Registro per la trasparenza: 500’000 società svizzere dal 1° ottobre 2026, con un campo in più di quello appena copiato in Liechtenstein
Dal 1° ottobre 2026 oltre 500’000 società svizzere dovranno comunicare a un registro federale chi sono i loro aventi diritto economico: nome, cognome, data di nascita, nazionalità e indirizzo di domicilio. Otto settimane prima, nella notte fra il 29 e il 30 luglio, ignoti hanno copiato lo stesso genere di dati dal registro equivalente del Liechtenstein: circa 31’000 enti giuridici. Il registro svizzero chiede un campo in più: l’indirizzo di casa.
Il registro per la trasparenza è l’elenco federale, non pubblico, delle persone fisiche che controllano davvero una società svizzera. Non è una novità sfuggita a Berna: è la LTPG, la legge sulla trasparenza delle persone giuridiche e sull’identificazione degli aventi diritto economico, la cui entrata in vigore è stata confermata dal Consiglio federale il 12 giugno 2026. Quello che è nuovo è il tempismo con cui arriva.
Cosa è successo al registro del Liechtenstein?
Nella notte fra mercoledì 29 e giovedì 30 luglio 2026 un ignoto ha ottenuto un accesso digitale non autorizzato al Verzeichnis wirtschaftlich berechtigter Personen (VwbP), il registro degli aventi diritto economico tenuto dall’Ufficio di giustizia del Liechtenstein, e ha copiato dati relativi a circa 31’000 enti giuridici fra società, fondazioni e trust.
Un chiarimento che quasi tutta la stampa ha sbagliato, e che conta: 31’000 sono enti giuridici, non persone. Un ente può avere più aventi diritto economico e una persona può stare dietro a molti enti. Quante persone fisiche siano coinvolte non è mai stato pubblicato da nessuno.
I campi copiati sono cinque: cognome, nome, data di nascita, nazionalità e Stato di domicilio. Lo sappiamo con precisione insolita perché l’art. 4 cpv. 1 lett. a della legge liechtensteinese elenca esattamente quei cinque campi e nient’altro. Il registro non conteneva indirizzi di casa, copie di documenti d’identità, numeri di conto o dati patrimoniali: la legge stessa mette un tetto a ciò che poteva uscirne.
La cronologia, secondo i due comunicati del governo del Principato: irregolarità notate all’Ufficio di giustizia il 30 luglio, sistema staccato dalla rete lo stesso giorno, governo informato il 31, primi risultati investigativi il pomeriggio del 1° agosto, stato maggiore di crisi convocato la sera stessa sotto il capo del governo Brigitte Haas e il ministro della giustizia Emanuel Schädler, prima comunicazione pubblica il 2 agosto alle 18:34. Il governo qualifica l’episodio come violazione di dati personali ai sensi dell’art. 33 GDPR, che nel Liechtenstein si applica attraverso l’accordo SEE, e sta informando gli interessati ai sensi dell’art. 34.
Al 3 agosto non risultano richieste di riscatto, rivendicazioni, annunci di vendita sul dark web né indizi che i dati siano stati alterati o cancellati. Nessuno ha attribuito l’attacco. Il 3 agosto il governo ha aggiunto che l’analisi forense indica un attacco mirato al solo VwbP, pur avendo spento in via precauzionale altri quattro sistemi: il portale IVA eMWST e la piattaforma Lides il 31 luglio, il registro centrale dei conti e il sistema fiscale Intax il 3 agosto. Sono stati spenti per prudenza, non perché violati.
Una conferenza stampa del governo è annunciata per il 4 agosto. Tutto quanto sopra è aggiornato al 3 agosto: se leggete queste righe dopo, verificate gli sviluppi.
Perché riguarda un'azienda svizzera che in Liechtenstein non ha niente?
Perché la Svizzera sta per accendere lo stesso tipo di infrastruttura, su scala enormemente maggiore, fra otto settimane.
Il 1° ottobre 2026 entrano in vigore la LTPG e la revisione della legge sul riciclaggio di denaro. Nasce il registro federale per la trasparenza, tenuto dal Dipartimento federale di giustizia e polizia, alimentato attraverso il portale EasyGov.swiss. Secondo EasyGov stessa, oltre 500’000 società saranno tenute per legge a comunicare i propri aventi diritto economico.
Chi deve annunciare: società anonime, società a garanzia limitata, società in accomandita per azioni, società cooperative, SICAV, SICAF e società in accomandita per investimenti collettivi di capitale. Ci rientrano anche gli enti esteri con una succursale iscritta in Svizzera, con direzione effettiva in Svizzera, oppure che possiedono o acquistano immobili in Svizzera. Restano fuori società quotate, associazioni, fondazioni e ditte individuali.
Qui sta la differenza che va detta con onestà: il registro liechtensteinese copriva anche fondazioni e trust, quello svizzero no. I due elenchi non sono identici. Ma il registro svizzero aggiunge un campo che quello liechtensteinese non aveva: l’indirizzo di domicilio dell’avente diritto economico, e lo chiede a mezzo milione di società invece che a trentunmila enti.
