# Nuova legge sulla cybersicurezza in Svizzera: cosa conta ora > SwissGRC spiega cosa ha deciso il Consiglio federale sulla nuova legge sulla cybersicurezza e come i responsabili di governance, rischio e conformità possono prepararsi, per esempio con un inventario di prodotti, dati e servizi cloud. - URL: https://swissgrc.com/it/nuova-legge-cybersicurezza-svizzera-cosa-conta/ - Editore: SwissGRC® - Pubblicato: 2026-09-27 - Ultimo aggiornamento: 2026-09-27 ## Punti chiave - Il 25 settembre 2026 il Consiglio federale ha incaricato il DDPS di elaborare, entro giugno 2027, un progetto posto in consultazione per una nuova legge autonoma sulla cybersicurezza. - La legge sulla cybersicurezza riunisce tre iniziative su prodotti con elementi digitali, dati digitali particolarmente importanti e obblighi dei fornitori di hosting e servizi cloud. - L'obbligo di notifica per gli attacchi informatici alle infrastrutture critiche, in vigore dal 1° aprile 2025, sarà trasferito dalla legge sulla sicurezza delle informazioni alla nuova legge. - I gestori di infrastrutture critiche devono notificare un attacco informatico all'NCSC entro 24 ore dal rilevamento e hanno ulteriori 14 giorni per completare la notifica iniziale. - Dal 1° ottobre 2025 le violazioni dell'obbligo di notifica possono comportare multe fino a CHF 100.000, ma l'NCSC deve prima contattare i gestori inadempienti. - Nei primi sei mesi l'NCSC ha contato 164 notifiche da infrastrutture critiche, con il settore finanziario più colpito. Nella seduta del 25 settembre 2026, il Consiglio federale ha incaricato il DDPS di elaborare, entro giugno 2027, una proposta di consultazione per una nuova legge autonoma sulla cybersicurezza. Il testo della legge non è quindi ancora disponibile, ma il suo orientamento, gli ambiti interessati e parte della prassi operativa possono già essere desunti oggi dal diritto vigente e dalle comunicazioni ufficiali. I responsabili della governance, del rischio e della conformità possono sfruttare il tempo fino alla consultazione per un lavoro preparatorio concreto. In breve Il 25 settembre 2026 il Consiglio federale ha incaricato il DDPS di preparare, entro giugno 2027, un progetto posto in consultazione per una nuova legge sulla cybersicurezza, che riunisce tre iniziative su prodotti, dati e servizi cloud e riprende l’obbligo di notifica esistente per le infrastrutture critiche. Nel frattempo conviene fare il punto sui settori, prodotti, dati e canali di notifica interessati. 24ore Termine per notificare un attacco informatico a un’infrastruttura critica NCSC, informazioni sull’obbligo di notifica 14giorni Termine supplementare per completare una notifica iniziale NCSC, informazioni sull’obbligo di notifica 164notifiche Notifiche da parte di infrastrutture critiche nei primi sei mesi NCSC, comunicato stampa, 29 settembre 2025 ## Cosa ha deciso il Consiglio federale il 25 settembre 2026? Il Consiglio federale ha incaricato il DDPS di presentare un progetto posto in consultazione per una nuova [legge sulla cybersicurezza](https://www.admin.ch/de/newnsb/zX9oNK8tuI-Z) entro giugno 2027; ciò emerge da un comunicato stampa del 24 settembre 2026. La legge è concepita per attuare tre mozioni parlamentari in un unico atto legislativo. Originariamente erano previste a tale scopo modifiche separate della legge sulla sicurezza delle informazioni, ma le tre iniziative riguardano livelli normativi complementari: prodotti, dati e infrastrutture digitali. L’Ufficio federale della cybersicurezza sta già lavorando ai progetti legislativi sottostanti: la ciber-resilienza dei prodotti con elementi digitali, la protezione dei dati digitali particolarmente importanti e il ruolo dei fornitori di hosting e servizi cloud nella sicurezza informatica. ## Quali tre temi riunisce la legge sulla cybersicurezza? La legge sulla cybersicurezza dovrà stabilire requisiti vincolanti per fabbricanti, importatori e distributori di prodotti software e hardware, disciplinare la protezione dei dati digitali particolarmente importanti e definire obblighi per i fornitori di hosting e servizi cloud. Per i prodotti è prevista una base per la sorveglianza del mercato e un divieto di vendita per i prodotti non sicuri. La disciplina si ispira al Cyber Resilience Act europeo ed è concepita per mantenere basso l’onere amministrativo per le imprese. Il Consiglio federale non intende toccare le normative settoriali come la legge sulle telecomunicazioni, l’ordinanza sull’approvvigionamento elettrico o l’ordinanza sugli impianti di telecomunicazione. La legge sulla