Requisiti per il software aziendale nelle PMI svizzere

Fattori scatenanti: perché documentare i requisiti software nelle PMI svizzere

Le spinte provengono dalle vendite e dalla catena di fornitura: le gare d’appalto richiedono la ISO 27001 o almeno una roadmap credibile. Gli audit dei clienti diventano più rigorosi, i questionari sulla sicurezza si trasformano in un compito permanente (techway.ch). Dal 1° settembre 2023 è in vigore la Legge federale sulla protezione dei dati rivista (LPD) con maggiore trasparenza, requisiti di sicurezza più elevati e nuovi obblighi di informazione (mobiliar.ch). Per le aziende con sede in Svizzera questi obblighi sono vincolanti.

Se si aggiungono dati di persone provenienti dall’UE, si applica anche il Regolamento generale sulla protezione dei dati (RGPD) (mobiliar.ch). Questo riguarda, ad esempio, un negozio online o una newsletter indirizzata a clienti in Germania, Francia o Italia.

Con pochi sistemi e fornitori, modelli Word sparsi ed elenchi Excel possono bastare per un po’, soprattutto nelle strutture più piccole. La situazione diventa soggetta a errori al più tardi quando subentrano nuovi fornitori, arrivano richieste di accesso ai dati, è previsto un audit o vengono trattati dati personali sensibili in più sistemi (datenschutzkonform.ch). A quel punto manca la documentazione che attesti quale requisito si applichi, chi lo soddisfi e quale prova sia disponibile.

Dal bisogno a un catalogo di requisiti verificabile

Un catalogo di requisiti per il software aziendale si articola in funzionalità, protezione dei dati, sicurezza dell’informazione e operatività. Per ogni categoria si distinguono i requisiti obbligatori da quelli facoltativi; ogni requisito riceve un ruolo responsabile, una scadenza e un criterio verificabile. I requisiti devono essere coerenti tra loro: un registro delle attività di trattamento deve corrispondere agli accordi sui trattamenti per conto terzi, alle misure tecniche e organizzative, ai concetti di cancellazione, alle dichiarazioni sulla protezione dei dati e alle valutazioni dei rischi. Chi gestisce ogni obbligo in modo isolato aumenta l’onere amministrativo e il rischio di contraddizioni (datenschutzkonform.ch).

Si è rivelata efficace una riga per requisito con identificatore, categoria, priorità (obbligatorio o facoltativo), origine (legge, norma, richiesta del cliente), prova, scadenza e persona responsabile. È verificabile, ad esempio, «Il software tiene un registro delle attività di trattamento collegato agli accordi sui trattamenti per conto terzi»; non è verificabile «Il software deve essere conforme alla protezione dei dati». La verificabilità decide se il catalogo regge durante un audit o in caso di cambio fornitore.

Derivare i requisiti di protezione dei dati dalla LPD e dal RGPD

Dalla LPD rivista rientrano come requisiti obbligatori nel catalogo almeno i seguenti punti: un registro delle attività di trattamento con cui dimostrare la conformità alla protezione dei dati. Si aggiungono gli obblighi di informazione al momento della raccolta dei dati personali e misure di sicurezza tecniche e organizzative adeguate. Rientra anche la formazione del personale per evitare abusi e violazioni dei dati (mobiliar.ch, kmu.admin.ch).

Si aggiunge la nomina di una persona fisica come responsabile della protezione dei dati. Questa persona può essere chiamata a rispondere in caso di violazione della LPD (kmu.admin.ch, Leonie Ritscher, economiesuisse).

Un collegamento con l’UE attiva obblighi aggiuntivi. Chi tratta dati di persone provenienti dall’UE deve rispettare anche il RGPD. Viceversa, la LPD si applica a situazioni avviate all’estero, purché producano effetti in Svizzera (mobiliar.ch).

In Svizzera, il trattamento dei dati personali è nella maggior parte dei casi lecito senza consenso esplicito, purché siano rispettate le prescrizioni legali. Questo vale, ad esempio, se il trattamento è necessario per l’esecuzione di un contratto e ciò viene comunicato (mobiliar.ch). Queste differenze vanno inserite nel catalogo. Da verificare sono inoltre l’obbligo di informazione al momento della raccolta e la definizione dei dati personali particolarmente sensibili (kmu.admin.ch).

Nel catalogo i requisiti base della LPD sono indicati come obbligatori. I punti del RGPD sono obblighi condizionati e si applicano solo in caso di collegamento con l’UE. La persona fisica responsabile della protezione dei dati va indicata nominalmente, così come le scadenze per le richieste di accesso e le cancellazioni.

Sicurezza dell’informazione come fonte di requisiti: ISO 27001 e NIST CSF 2.0

Le PMI definiscono innanzitutto l’ambito di applicazione: quali sedi, sistemi, processi e fornitori deve coprire il sistema di gestione della sicurezza dell’informazione. La ISO/IEC 27001:2022 contiene 93 controlli dell’Allegato A, assegnati alle aree organizzazione, persone, sicurezza fisica e tecnica. Questi controlli servono come checklist per i propri requisiti. Le aziende non devono implementare tutti i controlli, ma devono motivare quali omettono (techway.ch, it-provider.ch). Il periodo transitorio dalla ISO/IEC 27001:2013 alla versione 2022 è scaduto il 31 ottobre 2025; le nuove certificazioni seguono la versione 2022 con 93 controlli dell’Allegato A (techway.ch).

