Attacco informatico: decidere entro 24 ore

Alle 8:17, un team rileva connessioni anomale. Alle 9 non sa ancora se dal sistema siano usciti dati. Il termine normativo, però, potrebbe essere già iniziato. Dal 1° aprile 2025, determinati gestori di infrastrutture critiche devono notificare all’Ufficio federale della cibersicurezza gli attacchi contemplati entro 24 ore dal rilevamento. Attendere una diagnosi perfetta sarebbe il primo errore; notificare senza aver definito il perimetro e il responsabile della decisione, il secondo. Questa analisi segue le prime ore di un incidente: che cosa valutare, chi decide, come gestire le informazioni mancanti e perché la comunicazione incide sulla fiducia commerciale. Mostra poi come uno specialista cyber potrebbe trasformare questa tensione in un’esercitazione di crisi acquistabile e in una relazione continuativa, senza presentare uno scenario come una campagna già realizzata né convertire statistiche ufficiali in dimensioni di mercato. Analisi generale basata sulle fonti ufficiali disponibili al 6 agosto 2026. Non sostituisce una consulenza legale né un’analisi dell’incidente.

L’obbligo svizzero di notificare un attacco informatico aggiunge una decisione normativa alla gestione tecnica di determinati incidenti. Dal 1° aprile 2025, i gestori interessati devono collegare rilevamento, perimetro, effetti osservati, responsabilità e trasmissione all’UFCS entro 24 ore.

Il Parlamento ha adottato la modifica della legge sulla sicurezza delle informazioni il 29 settembre 2023. Il Consiglio federale ha fissato al 1° aprile 2025 l’entrata in vigore della legge riveduta e dell’ordinanza sulla cibersicurezza. La regola riguarda le autorità e le organizzazioni definite come gestori di infrastrutture critiche, fatte salve le eccezioni previste, non indistintamente tutte le imprese.

Come leggere lo schema. Il termine richiede una decisione sufficientemente fondata, non una certezza assoluta. La prima trasmissione può essere completata entro quattordici giorni.

Alternativa testuale. Il team registra l’ora del segnale, valuta perimetro ed effetti e trasmette entro 24 ore se la soglia è superata o l’incertezza non può essere chiarita in tempo. Le informazioni mancanti confluiscono nel dossier definitivo.

Fonti dello schema. UFCS, Informazioni sull’obbligo di notifica e Domande frequenti.

L’UFCS cita, tra gli altri, l’approvvigionamento energetico e di acqua potabile, i trasporti e le amministrazioni cantonali e comunali. Il rapporto annuale 2025 rimanda agli articoli 73 e seguenti della legge sulla sicurezza delle informazioni, all’articolo 74b per le organizzazioni assoggettate e all’ordinanza sulla cibersicurezza per le eccezioni. In caso di dubbio sull’assoggettamento, l’organizzazione può chiedere una decisione all’UFCS. Il nome di un settore, da solo, non basta.

Le 24 ore iniziano con il rilevamento dell’attacco informatico, non al termine dell’indagine tecnica. L’organizzazione deve conservare l’ora del primo segnale attendibile, assegnare subito la valutazione e preparare la notifica anche quando alcune informazioni restano ignote.

«Rilevamento» impone di distinguere il segnale grezzo, il suo riconoscimento come evento di sicurezza e la scoperta di elementi che possono far scattare l’obbligo. Una procedura efficace indica chi collega questi momenti e registra ciò che era noto in ogni fase. Senza un diario cronologico, la decisione viene ricostruita a posteriori senza basi certe.

Gli incidenti superano la soglia di notifica quando riguardano un’organizzazione assoggettata e producono uno degli effetti previsti: compromissione del funzionamento, manipolazione o fuga di informazioni, rilevamento tardivo, ricatto, minaccia o coercizione. Un attacco senza conseguenze sulla funzione critica non comporta automaticamente l’obbligo.

Questa doppia valutazione, dell’organizzazione e poi dell’evento, evita di trasformare ogni allerta in una notifica obbligatoria. Per l’UFCS, un attacco denial-of-service contro un’applicazione non critica non basta automaticamente se i servizi essenziali non sono colpiti e non emerge alcun rischio di propagazione.