cybersicurezza è pensata per integrare tali normative con obblighi trasversali, come riportato da Netzwoche. ## Cosa succede all’obbligo di notifica esistente per le infrastrutture critiche? L’obbligo di notifica per gli attacchi informatici alle infrastrutture critiche, in vigore dal 1° aprile 2025, sarà trasferito dalla legge sulla sicurezza delle informazioni alla nuova legge sulla cybersicurezza; la legge sulla sicurezza delle informazioni disciplinerà in futuro solo la sicurezza informatica delle autorità federali. I gestori di infrastrutture critiche devono notificare gli attacchi informatici all’NCSC entro 24 ore dal rilevamento. Se non tutti i dettagli possono essere forniti nella notifica iniziale, sono disponibili ulteriori 14 giorni per completarla. Dal 1° ottobre 2025, le violazioni dell’obbligo di notifica per le infrastrutture critiche possono comportare multe fino a CHF 100.000; tuttavia l’NCSC deve prima contattare i gestori inadempienti, come riportato da SwissCybersecurity.net il 30 settembre 2025. Sei mesi dopo la sua introduzione, l’NCSC ha contato complessivamente 164 notifiche in un [bilancio](https://www.bacs.admin.ch/de/newnsb/gezctyF6KYR7UkCjXBC5s) del 29 settembre 2025, con il settore finanziario più colpito. Parallelamente, il 6 maggio 2026 il Consiglio federale ha incaricato il DDPS di preparare una revisione separata della legge sulla sicurezza delle informazioni; la consultazione a riguardo è prevista per la metà del 2027. Un gruppo di lavoro guidato da SEPOS la sta preparando con il coinvolgimento della Cancelleria federale, dei dipartimenti e di rappresentanti di altre autorità federali e dei cantoni. ## Quale lavoro preparatorio si può già svolgere ora? Anche senza il testo della legge, le imprese possono già verificare se sono interessate, documentare la propria prassi di notifica esistente e chiarire la responsabilità interna per i tre ambiti normativi. Le imprese che hanno già strutturato il proprio obbligo ISMS ai sensi della legge sulla sicurezza delle informazioni entro i termini esistenti possono utilizzare lo stesso approccio sistematico per i nuovi ambiti della legge sulla cybersicurezza. Ciò riguarda in particolare la ripartizione delle responsabilità tra il CISO, la funzione compliance e la direzione. - Verificare se l’impresa stessa rientra in uno dei nove settori delle infrastrutture critiche: autorità, energia, smaltimento rifiuti, finanza, sanità, informazione e comunicazione, alimentazione, sicurezza pubblica e trasporti, come descritto all’articolo 74b capoverso 1 della legge sulla sicurezza delle informazioni. - Documentare i canali di notifica e l’escalation interna per il termine di 24 ore, indipendentemente dal futuro testo della legge. - Preparare un inventario dei prodotti con elementi digitali, dei dati e dei servizi di hosting o cloud che potrebbero in futuro rientrare nella legge sulla cybersicurezza. ## Qual è il prossimo passo concreto? I risk owner dovrebbero preparare una panoramica interna dei prodotti, dati e servizi cloud interessati entro la pubblicazione del progetto posto in consultazione nel giugno 2027, e confrontarla direttamente con il progetto non appena disponibile il testo della legge. Un primo passo consiste nel raccogliere i canali di notifica e i termini esistenti nella prassi dal 1° aprile 2025, integrati con un elenco dei prodotti, delle categorie di dati e dei fornitori di servizi che potrebbero diventare rilevanti nei tre ambiti normativi della legge sulla cybersicurezza. Questa panoramica può essere mantenuta indipendentemente dal testo della legge e confrontata con gli obblighi disponibili nel 2027. Correlato ### Strutturare oggi i canali di notifica La soluzione Information Security mappa i canali di notifica e i termini per le infrastrutture critiche. Può già essere utilizzata oggi per strutturare in modo sistematico i futuri obblighi previsti dalla legge sulla cybersicurezza. [Information Security](https://swissgrc.com/it/information-security-management-isms-software/) Per la pratica ## Punti chiave - Il testo della legge sulla cybersicurezza sarà disponibile solo con il progetto posto in consultazione nel giugno 2027, ma i tre ambiti normativi di prodotti, dati e infrastrutture sono già stati definiti. - L’obbligo di notifica in vigore dal 1° aprile 2025, con il suo termine di 24 ore, sarà trasferito nella legge sulla cybersicurezza; la legge sulla sicurezza delle informazioni resterà in futuro competente solo per le autorità federali. - Le imprese possono già verificare se appartengono a uno dei nove settori