{"id":237623,"date":"2026-11-04T09:00:00","date_gmt":"2026-11-04T08:00:00","guid":{"rendered":"https:\/\/www.rister.ch\/?p=237623"},"modified":"2026-11-04T09:01:13","modified_gmt":"2026-11-04T08:01:13","slug":"aprire-societa-sicurezza-informatica-svizzera","status":"publish","type":"post","link":"https:\/\/www.rister.ch\/it\/post\/aprire-societa-sicurezza-informatica-svizzera\/","title":{"rendered":"Aprire una societ\u00e0 di sicurezza informatica in Svizzera: test di intrusione, obbligo di segnalare i ciberattacchi, dati ed esportazioni"},"content":{"rendered":"
\n

Per aprire una societ\u00e0 di sicurezza informatica in Svizzera non serve alcuna licenza: n\u00e9 il Codice penale, n\u00e9 la legge sulla sicurezza delle informazioni, n\u00e9 la legge sulla protezione dei dati sottopongono ad autorizzazione i test di intrusione, un SOC o la gestione degli incidenti. A proteggere la vostra societ\u00e0 \u00e8 l’autorizzazione scritta di ogni cliente prima di un test; a raggiungerla \u00e8 la legge sulla sicurezza delle informazioni, che dal 1\u00b0 aprile 2025 obbliga le infrastrutture critiche, cio\u00e8 molti dei vostri clienti, a segnalare i ciberattacchi entro 24 ore.<\/p>\n<\/div>\n

\n

Indice<\/h3>\n
    \n
  1. Nessuna licenza, titoli facoltativi<\/a><\/li>\n
  2. Test di intrusione e Codice penale<\/a><\/li>\n
  3. Strumenti e password: un reato perseguito d’ufficio<\/a><\/li>\n
  4. SOC e obbligo di segnalare i ciberattacchi<\/a><\/li>\n
  5. La vostra societ\u00e0 come responsabile del trattamento (LPD)<\/a><\/li>\n
  6. Controllo delle esportazioni: beni, non servizi<\/a><\/li>\n
  7. Fondatore straniero, Sagl o SA, IVA<\/a><\/li>\n
  8. Gli errori che espongono la societ\u00e0<\/a><\/li>\n
  9. FAQ<\/a><\/li>\n<\/ol>\n<\/div>\n

    Aprire una societ\u00e0 di sicurezza informatica in Svizzera: nessuna licenza, titoli facoltativi<\/h2>\n

    Nessuna legge federale subordina la vendita di servizi di cibersicurezza a una licenza, a un’omologazione o all’iscrizione in un albo. La legge sulla sicurezza delle informazioni (LSIn) disciplina la segnalazione dei ciberattacchi e il sostegno dell’Ufficio federale della cibersicurezza (UFCS), non l’accesso alla professione.<\/p>\n

    I titoli servono a vendere. Secondo orientation.ch, l’attestato professionale federale di Cyber Security Specialist \u00e8 aperto a chi possiede un AFC in informatica o comunicazione e almeno due anni di pratica nella sicurezza dell’informazione o nella cibersicurezza. Anche la certificazione ISO\/IEC 27001 \u00e8 facoltativa.<\/p>\n

    Vigilanza, protezione di persone e trasporto di valori sono un altro mestiere: il concordato sulle imprese di sicurezza (CES), nel testo ginevrino, riguarda queste attivit\u00e0 fisiche e non menziona l’informatica. Se la vostra offerta include vigilanza o una centrale d’allarme, leggete la nostra guida per aprire una societ\u00e0 di sicurezza in Svizzera<\/a>. Per un SOC puramente informatico quel testo non d\u00e0 risposta: chiedete al Cantone della vostra sede.<\/p>\n

    Test di intrusione e Codice penale: tutto ruota attorno a \u00abindebitamente\u00bb<\/h2>\n

