Pubblicato il 20 luglio 2026
Security Awareness Training in Svizzera: obbligo o scelta?
Cosa richiede davvero la legge
La legge sulla protezione dei dati rivista (nLPD) non impone esplicitamente una formazione anti-phishing. L'art. 8 LPD richiede tuttavia a ogni responsabile «misure tecniche e organizzative adeguate» per proteggere i dati personali da accessi non autorizzati. Poiché il phishing è di gran lunga il punto d'ingresso più frequente per una fuga di dati, la sensibilizzazione dei collaboratori rientra, per molti consulenti legali e in materia di protezione dei dati, tra queste misure – anche se la legge non usa mai la parola «formazione».
Dove diventa di fatto un obbligo: certificazioni e audit
Chi punta a ottenere o mantiene una certificazione ISO 27001 non può fare a meno di misure di security awareness: l'allegato A della norma (controllo A.6.3, in precedenza A.7.2.2) richiede esplicitamente un programma di sensibilizzazione per i collaboratori, con prova che sia stato effettivamente svolto. Anche negli audit dei clienti in ambito B2B – ad esempio quando un grande committente verifica la propria catena di fornitura – la domanda su test di phishing documentati fa ormai parte del catalogo standard.
Le assicurazioni cyber lo chiedono già da tempo
Una quota crescente di assicuratori cyber richiede, alla stipula del contratto o al più tardi in caso di sinistro, una prova delle misure di sensibilizzazione svolte. In assenza di tale prova, l'obbligo di prestazione dell'assicurazione può essere limitato in caso di danno, oppure il premio aumentato – un aspetto sempre più spesso richiesto esplicitamente nelle trattative contrattuali.
Cosa conta come prova – e cosa no
Una presentazione svolta una tantum tre anni fa o un PDF inviato in massa e mai letto non costituisce, in pratica, una prova solida. Ciò che conta sono esercitazioni ricorrenti e documentate con un progresso misurabile – idealmente con una marca temporale e una valutazione comprensibile per team o reparto, senza esporre singolarmente i collaboratori.
La differenza tra adempiere un obbligo e avere un impatto reale
Anche se il proprio settore o la propria assicurazione non richiedono (ancora) una prova esplicita, il rischio reale rimane: secondo i rapporti ricorrenti dell'NCSC, il phishing è una delle vie più frequenti attraverso cui le aziende svizzere vengono compromesse. Una prova che esiste solo sulla carta non protegge nessuno – ciò che conta è che la formazione cambi realmente il comportamento.
Il punto di partenza più semplice
PhishingRadar offre esattamente questo duplice vantaggio: simulazioni realistiche e ricorrenti per un progresso di apprendimento reale, e una prova limitata nel tempo e verificabile pubblicamente per ogni collaboratore, utile per audit, assicurazioni e richieste dei clienti. Una prova gratuita mostra in pochi minuti come funziona nella pratica.
Metta alla prova il suo team oggi stesso
Provi l'accesso demo gratuito oppure registri direttamente la sua azienda.