delle infrastrutture critiche ai sensi dell’articolo 74b della legge sulla sicurezza delle informazioni. - Un inventario di prodotti, dati e servizi cloud può essere avviato indipendentemente dal testo della legge e confrontato direttamente non appena disponibile. - Le sanzioni per le violazioni dell’obbligo di notifica sono già in vigore dal 1° ottobre 2025, con multe fino a CHF 100.000. FAQ ## Domande frequenti Quando entrerà in vigore la nuova legge sulla cybersicurezza? Non è ancora stata fissata una data specifica di entrata in vigore. Il 25 settembre 2026 il Consiglio federale ha incaricato il DDPS di preparare un progetto posto in consultazione entro giugno 2027. Solo dopo la consultazione, la deliberazione parlamentare ed eventuali termini di referendum la legge sulla cybersicurezza potrà entrare in vigore; una data precisa non può essere indicata al momento. Quali sono i nove settori considerati infrastrutture critiche in Svizzera? L’articolo 74b capoverso 1 della legge sulla sicurezza delle informazioni cita i settori autorità, energia, smaltimento rifiuti, finanza, sanità, informazione e comunicazione, alimentazione, sicurezza pubblica e trasporti. Le imprese in questi ambiti sono già oggi soggette all’obbligo di notifica per gli attacchi informatici e dovrebbero verificare se tale classificazione continuerà ad applicarsi con l’introduzione della legge sulla cybersicurezza. Entro quale termine devono essere notificati gli attacchi informatici? I gestori di infrastrutture critiche devono notificare un attacco informatico all’NCSC entro 24 ore dal rilevamento. Se non tutti i dettagli possono essere forniti nella notifica iniziale, sono disponibili ulteriori 14 giorni per completarla. Questa disciplina, in vigore dal 1° aprile 2025, sarà trasferita nella legge sulla cybersicurezza. Quali multe si applicano per le violazioni dell’obbligo di notifica? Dal 1° ottobre 2025, le violazioni dell’obbligo di notifica possono comportare multe fino a CHF 100.000. Tuttavia l’NCSC deve prima contattare i gestori inadempienti prima che possa essere inflitta una multa, come riportato da SwissCybersecurity.net. In che modo la legge sulla cybersicurezza influisce sulla legge sulla sicurezza delle informazioni? L’obbligo di notifica per le infrastrutture critiche viene trasferito dalla legge sulla sicurezza delle informazioni alla nuova legge sulla cybersicurezza. In futuro, la legge sulla sicurezza delle informazioni disciplinerà solo la sicurezza informatica delle autorità federali. Parallelamente, un gruppo di lavoro guidato da SEPOS sta preparando una revisione separata della legge sulla sicurezza delle informazioni, con la consultazione prevista per la metà del 2027. Fonti 1. [Il Consiglio federale incarica il DDPS di elaborare la legge sulla cybersicurezza](https://www.admin.ch/de/newnsb/zX9oNK8tuI-Z)admin.ch 2. [Primo bilancio dell’obbligo di notifica per le infrastrutture critiche](https://www.bacs.admin.ch/de/newnsb/gezctyF6KYR7UkCjXBC5s)NCSC ## Domande frequenti ### Quando verrà presentata la nuova legge sulla cybersicurezza in Svizzera? Il Consiglio federale ha incaricato il DDPS di preparare un progetto posto in consultazione entro giugno 2027. Il testo della legge non è ancora disponibile e una data di entrata in vigore non è stata fissata. ### Cosa regola la nuova legge sulla cybersicurezza? La legge riunisce tre ambiti: requisiti per fabbricanti, importatori e distributori di prodotti software e hardware, protezione dei dati digitali particolarmente importanti e obblighi per i fornitori di hosting e servizi cloud. Per i prodotti è prevista una base per la sorveglianza del mercato e un divieto di vendita per i prodotti non sicuri. ### Entro quanto tempo va notificato un attacco informatico a un'infrastruttura critica? I gestori devono notificare l'attacco all'NCSC entro 24 ore dal rilevamento. Se nella notifica iniziale mancano dettagli, sono disponibili ulteriori 14 giorni per completarla. ### Quali multe si rischiano per la mancata notifica di un attacco informatico? Dal 1° ottobre 2025 le violazioni dell'obbligo di notifica per le infrastrutture critiche possono comportare multe fino a CHF 100.000. L'NCSC deve però prima contattare i gestori inadempienti. ### Come possono prepararsi le imprese alla legge sulla cybersicurezza? Possono verificare se rientrano in uno dei nove settori delle infrastrutture critiche, documentare canali di notifica ed escalation interna per il termine di 24 ore e preparare un inventario di prodotti con elementi digitali, dati e servizi di hosting o cloud.