    Il Codice penale non conosce il penetration test. Punisce l’accesso indebito: \u00abChiunque si introduce indebitamente, per mezzo di un dispositivo di trasmissione dei dati, in un sistema altrui per l’elaborazione di dati specialmente protetto contro ogni suo accesso \u00e8 punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria\u00bb (art. 143bis cpv. 1 CP). Ci\u00f2 che separa il test dal reato \u00e8 il consenso del titolare del sistema.<\/p>\n

    L’art. 14 CP ne trae la conseguenza: \u00abChiunque agisce come lo impone o lo consente la legge si comporta lecitamente anche se l’atto in s\u00e9 sarebbe punibile secondo il presente Codice o un’altra legge.\u00bb La legge non offre modelli di autorizzazione: il perimetro lo scrivete voi con il cliente (sistemi, date, tecniche, contatti d’emergenza).<\/p>\n

    \n\n\n\n\n\n\n\n
    Reato del CP<\/th>\nCondotta punita<\/th>\nRischio concreto in un incarico<\/th>\n<\/tr>\n<\/thead>\n
    Accesso indebito, art. 143bis cpv. 1 (a querela di parte)<\/td>\nIntrodursi indebitamente in un sistema altrui specialmente protetto<\/td>\nUn server che non figura nel perimetro firmato<\/td>\n<\/tr>\n
    Danneggiamento di dati, art. 144bis n. 1 (a querela; d’ufficio se il danno \u00e8 considerevole)<\/td>\nCancellare, modificare o rendere inservibili dati, illecitamente<\/td>\nUn test distruttivo non previsto dal contratto<\/td>\n<\/tr>\n
    Sottrazione di dati personali degni di particolare protezione, art. 179novies (a querela)<\/td>\nSottrarre tali dati quando non sono accessibili a chiunque<\/td>\nCartelle cliniche copiate per documentare il rapporto<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    Fonte: Codice penale svizzero (CP), RS 311.0, versione in vigore al 1\u00b0 ottobre 2026.<\/p>\n<\/div>\n

    L’art. 143bis protegge un sistema \u00abaltrui\u00bb. Se l’applicazione del cliente gira presso un hosting o un fornitore di nuvola informatica, il consenso del cliente pu\u00f2 non coprire l’infrastruttura di quel terzo. Per ci\u00f2 che il cliente affitta, chiedete l’accordo scritto del fornitore.<\/p>\n

    Strumenti e password: un reato perseguito d’ufficio<\/h2>\n

    La seconda norma penale guarda ai vostri strumenti. \u00c8 punito \u00abChiunque mette in circolazione o rende accessibili password, programmi o altri dati, sapendo o dovendo presumere che sono utilizzati allo scopo di commettere un reato secondo il capoverso 1\u00bb (art. 143bis cpv. 2 CP). Qui manca la formula \u00aba querela di parte\u00bb: il pubblico ministero procede d’ufficio.<\/p>\n

    Possedere strumenti offensivi per test autorizzati non \u00e8 punito in s\u00e9; metterli a disposizione di chiunque pu\u00f2 esserlo. L’art. 144bis n. 2 CP fa lo stesso per i programmi di danneggiamento dei dati. Mettete per iscritto chi accede agli strumenti e come si distruggono le credenziali a fine incarico.<\/p>\n

    SOC e obbligo di segnalare i ciberattacchi all’UFCS<\/h2>\n

    Dal 1\u00b0 aprile 2025 le infrastrutture critiche devono segnalare i propri ciberattacchi all’UFCS, e dal 1\u00b0 ottobre 2025 sono in vigore le sanzioni. \u00abLa segnalazione deve avvenire entro le 24 ore successive all’individuazione del ciberattacco\u00bb (art. 74e cpv. 1 LSIn). Il comunicato federale del 29 settembre 2025 contava 164 segnalazioni in sei mesi.<\/p>\n

