Ciberincidente presso la RUAG MRO: il DDPS conclude la verifica e raccomanda ulteriori misure

Il 9 e il 10 ottobre 2025 presso la RUAG LLC, una filiale della RUAG MRO Holding SA, è stato rilevato un attacco ransomware da parte del gruppo di hacker AKIRA. Su incarico del capo del Dipartimento federale della difesa, della protezione della popolazione e dello sport (DDPS), il DDPS ha analizzato il ciberincidente. In particolare, è stato verificato se, decidendo di pagare un riscatto, l’azienda ha agito in modo conforme al diritto e ha rispettato i propri obblighi nei confronti della Confederazione in qualità di ente proprietario.

Dall’analisi emerge che prima di pagare la RUAG MRO aveva verificato la conformità giuridica di un pagamento del riscatto secondo il diritto statunitense applicabile. In quanto società anonima di diritto privato, la RUAG MRO è responsabile delle proprie decisioni aziendali operative. La decisione relativa al pagamento del riscatto era quindi di competenza degli organi aziendali. Per questo motivo non era necessaria una previa autorizzazione da parte della Confederazione in qualità di ente proprietario.

Allo stesso tempo la verifica sottolinea che sarebbe stato opportuno fornire informazioni in modo coordinato alla Confederazione in qualità di ente proprietario. Gli obiettivi strategici del Consiglio federale per la RUAG MRO prevedono che l’ente proprietario venga informato prima di una comunicazione al pubblico.

La verifica mostra inoltre che la ponderazione delle opportunità e dei rischi alla base della decisione della RUAG MRO era incentrata principalmente su considerazioni di natura giuridica ed economica. Secondo la valutazione del DDPS, le ripercussioni politiche e quelle relative alla reputazione nonché altri interessi sovraordinati non sono stati presi in considerazione in modo sufficiente. Il DDPS si aspetta che la RUAG MRO tenga maggiormente conto di questi aspetti durante la ponderazione.

A sua volta la RUAG MRO ha analizzato l’incidente, ha avviato diverse misure di miglioramento e sta lavorando all’eliminazione delle vulnerabilità che ha individuato (processi di escalation presso le filiali, governance dell’informatica in collaborazione con il responsabile dell’informatica della RUAG MRO, processi relativi alla comunicazione di crisi e requisiti minimi in materia di sicurezza informatica). Il DDPS accoglie con favore queste misure e ha incaricato la RUAG MRO di proseguirne l’attuazione e di presentare un rapporto al riguardo agli enti proprietari Segreteria generale del DDPS (SG-DDPS) e Amministrazione federale delle finanze (AFF).

Al fine di evitare situazioni simili in futuro, la Confederazione, in qualità di ente proprietario, ha formulato ulteriori raccomandazioni per la RUAG MRO, che dovrà quindi rivedere, in collaborazione con l’Ufficio federale della cibersicurezza (UFCS), le proprie misure di protezione e i processi, eliminare eventuali vulnerabilità e rafforzare la resilienza nei confronti dei ciberattacchi. In tale contesto si dovrà anche valutare se la RUAG MRO è complessivamente protetta in modo adeguato contro i ciberincidenti.

Gli enti proprietari richiamano l’attenzione della RUAG sugli obblighi di fornire informazioni tempestive e adeguate conformemente agli obiettivi strategici. Inoltre gli enti proprietari sono tenuti a partecipare attivamente e sin dall’inizio all’elaborazione di casi di questo tipo.

Alla luce dei risultati della verifica, il DDPS ritiene che non vi siano motivi per adottare ulteriori misure in materia di diritto di proprietà nei confronti della RUAG MRO. Le raccomandazioni formulate e le misure avviate mirano ad attuare gli insegnamenti tratti dall’incidente e a rafforzare la resilienza della RUAG MRO nei confronti dei futuri ciberincidenti.

Il DDPS e la Confederazione mantengono invariata la loro raccomandazione di non pagare alcun riscatto in caso di ciberattacchi.