Il dossier iniziale deve chiarire quale funzione critica dipende dal sistema colpito, quale effetto è accertato, quali dati potrebbero essere stati manipolati o divulgati, se vi sia estorsione e da quanto tempo l’evento fosse presente. Le risposte possono cambiare; origine e ora devono restare visibili.

La decisione spetta all’organizzazione colpita, anche quando un fornitore la assiste nell’analisi o nella trasmissione. I team tecnici accertano i fatti, le funzioni operative descrivono le conseguenze, la direzione assegna la decisione e il partner prepara le prove senza assumere automaticamente la responsabilità.

In determinati casi un fornitore IT o di servizi gestiti può notificare per conto del cliente, precisa l’UFCS, ma la delega va documentata e la responsabilità dell’organizzazione rimane. Un indirizzo di gruppo non sostituisce un titolare e un supplente reperibile.

L’incertezza va gestita fin dall’allerta come un’informazione da assegnare, non come un motivo per aspettare. Ogni fatto è confermato, probabile o ignoto; a ogni incognita vengono associati un responsabile, la verifica successiva e un effetto esplicito sulla decisione.

L’UFCS indica che una prima comunicazione deve partire entro 24 ore anche con informazioni incomplete. La notifica definitiva può seguire entro quattordici giorni. La rapidità è tutelata purché un’ipotesi non venga presentata come un fatto.

Se la funzione critica è chiaramente colpita, escalation e trasmissione non attendono l’indagine. Se l’effetto è incerto ma gli indizi concordano, l’organizzazione trasmette ciò che sa e documenta le verifiche. Se non è dimostrato alcun legame con la funzione critica, conserva il ragionamento, sorveglia la propagazione e rivaluta nuovi fatti.

Questa disciplina permette di dire a clienti, partner e autorità che cosa è confermato, che cosa si sta proteggendo e quando arriverà il prossimo aggiornamento. Evita il silenzio senza scadenza e rassicurazioni premature da correggere.

Le notifiche ricevute dall’UFCS mostrano che il dispositivo è stato effettivamente utilizzato: dopo sei mesi erano pervenute 164 notifiche obbligatorie e 222 alla fine del 2025. Questi numeri descrivono l’attività di notifica; non misurano tutti gli attacchi né i mandati cyber accessibili.

Il bilancio dei primi sei mesi elencava denial-of-service distribuiti, intrusioni, ransomware, furti di credenziali, fughe di dati e malware. Il rapporto annuale, chiuso a fine dicembre, poneva le intrusioni davanti agli attacchi denial-of-service e registrava soprattutto notifiche da amministrazione pubblica, informazione e comunicazione, finanza e assicurazioni.

Questi dati aiutano a progettare scenari, ma non prevedono quanti potenziali clienti acquisteranno. Servono ancora organizzazioni raggiungibili, livello di preparazione, titolare del budget e capacità di erogazione del partner.

Una notifica ben preparata tutela la fiducia commerciale offrendo una cronologia affidabile, responsabilità nominate e una data per il prossimo aggiornamento. Non dimostra che l’incidente è risolto; dimostra che l’organizzazione sa decidere e comunicare sotto pressione.

Committenti, assicuratori e partner vogliono capire che cosa è stato colpito, quali misure urgenti sono state adottate, chi guida la risposta e quando saranno chiarite le incognite. Il diario delle decisioni collega fatti tecnici e impegni commerciali senza divulgare inutilmente informazioni sensibili.

Altri obblighi possono decorrere in parallelo. L’IFPDT ricorda che il titolare deve notificare quanto prima una violazione che comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali. Su richiesta espressa, il modulo UFCS può inoltrare la notifica anche all’IFPDT o alla FINMA. Soglie, termini e responsabilità restano distinti e vanno verificati nel caso concreto.

La fiducia si mantiene con dichiarazioni precise: ora, perimetro e limiti noti, decisione assegnata e prossimo aggiornamento annunciato.

Il primo acquisto può essere un’esercitazione di crisi circoscritta, che mette alla prova la catena decisionale prima di un incidente reale. Deve produrre scenario, cronometro, diario delle decisioni, elenco degli scostamenti e piano di miglioramento; non vende conformità garantita né assistenza illimitata.

