Il 25 settembre 2026 il Consiglio federale ha incaricato il DDPS di elaborare, entro giugno 2027, un progetto di legge federale sulla cyber sicurezza da sottoporre a consultazione.
Una scelta che considero significativa nel percorso svizzero verso una governance integrata della sicurezza digitale.
La futura legge riunirà tre ambiti:
- cyber-resilienza dei prodotti software e hardware;
- protezione dei dati digitali più importanti;
- obblighi di cibersicurezza dei prestatori di servizi cloud e hosting.
Nel nuovo quadro confluirà anche l’obbligo di segnalazione dei cyberattacchi alle infrastrutture critiche, già vin vigore dall’aprile 2025.
Qual è il rapporto con la normativa europea?
La NIS2 rafforza la gestione dei rischi e la segnalazione degli incidenti per i soggetti rientranti nel suo ambito. Il Cyber Resilience Act (CRA) riguarda invece la sicurezza dei prodotti con elementi digitali.
La Svizzera sceglie un proprio percorso legislativo; infatti per la sicurezza dei prodotti, il Consiglio federale indica espressamente il CRA europeo come riferimento, con l’obiettivo di contenere gli oneri per le imprese.
Le aziende attive tra Italia, Unione europea e Svizzera, cosa devono fare?
Diventa sempre più utile coordinare gestione dei rischi, sicurezza dei fornitori e risposta agli incidenti, verificando gli obblighi applicabili in ciascun ordinamento.
Siamo ancora nella fase di elaborazione: la nuova legge non è stata approvata e il mandato non introduce, da solo, nuovi obblighi per le imprese.
Sul versante del trattamento dei dati personali, il quadro di cibersicurezza dovrà coordinarsi con la LPD federale e, per gli enti pubblici cantonali e comunali, con le rispettive leggi cantonali sulla protezione dei dati (LPDP).
Dovranno inoltre essere considerate le indicazioni dell’IFPDT sulla sicurezza dei dati e delle informazioni.
La nuova disciplina cyber non sostituirà questi obblighi, ma li completerà sul piano della gestione dei rischi, delle misure tecniche e organizzative e della risposta agli incidenti.
Per le organizzazioni sarà quindi necessario costruire una governance integrata tra protezione dei dati, sicurezza delle informazioni e cyber sicurezza.