    I clienti di un SOC figurano spesso nell’elenco dell’art. 74b LSIn: scuole universitarie, autorit\u00e0, energia, ospedali dell’elenco cantonale, telecomunicazioni e, per una piazza finanziaria come Lugano, le imprese \u00abche sottostanno alla legge dell’8 novembre 1934 sulle banche, alla legge del 17 dicembre 2004 sulla sorveglianza degli assicuratori o alla legge del 19 giugno 2015 sull’infrastruttura finanziaria\u00bb (lett. e).<\/p>\n

    L’art. 74d LSIn indica quattro casi di segnalazione obbligatoria: l’attacco compromette il funzionamento dell’infrastruttura, comporta una manipolazione o una fuga di informazioni, \u00e8 connesso a estorsione, minaccia o coazione, oppure non \u00e8 stato identificato per un periodo prolungato. L’ordinanza sulla cibersicurezza (OCS) fissa quel periodo: l’incidente \u00absi \u00e8 verificato pi\u00f9 di 90 giorni prima\u00bb (art. 14 cpv. 3 OCS). Se dopo 24 ore mancano informazioni, l’UFCS concede 14 giorni per completare la segnalazione (art. 16 cpv. 1 OCS).<\/p>\n

    Per un SOC, l’art. 17 cpv. 2 OCS apre un servizio da vendere: \u00abUna o pi\u00f9 organizzazioni assoggettate all’obbligo di segnalazione possono decidere di affidare la procedura di segnalazione, singolarmente o collettivamente, a una terza organizzazione.\u00bb Il contratto deve allora dire chi individua l’attacco, chi lo qualifica e chi lo trasmette.<\/p>\n

    \n

    Importante<\/h4>\n

    La multa sino a 100 000 franchi dell’art. 74h LSIn non colpisce direttamente il ritardo nella segnalazione. Punisce chi, intenzionalmente, non ottempera a una decisione dell’UFCS passata in giudicato e intimata sotto la comminatoria di quell’articolo.<\/p>\n<\/div>\n

    Anche la vostra societ\u00e0 pu\u00f2 essere assoggettata per i propri mezzi informatici. L’art. 74b cpv. 1 lett. t LSIn si applica \u00abai fornitori e ai gestori di servizi di nuvole informatiche, motori di ricerca o servizi di sicurezza e fiduciari digitali nonch\u00e9 ai centri di calcolo, sempre che abbiano una sede in Svizzera\u00bb. L’art. 12 cpv. 1 lett. e OCS esenta solo chi non fornisce le proprie prestazioni, in parte o interamente, dietro compenso a favore di terzi. A decidere \u00e8 l’UFCS, che informa sull’assoggettamento e, su richiesta, pronuncia una decisione (art. 74a cpv. 2 LSIn).<\/p>\n

    \n

    La vostra societ\u00e0 di sicurezza informatica in Svizzera<\/p>\n

    Una struttura in ordine prima del primo test<\/p>\n

    Scelta del Cantone e della forma giuridica, scopo sociale, costituzione della Sagl o della SA e iscrizione a registro di commercio, rappresentanza da parte di una persona domiciliata in Svizzera finch\u00e9 vivete all’estero, domiciliazione, contabilit\u00e0 degli incarichi, IVA sulle prestazioni all’estero e salari degli analisti: RISTER\u00ae mette in piedi e amministra la vostra societ\u00e0, cos\u00ec voi potete occuparvi dei clienti.<\/p>\n

    Richiedere un colloquio<\/a>
    \n RISTER \u2013 Fiduciaria a Ginevra, risposta entro un giorno lavorativo.<\/span>\n<\/div>\n

    La vostra societ\u00e0 come responsabile del trattamento ai sensi della LPD<\/h2>\n

    Un SOC che analizza i log o un team di risposta agli incidenti che apre caselle di posta compromesse tratta dati personali per conto del cliente. La legge sulla protezione dei dati (LPD) chiama questa figura responsabile del trattamento: \u00abil privato o l’organo federale che tratta dati personali per conto del titolare del trattamento\u00bb (art. 5 lett. k LPD).<\/p>\n

    Ne derivano quattro obblighi da scrivere nel contratto:<\/p>\n