L’offerta non richiede di sostituire subito gli strumenti di sicurezza. Lo specialista osserva il passaggio del segnale dall’esercizio alla funzione operativa, dalla valutazione alla direzione e dalla decisione alla notifica simulata. Il valore sta negli scostamenti visibili: numero irraggiungibile, criterio ambiguo, diario incompleto, supplente assente o comunicazione ai clienti senza responsabile.

Per getfishnet, servono quattro verifiche: nuovi account realmente raggiungibili, partner legittimato e disponibile, prezzo compatibile con il tempo degli esperti e incasso senza implementazione onerosa. Numero di account, prezzo, margine e tempi d’incasso vengono validati sul primo test documentato. Non si rivendicano campagne né ricavi prima di questa prova.

Un sistema di acquisizione individua gli account giusti combinando segnali normativi, ruolo dell’organizzazione, criticità operativa e maturità decisionale. Esclude le imprese fuori perimetro e verifica più canali senza confondere interesse editoriale, incontro qualificato e ricavo incassato.

La ricerca parte dalle categorie ufficiali e si affina con dipendenze critiche, comunicazioni pubbliche, assunzioni in ambito sicurezza, requisiti dei committenti e interlocutori capaci di sostenere un’esercitazione. I canali comprendono ricerca, contenuti, partner settoriali, eventi, reti professionali, e-mail, telefono, messaggi vocali e account strategici.

Come leggere lo schema. Ogni fase prevede un’uscita. Un’organizzazione fuori perimetro, senza decisore o bisogno osservabile non va spinta artificialmente verso una proposta.

Alternativa testuale. Gli account sono individuati mediante segnali difendibili, qualificati per perimetro e bisogno e contattati con un approccio preciso. Solo un colloquio che conferma utilità e sostenibilità conduce a un’offerta.

La relazione prosegue quando nuovi sistemi, fornitori, scenari o requisiti dei clienti richiedono un’altra decisione. Ogni intervento ricorrente deve avere un fattore scatenante, un responsabile e un risultato da consegnare.

Il partner può correggere gli scostamenti, ripetere lo scenario, integrare un nuovo fornitore critico o preparare un requisito del committente. Reperibilità e risposta agli incidenti hanno senso solo con responsabilità, tempi e capacità definiti contrattualmente.

Il monitoraggio distingue colloquio qualificato, proposta accettata, ricavo incassato e continuità legata a un nuovo bisogno. Valore mensile, margine lordo, costo di acquisizione e durata si misurano soltanto sui dossier realmente acquisiti. Né la multa massima di 100 000 franchi né le 222 notifiche ufficiali sostituiscono queste prove.

Gli approfondimenti e le fonti utili distinguono l’obbligo UFCS, la protezione dei dati e la fiducia nei fornitori. L’UFCS documenta perimetro, termini, canali e bilancio 2025; l’IFPDT precisa la gestione delle violazioni ad alto rischio.

Le fonti principali sono UFCS, Informazioni sull’obbligo di notifica, Domande frequenti, Sei mesi di obbligo di notifica e Rapporto annuale 2025; la legge sulla sicurezza delle informazioni e l’ordinanza sulla cibersicurezza pubblicate in Fedlex; IFPDT, Guida concernente la notifica di violazioni della sicurezza dei dati e l’informazione delle persone interessate secondo l’articolo 24 LPD.

L’analisi sulla nuova LPD spiega la soglia legata alle persone interessate. Il mercato IT e cibersicurezza raccoglie le analisi disponibili.

L’analisi conclude che un obbligo di 24 ore può sostenere un’offerta di esercitazione di crisi, ma non dimostra ancora un mercato redditizio. Servono un partner credibile, account raggiungibili, un primo acquisto incassabile e capacità sufficiente dopo la vendita.

Il segnale è documentato; il valore commerciale resta da dimostrare. Il test d’idoneità confronta con il mercato difficoltà di acquisizione, competenza, capacità ed economia. Se le condizioni mancano, l’esito resta negativo; se emergono sinergie, segue un sistema circoscritto, misurabile e affidato ai responsabili giusti.