Le PMI svizzere sottovalutano la minaccia aziendale degli attacchi informatici

Per il quinto anno consecutivo, gli incidenti informatici sono considerati il principale rischio aziendale a livello mondiale. Secondo uno studio di VZ VermögensZentrum e della Scuola universitaria professionale di Lucerna, le piccole e medie imprese svizzere continuano a considerare molte di queste minacce un problema che riguarda qualcun altro.

L’avvertimento arriva mentre i rischi informatici superano ampiamente i confini del reparto IT. Un attacco può interrompere la produzione o le vendite, corrompere i dati, danneggiare i sistemi, inquietare la clientela e far scattare obblighi legali. Può inoltre mettere subito sotto pressione la liquidità se l’impresa deve ripristinare l’attività, sostituire le apparecchiature o assorbire le perdite di fatturato. Per una piccola azienda con riserve limitate, un’interruzione prolungata può compromettere la possibilità di continuare a operare.

Lo studio rileva che molte PMI ritengono poco probabile di essere colpite. Questa convinzione le espone al rischio, perché oggi i sistemi digitali sostengono le attività di routine in quasi tutti i settori, dai dati della clientela e dalla contabilità alla logistica e alle comunicazioni. Non occorre essere un’azienda tecnologica per dipendere dalla tecnologia.

La portata mondiale del fenomeno è evidente. Nel 2024, i costi della criminalità informatica sono stati stimati in 9.5 bilioni di dollari, pari a 7.88 bilioni di franchi, una cifra che ne farebbe la terza economia mondiale se la criminalità informatica fosse un Paese.

Nel 2025 le autorità svizzere hanno registrato poco meno di 58’000 reati commessi con mezzi digitali. La cifra non restituisce appieno la portata del problema, poiché lo studio segnala un numero elevato di casi non denunciati. Il tasso di chiarimento è stato del 17.6%, lasciando molte vittime senza una soluzione chiara.

Per le PMI, la mancata denuncia può dipendere dall’incertezza. Un’azienda potrebbe non sapere se una richiesta di pagamento sospetta, un account bloccato o un file scomparso siano il segno di un reato, di un guasto tecnico o di un errore interno. Alcune imprese potrebbero inoltre esitare a rendere noto un incidente per timore di danni alla reputazione o di ripercussioni sui rapporti con la clientela.

Questa incertezza ha conseguenze pratiche. Un’azienda che non registra quanto accaduto potrebbe avere difficoltà a individuare le proprie dipendenze digitali, informare le parti coinvolte o dimostrare di aver reagito in modo responsabile. Potrebbe anche perdere informazioni preziose che aiuterebbero gli inquirenti a collegare i casi.

Lo studio non presenta le statistiche sulla criminalità come una misura completa dell’esposizione al rischio. Sono solo una parte visibile di un quadro più ampio, che comprende i tentativi di attacco, gli incidenti scoperti in ritardo e i casi che non arrivano mai alle autorità. Per le imprese più piccole, il primo passo è quindi semplice ma importante: stabilire chi è responsabile di riconoscere, documentare e segnalare un incidente informatico.

Una PMI deve sapere quali sistemi digitali sono essenziali per la sua attività, prima che uno di essi smetta di funzionare. Lo studio di VZ VermögensZentrum e della Scuola universitaria professionale di Lucerna (HSLU) afferma che le imprese possono gestire più efficacemente i rischi informatici mappando le proprie dipendenze digitali e assegnando responsabilità chiare.

L’esercizio dovrebbe andare oltre i server e i programmi informatici. Un’azienda potrebbe dipendere da un fornitore esterno per i pagamenti, l’archiviazione in cloud, le comunicazioni con la clientela, i salari o la pianificazione della produzione. Potrebbe fare affidamento su un’unica persona che conosce il funzionamento dei sistemi, oppure su un fornitore il cui accesso non è mai stato verificato. Ogni dipendenza costituisce un possibile punto di interruzione e comporta una decisione da prendere durante una crisi.