Le scadenze sono già fissate e scaglionate:
| Categoria di ente | Termine per l’annuncio |
|---|---|
| ADE già iscritti a registro di commercio come soci o membri di un organo | 2 anni → 30 settembre 2028 |
| Società di capitali con revisione ordinaria | 3 mesi → 31 dicembre 2026 |
| Altri enti con revisione ordinaria | 4 mesi → 31 gennaio 2027 |
| Società di capitali senza revisione ordinaria | 5 mesi → 28 febbraio 2027 |
| Altri enti ed enti esteri | 6 mesi → 31 marzo 2027 |
| Modifiche all’iscrizione a registro di commercio | 1 mese dalla modifica |
| Enti di nuova costituzione | 1 mese dall’iscrizione |
Anche il registro svizzero non è pubblico: vi accedono le autorità svizzere e gli intermediari finanziari e consulenti sottoposti agli obblighi antiriciclaggio, via EasyGov o tramite interfaccia sicura previa autorizzazione dell’Ufficio federale di giustizia.
Che è esattamente quello che si diceva anche del registro del Liechtenstein: accesso ristretto per statuto ad autorità, banche, intermediari sottoposti a obblighi di diligenza e terzi solo su richiesta esaminata. Non era un elenco aperto in rete. È stato copiato lo stesso.
Non è un problema di sovranità dei dati — ed è questo che lo rende interessante
La lettura comoda di questa storia è: ecco perché i dati vanno tenuti in casa. Non funziona, e vale la pena dire perché.
Il registro del Liechtenstein era gestito dal Liechtenstein, su suolo del Liechtenstein, da un’autorità del Liechtenstein, con accesso limitato per legge. Ha spuntato ogni casella che di solito mettiamo nella colonna «sovranità», noi per primi, quando abbiamo scritto di sovranità digitale in Svizzera. E i dati sono usciti comunque.
Il che significa che qui il rischio non nasce da dove stanno i dati né da chi li ospita. Nasce dalla concentrazione: un obbligo di legge raccoglie in un unico sistema l’identità delle persone che controllano decine o centinaia di migliaia di strutture, e nessuno dei soggetti obbligati ha voce in capitolo su come quel sistema viene difeso.
È una categoria di rischio che nella maggior parte delle aziende non è mappata da nessuna parte, perché non assomiglia a un rischio informatico. Assomiglia a un adempimento. Con un fornitore fate due diligence, negoziate un contratto, chiedete certificazioni, potete cambiarlo. Con un registro obbligatorio non fate nulla di tutto ciò: consegnate e basta. Non c’è alternativa da comprare, non c’è contratto da rinegoziare, non c’è piano di uscita.
Questo non è un argomento contro i registri di trasparenza, che esistono per una ragione seria: rendere più difficile nascondere denaro sporco dietro catene societarie. È un argomento perché l’unica parte del problema su cui avete davvero il controllo venga presa sul serio, e cioè come i vostri dati ci arrivano dentro, e chi in azienda tiene le chiavi di quella porta.
Cosa fare adesso
- Decidete chi deposita, prima che si apra la finestra. Fra ottobre e dicembre qualcuno nella vostra azienda o nel vostro studio aprirà un conto EasyGov e ci caricherà l’identità dei vostri azionisti di riferimento. Stabilite ora: quale persona nominata detiene quelle credenziali (non un
admin@condiviso), se quell’accesso ha l’autenticazione a due fattori, se le stesse credenziali aprono anche altri portali federali, e chi viene avvisato se vengono usate fuori orario. Deciderlo a settembre costa un’ora. Deciderlo a gennaio, dopo che un accesso di deposito è stato compromesso, costa un mandato. - Segnate la vostra scadenza vera, non «ottobre». Guardate la tabella qui sopra e trovate la vostra riga. Una SA con revisione ordinaria ha tempo fino al 31 dicembre 2026: tre mesi, che includono le feste. Un ente estero con succursale svizzera ha tempo fino al 31 marzo 2027. Sono termini diversi e chi li confonde se ne accorge tardi.
- Preparate i dati prima di ottobre, non a ottobre. Per le strutture con società interposte serve anche la catena di controllo, non solo il nome finale. Ricostruirla richiede documenti che spesso stanno da un fiduciario, da un notaio o in un armadio. È il pezzo di lavoro che fa sforare le scadenze.
