emergenza per tre settimane.

Tre domande determinano la qualità di una strategia di backup: esiste almeno una copia situata al di fuori della portata degli account di dominio compromessi? Quando è stato testato per l’ultima volta il processo di ripristino nella sua interezza, e non solo tramite controlli a campione? Esiste una documentazione relativa alla durata del ripristino? Senza una risposta affidabile alla terza domanda, qualsiasi affermazione sulla continuità operativa è mera speculazione. Per le sedi più piccole, una suite con backup su cloud integrato e una panoramica centralizzata dello stato può colmare il divario.

Norton by Symantec Small Business

Acquista Norton by Symantec Small Business

A che punto è l’implementazione in Germania e in Austria?

Germania: La legge sull’attuazione della NIS2 e sul rafforzamento della sicurezza informatica è stata promulgata il 5 dicembre 2025 ed è entrata in vigore il 6 dicembre 2025, senza un periodo di transizione per gli obblighi sostanziali. Il periodo di registrazione di tre mesi previsto dall’articolo 33 della BSIG si è concluso il 6 marzo 2026. Delle circa 29.500 organizzazioni interessate, circa 11.500 si erano registrate entro tale termine, motivo per cui il BSI ha annunciato una proroga fino al 31 luglio 2026. La registrazione avviene tramite il portale del BSI e richiede un certificato organizzativo ELSTER. È possibile effettuarla anche dopo la scadenza ed è comunque consigliabile.

Austria: La NISG 2026 è stata promulgata il 23 dicembre 2025. Gli obblighi sostanziali entrano in vigore il 1° ottobre 2026; la registrazione presso l’Agenzia per la sicurezza informatica deve essere completata entro i tre mesi successivi, ovvero entro la fine di dicembre 2026. Un nuovo requisito è costituito da un’autodichiarazione a tempo determinato da presentare entro dodici mesi dall’entrata in vigore dell’obbligo di registrazione. La Camera di Commercio stima che saranno interessati circa 4.000 soggetti.

Perché avere una sede legale in Svizzera non protegge un’azienda dalla NIS-2?

Perché la direttiva si basa sulla natura dell’attività, non sull’ubicazione della sede centrale. Tre scenari fanno rientrare le aziende svizzere nell’ambito di applicazione della direttiva o le assoggettano ai suoi effetti:

• Una filiale o una succursale in uno Stato membro dell’UE: tale entità giuridica è soggetta alla normativa nazionale di attuazione, purché siano soddisfatti i criteri relativi al settore e alle dimensioni.
• Fornitura di servizi contemplati nell’UE senza una filiale locale: cloud computing, servizi di data center, distribuzione di contenuti, servizi gestiti, sicurezza gestita, mercati online, motori di ricerca e social network. L’articolo 2, paragrafo 3, della direttiva richiede in questo caso la nomina di un rappresentante nell’UE.
• Posizione nella catena di fornitura di un’impresa dell’UE soggetta alla NIS-2: nessun obbligo giuridico diretto, ma requisiti contrattuali di fornire prove.

Il terzo scenario è il più significativo in termini numerici. La NIS 2 viene «esportata» tramite contratti a società che non presenteranno mai direttamente una segnalazione alle autorità.

Cosa comporta la sicurezza della catena di fornitura per i fornitori e i fornitori di servizi IT?

Le imprese soggette alla normativa devono valutare la sicurezza dei propri fornitori diretti e dei fornitori di servizi e garantire che tale aspetto sia disciplinato nei contratti. Per i fornitori, ciò significa che il livello di sicurezza diventa un fattore determinante nell’aggiudicazione degli appalti. Le richieste di prove relative ai cicli di patch, al controllo degli accessi, all’autenticazione a più fattori (MFA), alle procedure di segnalazione degli incidenti e ai tempi di ripristino compaiono ormai regolarmente nelle richieste di offerta.

Chi non è in grado di fornire tali prove perderà i contratti, ben prima che qualsiasi autorità di regolamentazione si interessi alla questione. Al contrario, una documentazione completa può essere utilizzata come argomento di vendita. Un primo passo concreto senza un progetto ISMS completo: un inventario aggiornato delle risorse, l’assegnazione documentata dei diritti di accesso, backup testati in modo verificabile, protezione degli endpoint gestita centralmente e una procedura di segnalazione scritta con soggetti responsabili designati. Ciò copre la maggior parte dei questionari standard per i fornitori.