Lo studio invita le PMI a preparare piani di emergenza e a valutare le conseguenze finanziarie dei diversi incidenti. Ciò significa stimare i costi dei tempi di inattività, del ripristino dei dati, del supporto di specialisti, delle comunicazioni con la clientela e degli eventuali obblighi legali. Significa anche decidere quali rischi evitare, ridurre, accettare o trasferire attraverso un’assicurazione.

Gli avvisi tecnici sono utili solo quando la direzione riesce a collegarli alle attività e alle finanze dell’impresa. Un sistema disattivato è un problema informatico. Una settimana senza ordini, fatture o consegne è un problema aziendale. Le PMI hanno bisogno di piani che affrontino entrambi.

Attualmente, meno del 12% delle imprese svizzere dispone di un’assicurazione contro i rischi informatici. Lo studio indica nella complessità dei prodotti assicurativi uno dei motivi per cui le PMI possono avere difficoltà a confrontare le coperture. Sottolinea inoltre che l’assicurazione non può sostituire la prevenzione né una gestione efficace dei rischi.

Per un titolare, la decisione non consiste semplicemente nello scegliere una polizza da un elenco. La copertura potrebbe dover includere le perdite dovute all’interruzione dell’attività, il recupero dei dati, le spese legali, gli obblighi di notifica e il sostegno di specialisti esterni. Il valore della copertura dipende dai sistemi, dai contratti e dalla clientela dell’impresa, nonché dalla sua capacità di far fronte a un’interruzione prolungata. Una polizza non adeguata a queste realtà può creare un falso senso di sicurezza.

L’assicurazione interviene inoltre dopo che l’impresa ha adottato le precauzioni di base. Prima di offrire una copertura o liquidare un sinistro, i fornitori potrebbero esaminare i controlli degli accessi, le copie di sicurezza, le procedure in caso d’incidente e le responsabilità del personale. Questi requisiti possono aiutare una PMI a individuare i punti deboli, ma non eliminano la necessità di un piano interno.

Il messaggio dello studio è pratico: prima occorre comprendere l’esposizione al rischio, poi decidere cosa prevenire, ridurre, accettare o assicurare. Per molte imprese, questo processo potrebbe rivelare che un investimento contenuto nella preparazione tutela il flusso di cassa in modo più diretto rispetto a una polizza considerata isolatamente.

La sopravvivenza di una PMI può dipendere da decisioni prese prima ancora che si verifichi un incidente. Lo studio di VZ VermögensZentrum e HSLU invita le imprese a trattare il rischio informatico come una questione gestionale, definendo responsabilità precise, piani di emergenza verificati e calcoli finanziari chiari.

Questo approccio è importante in tutta la Svizzera, dove molte imprese più piccole lavorano con team ridotti e mantengono rapporti stretti con la clientela e i fornitori. Un’interruzione può ripercuotersi rapidamente su ordini, salari, consegne e fiducia. Anche quando i sistemi tornano a funzionare, i dati danneggiati o gli obblighi legali poco chiari possono prolungare le conseguenze.

Le priorità immediate sono semplici. La direzione dovrebbe individuare i sistemi essenziali e i fornitori esterni, stabilire chi dirige la risposta a un incidente, predisporre soluzioni di ripristino praticabili e calcolare i costi dei tempi di inattività. Il personale deve inoltre sapere a chi segnalare le attività sospette, prima che un piccolo campanello d’allarme si trasformi in una grave interruzione. Le imprese dovrebbero verificare queste disposizioni, invece di lasciarle in una cartella che nessuno ha mai aperto.

I dati disponibili mostrano perché rimandare è costoso. Nel 2025 in Svizzera sono stati registrati quasi 58’000 reati commessi con mezzi digitali, mentre meno del 12% delle imprese disponeva di un’assicurazione contro i rischi informatici. La preparazione non eliminerà gli attacchi e l’assicurazione non ripristinerà ogni rapporto compromesso. Entrambe fanno parte di un piano di gestione dei rischi più ampio, che considera la resilienza digitale una componente della normale continuità aziendale.