L’UFCS inasprisce i termini di segnalazione

L’Ufficio federale della cibersicurezza (BACS) aveva inizialmente introdotto l’obbligo di segnalazione per gli attacchi informatici alle infrastrutture critiche in modo collaborativo, tollerando le difficoltà iniziali. Con la fine di questa fase transitoria a metà 2026, la rivista specializzata sidd.swiss annuncia nella sua analisi dell’obbligo di segnalazione NCSC/BACS un’applicazione più rigorosa, in particolare per le violazioni ripetute e le segnalazioni divenute note solo in ritardo. Per le aziende emerge in primo piano una domanda: quale sequenza temporale devono documentare senza lacune in caso di emergenza.

Cosa cambia al BACS a partire da metà 2026?

Dopo la fine della fase transitoria dell’autorità, il BACS passa dalla sensibilizzazione a un’applicazione più rigorosa, con particolare attenzione alle violazioni ripetute e alle segnalazioni tardive.

La base legale è la legge federale sulla sicurezza delle informazioni, il cui contributo al rafforzamento della resilienza digitale della Confederazione ancora l’obbligo di segnalazione per i gestori di infrastrutture critiche. Nei mesi successivi alla sua introduzione, il BACS ha tratto un bilancio positivo: i gestori hanno segnalato gli attacchi informatici in tempo, entro 24 ore, come rilevato dall’autorità nella sua dichiarazione sui sei mesi dell’obbligo di segnalazione. In totale sono state ricevute 164 segnalazioni durante questo periodo, come indicato dal BACS nella stessa comunicazione.

Chi viola l’obbligo di segnalazione deve, secondo il BACS, attendersi una multa fino a 100.000 CHF, fermo restando che l’autorità contatta prima l’organizzazione interessata prima di imporre una sanzione. Con la fine della fase transitoria, sidd.swiss si attende nella sua analisi una linea più severa, soprattutto per le violazioni ripetute e per le segnalazioni divenute note solo attraverso la copertura mediatica.

Da quando inizia a decorrere il termine di segnalazione?

Ciò che conta è il momento in cui l’attacco è diventato noto, non il completamento dell’indagine forense.

sidd.swiss afferma nella sua analisi pratica dell’obbligo di segnalazione entro 24 ore che il termine inizia a decorrere dal momento della scoperta, non dal momento originario dell’attacco. Per le aziende, la domanda decisiva si sposta quindi dalla tecnologia all’organizzazione: da quale momento un incidente si considera sufficientemente identificato. Una volta raggiunta questa soglia, inizia a decorrere il termine di 24 ore per la segnalazione iniziale al BACS, come stabilito dall’autorità nelle sue informazioni sull’obbligo di segnalazione.

Chi attende un’indagine forense completa avrà, di regola, già superato il termine. Il BACS si attende esplicitamente una valutazione iniziale strutturata, non un’indagine forense conclusa. I dettagli mancanti possono essere aggiunti entro 14 giorni in una segnalazione di follow-up, come indicato dal BACS nella sua scheda informativa sull’obbligo di segnalazione.

Quali momenti temporali deve documentare un’azienda?

Devono essere verificabili almeno quattro momenti temporali: individuazione, escalation interna, segnalazione iniziale e segnalazione di follow-up.

Senza momenti temporali documentati, è difficile provare a posteriori che una segnalazione sia stata effettuata in tempo. Il BACS richiede nella segnalazione stessa indicazioni sulla data e sull’ora dell’individuazione, così come dell’attacco. Tali indicazioni hanno senso solo se derivano da una registrazione interna continua, piuttosto che essere ricostruite successivamente.

Quanto possa diventare impegnativo un percorso probatorio completo su più anni lo dimostra la revisione di una lunga indagine di vigilanza nel caso della multa a UBS.

• Momento del primo indizio di un incidente
• Momento della scoperta da parte dell’unità responsabile
• Momento dell’escalation interna verso la direzione e le persone autorizzate a segnalare
• Momento della segnalazione iniziale al BACS, al più tardi 24 ore dopo la scoperta
• Momento della segnalazione di follow-up con dettagli completi, al più tardi 14 giorni dopo

In cosa differisce il termine BACS dagli altri obblighi di segnalazione?

Le aziende soggette a più regolamentazioni devono tenere sotto controllo più scadenze contemporaneamente; il termine di 24 ore del BACS è solo una di esse.

Gli istituti finanziari regolamentati conoscono già una logica simile dalla prassi di vigilanza della FINMA: per gli incidenti gravi, l’autorità di vigilanza si attende una segnalazione iniziale entro 24 ore e una segnalazione di follow-up entro 72 ore. L’obbligo di segnalazione al BACS si applica in aggiunta a questo obbligo di vigilanza, ma non lo sostituisce.

Per i produttori di prodotti con elementi digitali, si aggiunge un ulteriore obbligo di segnalazione a partire dall’11 settembre 2026: da questa data, il Cyber Resilience Act dell’UE richiede la segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti di sicurezza gravi. Un articolo separato esamina dove permangono ancora lacune concrete in questi obblighi di segnalazione del CRA.

Qualsiasi azienda che non abbia chiaramente determinato se si qualifica come gestore di infrastrutture critiche o come entità soggetta a NIS2 rimane indietro su ciascuno di questi termini. Quanto sia rilevante questa incertezza nella pratica lo dimostra il divario di registrazione che molte aziende colmano solo dopo un’autovalutazione successiva.

Qual è il primo passo concreto verso una conformità dimostrabile?

Il primo passo verificabile è un rapporto di test documentato che ripercorre l’intera sequenza temporale dall’individuazione alla segnalazione di follow-up.

Le aziende dovrebbero eseguire, nel trimestre in corso, un rapporto di test nel proprio playbook interno e registrare tutti e quattro i momenti temporali: individuazione, escalation, segnalazione iniziale e segnalazione di follow-up. La persona responsabile della segnalazione, sia essa il CISO o il responsabile della sicurezza delle informazioni, dovrebbe essere nominata per iscritto e dotata delle competenze necessarie. Questo esercizio fornisce la base per presentare al BACS, in caso di emergenza, una sequenza temporale completa e verificabile.