Quale responsabilità personale ricade sull’alta dirigenza?

In tutti e tre gli ordinamenti giuridici, ci si rivolge direttamente all’alta dirigenza. Ai sensi dell’articolo 38 della BSIG, i consigli di amministrazione devono approvare le misure di gestione dei rischi e supervisionarne l’attuazione; tale obbligo non può essere delegato e si applica la responsabilità personale. La NISG 2026 richiede inoltre, ai sensi dell’articolo 31, che gli organi di gestione partecipino a una formazione specifica in materia di sicurezza informatica. In Svizzera, la sanzione prevista dall’articolo 74h ISG viene inflitta alla persona fisica responsabile.

In pratica, ciò significa che le decisioni relative ai budget per la sicurezza, ai rischi residui accettati e ai risultati degli audit devono essere registrate. Chiunque rinvii l’adozione di misure per motivi di costo dovrebbe documentare tale decisione insieme alla motivazione. Un’approvazione verbale è priva di valore in caso di controversia.

Quali modifiche entreranno in vigore l’11 settembre 2026 a seguito della legge sulla resilienza informatica?

A partire da tale data, entreranno in vigore gli obblighi di segnalazione previsti dalla CRA per i produttori di prodotti con componenti digitali. Le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi devono essere segnalati entro 24 ore come allerta precoce ed entro 72 ore come rapporto dettagliato, contemporaneamente all’ENISA e al CSIRT competente, che in Germania è il CERT-Bund. I termini decorrono dal momento in cui si viene a conoscenza del problema. Gli altri obblighi fondamentali, compresa la marcatura CE, entreranno in vigore l’11 dicembre 2027.

Ciò riguarda un gruppo che si sovrappone solo parzialmente alla direttiva NIS-2: costruttori di macchinari con sistemi di controllo in rete, fornitori di software e app e produttori di dispositivi collegati in rete. I produttori svizzeri che forniscono prodotti all’UE sono soggetti al regolamento sui prodotti, indipendentemente dalla loro sede di attività. La preparazione riguarda il processo piuttosto che la forma: chi individua un exploit attivo, chi decide se segnalarlo e chi presenta la segnalazione entro un giorno lavorativo?

Quale segnalazione va a quale autorità?

In caso di incidente grave, spesso sorgono contemporaneamente più obblighi. Questa ripartizione delle responsabilità dovrebbe essere documentata per iscritto in anticipo:

• Infrastrutture critiche svizzere: BACS, entro 24 ore, con informazioni aggiuntive da fornire entro 14 giorni.
• Dati personali ad alto rischio, Svizzera: Incaricato della protezione dei dati (FDPIC) ai sensi dell’articolo 24 della Legge svizzera sulla protezione dei dati (LPD).
• Dati personali rilevanti per l’UE: autorità di controllo competente, entro 72 ore ai sensi dell’articolo 33 del GDPR.
• Entità NIS 2: autorità nazionale o CSIRT, 24 ore, 72 ore, un mese.
• Enti sottoposti alla vigilanza della FINMA: notifica preliminare entro 24 ore, segnalazione formale entro 72 ore.
• Produttori di prodotti digitali a partire da settembre 2026: ENISA e CSIRT, 24 e 72 ore.

L’errore più comune non è quello di non rispettare la scadenza, ma di presumere che una notifica sostituisca l’altra. Non è così. Per le società finanziarie nell’UE, hanno la precedenza anche i requisiti specifici del settore previsti dal DORA.

Quale soluzione di sicurezza si adatta a quale esigenza?

Per le piccole sedi, i fornitori e gli studi medici privi di un proprio reparto IT, le suite aziendali compatte rappresentano il punto di partenza più pratico: coprono la protezione degli endpoint, i firewall, la difesa dal ransomware e, in una certa misura, il backup e la crittografia, soddisfacendo così diverse delle misure di sicurezza richieste in un unico pacchetto. Il seguente confronto valuta i tre prodotti citati sulla base dei criteri che, di fatto, fanno la differenza negli acquisti orientati alla conformità.