- Se avete strutture in Liechtenstein, fate due cose questa settimana. Chiedete per iscritto al vostro fiduciario, o al punto informativo dell’Ufficio di giustizia (
vwbpfragen@llv.li), se i vostri enti sono fra i circa 31’000 e quando partirà l’informazione agli interessati. Conservate la risposta. Poi avvisate le persone nominate del rischio giusto: quello che è uscito è nome, data di nascita, nazionalità e Stato di domicilio — il kit perfetto per una telefonata credibile. Un messaggio breve: né l’Ufficio di giustizia né il vostro fiduciario vi chiameranno o scriveranno mai per farvi confermare dati, trasferire qualcosa o «riattivare» un’iscrizione. Ogni contatto del genere è una truffa. - Mappate i portali che condividono un fornitore. È l’unica lezione tecnica trasferibile, e non è «aggiornate più in fretta». Elencate tutti i portali esterni in cui la vostra azienda entra: IVA, imposte, registro di commercio, AVS, FINMA, dogane, EasyGov — e segnate quali girano sulla stessa piattaforma o condividono un set di credenziali. Il Liechtenstein ha spento quattro sistemi governativi in quattro giorni, e due di essi giravano sulla piattaforma dello stesso fornitore del registro colpito. Il vostro raggio d’impatto è definito dalle piattaforme condivise, non dalle reti condivise. E quella mappa, nella maggior parte delle aziende, non esiste.
Domande frequenti
La mia azienda deve annunciare i suoi aventi diritto economico al registro svizzero?
Sì, se è una SA, una Sagl, una società in accomandita per azioni, una cooperativa, una SICAV, una SICAF o una società in accomandita per investimenti collettivi. Anche se è un ente estero con succursale iscritta, direzione effettiva o immobili in Svizzera. Sono escluse società quotate, associazioni, fondazioni e ditte individuali.
Quali dati devo comunicare?
Nome e cognome, data di nascita, nazionalità e indirizzo di domicilio della persona fisica che esercita il controllo, più le informazioni sulla catena di controllo quando fra voi e lei ci sono società interposte.
Il registro svizzero sarà consultabile da chiunque?
No. L’accesso è riservato alle autorità svizzere e agli intermediari finanziari e consulenti sottoposti agli obblighi antiriciclaggio, attraverso EasyGov o un’interfaccia sicura autorizzata dall’Ufficio federale di giustizia.
I dati rubati in Liechtenstein includevano indirizzi o dati bancari?
No. La legge liechtensteinese prevede cinque campi per l’avente diritto economico persona fisica: cognome, nome, data di nascita, nazionalità, Stato di domicilio — e nient’altro. Niente indirizzi di casa, niente documenti, niente conti o patrimoni.
Sono un’azienda svizzera senza legami con il Liechtenstein: sono stata colpita?
No. Nessun registro, autorità o sistema svizzero è stato toccato. L’esposizione svizzera è indiretta e riguarda chi amministra, consiglia o serve strutture liechtensteinesi. La ragione per cui questa storia vi riguarda è la scadenza del 1° ottobre, non la violazione.
Quello che non si può ruotare
Dopo un incidente si cambiano le password, si revocano i token, si rigenerano le chiavi. È la ragione per cui gran parte delle violazioni, alla lunga, si assorbe: quasi tutto quello che viene rubato si può sostituire.
I dati di un registro degli aventi diritto economico no. Una data di nascita non si ruota. Una nazionalità nemmeno. Un indirizzo di casa cambia due o tre volte in una vita, e mai perché l’ha chiesto un ufficio. Quello che è uscito da Vaduz il 30 luglio sarà ancora esatto fra dieci anni — ed è per questo che l’assenza di una richiesta di riscatto non è una buona notizia: vuol dire soltanto che chi ha copiato quei dati non ha fretta.
Fra otto settimane la Svizzera comincia a raccogliere lo stesso materiale da mezzo milione di società, con in più l’indirizzo di casa. Che il registro esista non è in discussione, e non deve esserlo. Quello che è ancora in discussione, e solo per poche settimane, è chi nella vostra azienda avrà le chiavi di quella porta — e se quella decisione la prenderete voi, o ve la ritroverete presa.
Fonti
- Governo del Principato del Liechtenstein, comunicati del 2 e 3 agosto 2026, Unberechtigter Zugriff von Dritten auf Verzeichnisdaten e Erste Erkenntnisse: Gezielter Angriff auf das Verzeichnis wirtschaftlich berechtigter Personen
- VwbPG — legge sul registro degli aventi diritto economico del Liechtenstein, art. 4 cpv. 1 lett. a (gesetze.li)
- SRF, Cyberangriff auf Wirtschaftsdaten im Fürstentum Liechtenstein, 2 agosto 2026
- Netzwoche, Hacker kopieren sensible Daten von Liechtensteiner Justizbehörde, 3 agosto 2026
- finews.ch, Cyber-Gau im Fürstentum Liechtenstein, 3 agosto 2026
- Reuters (via Euronews e SWI swissinfo.ch), 3 agosto 2026
- EasyGov.swiss — Registro per la trasparenza, portale della Confederazione
- Lenz & Staehelin, New Legal Entities Transparency Act to enter into force on 1 October 2026
- laRegione, Nuove norme svizzere anti-riciclaggio con registro della trasparenza in vigore dal 1° ottobre
