Verificare un editore di software in Svizzera: registro di commercio, certificazioni e referenze

Perché verificare un editore di software in Svizzera?

Verificate l'identità giuridica dell'editore nel registro di commercio, quindi richiedete prove adeguate di conformità e sicurezza. Per i software immessi sul mercato europeo, il Cyber Resilience Act (CRA) prevede requisiti applicabili a partire dal 2027.

Se il contratto riguarda la Confederazione o dà accesso ai suoi mezzi informatici, esaminate anche i requisiti della Legge sulla sicurezza dell’informazione (LSI). Infine, chiedete delle referenze di clienti il cui progetto permetta di valutare l’esperienza dell’editore.

Verificare l'esistenza e la forma giuridica tramite il registro di commercio

Il registro di commercio è una banca dati pubblica gestita dai Cantoni. Consultate l'indice centrale Zefix, aggiornato quotidianamente, oppure effettuate una ricerca cantonale; chiunque può ottenere gratuitamente estratti online.

Verificate la ragione sociale esatta, la sede, l'indirizzo, la forma giuridica, lo scopo e le persone autorizzate a impegnare l'azienda. Il portale neocastellano indica in particolare questi dati e permette di consultare o scaricare alcuni documenti in PDF.

Le SA e le Sagl sono iscritte da un notaio. Una ditta individuale deve iscriversi al raggiungimento di CHF 100'000 di fatturato annuo; il suo cognome deve figurare nella ragione commerciale. Il nome dell'azienda è protetto dall'iscrizione, con una portata che dipende dalla sua forma giuridica.

Dal 1° ottobre 2026, la Legge federale sulla trasparenza delle persone giuridiche impone alla maggior parte delle imprese svizzere e ad alcune società di diritto estero di annunciare i loro aventi diritto economici a TranspaReg. Il registro di commercio sottopone inoltre l'impresa iscritta al fallimento.

Per effettuare una ricerca cantonale, utilizzate ad esempio Friburgo o Neuchâtel. A Ginevra, la pagina Consultare il registro di commercio e ordinare documenti dà accesso alle informazioni e ai documenti.

Referenze pratiche: accesso al registro di commercio per Cantone

Certificazioni e conformità normativa (CRA, LSI)

Per il CRA, chiedete la dichiarazione di conformità e la documentazione tecnica del prodotto. L'editore deve integrare la cybersicurezza fin dalla progettazione, documentare la gestione delle vulnerabilità e prevedere aggiornamenti di sicurezza per tutta la durata di vita del prodotto.

Chiedete anche gli elementi che descrivono l'analisi dei rischi, la modellazione delle minacce, la valutazione delle vulnerabilità e le misure di protezione prioritarie. Per i prodotti critici, potrebbe essere necessaria una valutazione da parte di un organismo terzo.

La LSI si applica alle autorità federali nonché alle organizzazioni e alle imprese che eseguono un mandato per la Confederazione o hanno accesso ai suoi mezzi informatici. Prevede un approccio basato sui rischi, la classificazione delle informazioni e dei sistemi, nonché la pianificazione, l'attuazione e il monitoraggio regolare delle misure di protezione; la segnalazione degli attacchi informatici è prescritta dall'aprile 2025.

Una dichiarazione CRA o elementi che attestano processi LSI non vanno confusi con una certificazione di sicurezza. Verificate precisamente la portata di ogni documento richiesto: una certificazione può, ad esempio, riguardare un'applicazione o le competenze di un partner piuttosto che la sicurezza dell'editore.

Un esempio concreto di referenza è il progetto di Cogestim attorno ad AbaImmo, software di Abacus: Cogestim l'ha scelto nel 2011 per sostituire OFIGER e ha affidato l'integrazione a OFISA Informatique. Il loro feedback menziona in particolare l'aggiunta di funzioni di automazione e di elaborazioni di massa per una grande amministrazione immobiliare.

Per completare questa referenza, chiedete all'editore clienti il cui settore e progetto siano comparabili, con il loro accordo per uno scambio. Verificate il ruolo esatto dell'editore o dell'integratore, il perimetro consegnato, la messa in produzione, le evoluzioni realizzate e le difficoltà incontrate.

Le certificazioni citate in una referenza devono anch'esse essere qualificate: due consulenti di OFISA Informatique, Fanny Bron e Mara Coppex, erano certificate sull'applicazione AbaImmo dal 2017; OFISA Informatique ha ottenuto lo status di partner Abacus Oro nel 2018. Questi elementi riguardano l'applicazione e il partenariato, non una certificazione di sicurezza dell'azienda.

Differenze tra certificazioni CRA, LSI e status di partnership

Riepilogo e buone pratiche

Prima di firmare, confrontate la ragione sociale e le persone autorizzate con le informazioni del registro di commercio. Conservate l'estratto consultato nonché i documenti ufficiali utili alla pratica.

Per il software, chiedete la dichiarazione CRA e la documentazione tecnica pertinente; per un mandato federale, esaminate le misure e i processi legati alla LSI. Per le referenze, verificate le esperienze dei clienti e la portata esatta delle certificazioni o degli status invocati.