Per quanto riguarda le restrizioni: "Vedi nota" si riferisce a funzionalità il cui ambito varia a seconda dell’edizione, del livello di licenza e della versione, e che devono essere verificate in base alla descrizione attuale del prodotto prima dell’acquisto; ciò vale in particolare per i moduli server, le quote VPN e le console di gestione. Il termine «parziale» si riferisce a un set limitato di funzionalità, come ad esempio una semplice panoramica dello stato anziché una gestione completa delle policy. Tutti e tre i prodotti sono suite per endpoint destinate ad ambienti di piccole dimensioni e non sostituiscono una piattaforma EDR o XDR; le rispettive linee di prodotti aziendali di livello superiore dei produttori sono destinate a organizzazioni particolarmente critiche e ai test di efficacia richiesti. Per quanto riguarda il punto «Utilizzo nelle agenzie governative tedesche e nelle KRITIS», va osservato che il BSI mantiene fino al 2026 l’avviso del 2022 ai sensi della Sezione 7 della BSIG relativo ai prodotti Kaspersky; il produttore contesta tale valutazione. Per le agenzie governative tedesche e gli operatori di infrastrutture critiche, questo rappresenta un fattore di esclusione; per le altre aziende, costituisce una decisione di rischio soggetta a documentazione nell’ambito del processo di valutazione dei fornitori.

Il software di sicurezza è sufficiente per soddisfare i requisiti?

No, e questa aspettativa porta regolarmente a investimenti sbagliati. Entrambe le normative richiedono processi, prove e responsabilità ben definite. Una licenza non crea una catena gerarchica, un quadro basato sui ruoli né una valutazione dell’efficacia.

Tuttavia, la tecnologia svolge un ruolo significativo — e per di più misurabile: la protezione degli endpoint e la sicurezza dei server soddisfano i requisiti di sicurezza della rete e dei sistemi; l’autenticazione a più fattori (MFA) e la gestione delle password garantiscono il controllo degli accessi; il backup e il ripristino testato assicurano la continuità operativa; la crittografia soddisfa i requisiti crittografici; e un programma di aggiornamento del software gestisce la gestione delle vulnerabilità. È opportuno seguire l’ordine inverso: prima chiarire l’ambito di impatto, poi identificare le lacune e solo successivamente procurarsi le soluzioni. Chi acquista prima finisce per pagare due volte: una volta per la licenza e una volta per il consulente che deve recuperare il ritardo sulla documentazione.

Quali misure specifiche dovrebbero adottare le aziende nelle prossime settimane?

Una sequenza che si è dimostrata efficace nella pratica:

1. Elencare le persone giuridiche: quale azienda si trova dove, in quale settore, con quanti dipendenti e quali indicatori chiave?
2. Valutare l’entità dell’impatto per ciascuna entità e per ogni area di attività, e documentare per iscritto le motivazioni alla base dei risultati — anche se le conclusioni sono negative.
3. Completare le registrazioni: portale BSI in Germania, Autorità per la sicurezza informatica in Austria a partire da ottobre 2026, Cyber Security Hub per le entità soggette a obblighi di segnalazione in Svizzera.
4. Sviluppare un piano di segnalazione: condizioni di attivazione, destinatari, scadenze, responsabili e rappresentanza al di fuori dell’orario di lavoro.
5. Effettuare un’analisi delle lacune rispetto alle dieci aree di intervento, includendo un elenco di misure ordinato per priorità e le relative scadenze.
6. Rivedere i contratti con i fornitori di servizi IT per quanto riguarda gli obblighi di segnalazione e i requisiti di sicurezza.
7. Coinvolgere la direzione: approvazioni documentali, formazione e rischi residui accettati.
8. Testare completamente un processo di ripristino e registrare la durata.

Il punto 8 è il più significativo. Dimostra, nell’arco di una sola giornata, quanto sia effettivamente resiliente il resto del sistema.

Titoli suggeriti

• La sicurezza informatica in Svizzera e nell’UE: chi deve segnalare cosa entro il 2026?
• Requisiti di segnalazione ISG e soglie NIS 2: quali obblighi si applicano in base alle dimensioni della vostra azienda
• 24 ore per la segnalazione: scadenze, soglie e responsabilità ai sensi dell’ISG e della NIS-2