NIST CSF 2.0 serve come lavoro preliminare prima di definire nel dettaglio i requisiti ISO 27001 (techway.ch). Per inquadrare: la ISO 27001 non è una prova legale della conformità alla LPD, ma crea gran parte delle basi organizzative e tecniche di cui le aziende hanno bisogno per la protezione dei dati e la sicurezza dell’informazione (techway.ch). Nel catalogo i controlli sono quindi indicati come requisiti di sicurezza, separati dagli obblighi di protezione dei dati, ma con rimandi incrociati alle misure tecniche e organizzative.

Ancorare prove, scadenze e responsabilità nei requisiti

Ogni requisito riceve una prova, una scadenza e un ruolo responsabile. Deve essere possibile ricostruire chi ha controllato o approvato cosa e quando (datenschutzkonform.ch). Rientrano le scadenze depositate per le richieste di accesso, le cancellazioni e gli audit, nonché l’archiviazione centrale delle prove del SGSI. Una prova centrale del SGSI riduce gli audit ricorrenti dei clienti, perché l’azienda non deve raccogliere nuove domande e documenti per ogni cliente (techway.ch).

I fornitori e i trattamenti per conto terzi confluiscono come righe di requisito proprie: il registro delle attività di trattamento deve corrispondere agli accordi sui trattamenti per conto terzi (datenschutzkonform.ch). Per i fornitori si annotano le prove richieste nell’audit, ad esempio certificati, questionari di sicurezza compilati e indicazioni sull’ambito di applicazione. Così, in caso di cambio fornitore o audit del cliente, resta tracciabile quale requisito è soddisfatto da quale prova.

Idoneità operativa come criterio obbligatorio invece del volume funzionale come marchio di qualità

Nella quotidianità delle PMI conta che lo strumento rimanga utilizzabile senza un proprio reparto protezione dei dati (datenschutzkonform.ch). Deve essere adeguato alla LPD svizzera; i requisiti del RGPD devono poter essere gestiti in modo pulito se esiste un collegamento con l’UE. Risorse umane, direzione e IT devono collaborare con uno sforzo ragionevole e deve essere possibile ricostruire chi ha controllato o approvato cosa e quando (datenschutzkonform.ch). Lingua, ambito giuridico e assistenza sono ulteriori criteri: se il software non è regolamentariamente adeguato alla Svizzera o l’assistenza avviene solo in modo generico dall’estero, sorgono domande proprio lì dove servirebbe chiarezza (datenschutzkonform.ch).

Bisogna mettere in guardia da moduli sovraccarichi e percorsi di approvazione complessi: molti strumenti di protezione dei dati sono costruiti per grandi imprese internazionali, il che si riflette in percorsi di approvazione complessi, moduli sovraccarichi o un forte orientamento verso strutture di gruppo puramente europee (datenschutzkonform.ch). Il volume funzionale da solo non è un marchio di qualità; un ampio catalogo funzioni appare convincente, ma di più non significa automaticamente meglio (datenschutzkonform.ch).

Nel catalogo questi criteri diventano verificabili assegnando a ogni requisito operativo un criterio di verifica, ad esempio «Le risorse umane possono registrare una richiesta di accesso senza il supporto dell’IT» oppure «L’approvazione di una dichiarazione sulla protezione dei dati avviene tramite una persona nominata». L’adempimento viene dimostrato con un caso di test o una dimostrazione documentata.

Stimare realisticamente oneri, costi e tempi

I costi totali per la ISO 27001 consistono in tre blocchi: consulenza esterna, audit di certificazione e onere interno.

Per una piccola PMI con meno di 50 dipendenti, una fonte svizzera indica una consulenza esterna di CHF 8'000–20'000, audit di certificazione di CHF 5'000–10'000 e onere interno di CHF 15'000–30'000. Totale una tantum: CHF 28'000–60'000, più audit di sorveglianza annuali di CHF 3'000–6'000 (it-provider.ch).

Per una PMI media con 50–250 dipendenti si indicano una consulenza esterna di CHF 20'000–50'000, audit di certificazione di CHF 10'000–20'000 e onere interno di CHF 30'000–60'000. Totale una tantum: CHF 60'000–130'000, più audit di sorveglianza annuali di CHF 6'000–15'000 (it-provider.ch).

Nella sintesi della stessa fonte, la certificazione è stimata tipicamente tra CHF 15'000 e CHF 80'000, a seconda delle dimensioni dell’azienda e del lavoro preliminare (it-provider.ch).

La tempistica è generalmente di 12–24 mesi dall’avvio. Per la fase di progetto va pianificato almeno 0,5 posti a tempo pieno; molte PMI sottovalutano l’onere temporale interno (it-provider.ch).

Per le aziende con appalti pubblici, dati sanitari o servizi finanziari la certificazione è di fatto obbligatoria (it-provider.ch).

Importi in franchi affidabili, tariffe giornaliere o giorni lavorativi interni possono essere stimati seriamente solo dopo aver chiarito l’ambito di applicazione e il grado di maturità; numeri apparentemente precisi senza conoscenza della situazione di partenza sono poco utili (techway.ch). Il catalogo di requisiti dovrebbe quindi fissare innanzitutto l’ambito di applicazione e i requisiti obbligatori; la stima dei costi segue successivamente.