La cybersecurity nelle PMI riguarda la capacità di continuare a lavorare quando una casella di posta viene compromessa, un gestionale si blocca o i dati non sono più disponibili. Prima di scegliere un prodotto serve capire quali attività dipendono dai sistemi digitali, quanto a lungo possono fermarsi e chi deve intervenire: da queste risposte discendono priorità, budget e responsabilità, anche quando l’assistenza informatica è affidata all’esterno.

I rischi informatici che entrano nel lavoro quotidiano

Un messaggio che imita un fornitore può portare al furto delle credenziali o alla modifica delle coordinate di un pagamento. Un dispositivo non aggiornato può offrire un accesso alla rete; un ransomware può rendere inutilizzabili i documenti e accompagnarsi alla sottrazione di informazioni. Il rapporto ENISA dedicato alle piccole e medie imprese considera la sicurezza insieme alle difficoltà di risorse e competenze: il rischio va valutato sull’attività concreta, non sulla sola dimensione aziendale.

Esiste anche una dipendenza dai fornitori. Se la contabilità è nel cloud, bisogna sapere quali dati vengono conservati, quali copie sono disponibili e come recuperarli cambiando servizio. Se un tecnico accede da remoto, occorre controllare account e autorizzazioni. Sono domande operative: un’azienda può avere pochi computer e dipendere comunque da un solo applicativo per incassare, spedire o produrre documenti indispensabili.

Cybersecurity nelle PMI da dove cominciare

La guida ENISA in dodici passi propone di partire da organizzazione, persone e misure tecniche. Un inventario aggiornato di dispositivi, software, account e servizi esterni permette di assegnare un responsabile a ciascun elemento. Occorre poi individuare le informazioni più importanti e stabilire il tempo massimo tollerabile di interruzione: un archivio consultato saltuariamente e il sistema degli ordini possono richiedere livelli di protezione e recupero differenti.

Le priorità comprendono autenticazione a più fattori, password uniche, aggiornamenti, protezione dei dispositivi, limitazione dei privilegi e formazione. Il personale deve conoscere un canale semplice per segnalare un sospetto e una procedura di verifica dei cambi di IBAN attraverso un contatto già noto. Non basta un corso iniziale: ingresso di nuovi colleghi, cambi di ruolo e uscita dall’azienda richiedono controlli sugli accessi e sulle autorizzazioni rimaste attive.

Il backup conta se si riesce a ripristinarlo

La versione italiana della guida ENISA dedica attenzione a copie di sicurezza, continuità e risposta agli incidenti. Un backup va separato dall’ambiente che protegge, con accessi controllati e soluzioni adeguate al rischio, per evitare che lo stesso incidente renda inutilizzabili originali e copie. È necessario verificare il contenuto e soprattutto eseguire prove di ripristino, registrandone esito e tempi.

Un controllo pratico consiste nel chiedere al fornitore di recuperare un documento e un insieme di dati applicativi in un ambiente di prova concordato. Il risultato deve rispondere a domande precise: fino a quale data si recuperano le informazioni, quanto tempo occorre e quali dipendenze impediscono di tornare operativi? Vedere un messaggio che annuncia “backup completato” non dimostra, da solo, che l’intero servizio possa ripartire.

Armadi server affiancati con cavi di rete visibili (Fonte: Pexels)

Quanto costa la cybersecurity a una PMI

Non c’è un prezzo unico confrontabile per qualsiasi impresa. Il preventivo dipende da utenti, dispositivi, sedi, dati, orari di assistenza e obblighi applicabili. Per leggerlo conviene separare costi iniziali, canoni ricorrenti, verifiche periodiche e interventi in emergenza. Un’offerta che comprende solo licenze non equivale a una che include configurazione, monitoraggio, formazione e gestione degli allarmi.

Per il primo anno si sommano avvio, canoni per il periodo considerato e attività escluse; dal secondo si distingue ciò che si ripete da ciò che era soltanto iniziale. È un metodo di lettura del budget, non una stima di mercato. Sul versante dell’incidente vanno invece considerati lavoro fermo, recupero, comunicazioni e possibili conseguenze contrattuali, evitando di confondere fatturato non realizzato e perdita economica effettiva. La ricostruzione delle vulnerabilità digitali pubblicata dal Contemporaneo mostra quanto gli effetti possano uscire dai sistemi informatici; un incidente aziendale non costituisce però automaticamente un’azione di guerra ibrida.

Backup e continuità operativa vanno valutati anche attraverso prove di recupero dei dati. Foto di repertorio. Foto: Brett Sayles / Pexels.

NIS2 e GDPR quali responsabilità restano all’impresa

Il decreto legislativo 138 del 2024, che recepisce la NIS2, non si applica indistintamente a tutte le PMI. Bisogna verificare settore, attività, dimensioni secondo i criteri previsti, relazioni societarie e casi di inclusione indipendenti dalla dimensione. Un requisito di sicurezza imposto da un cliente può inoltre derivare dal contratto di fornitura senza trasformare, da solo, il fornitore in un soggetto NIS.

Per gli enti che rientrano nel perimetro, il decreto attribuisce compiti agli organi di amministrazione e direttivi in materia di approvazione e controllo delle misure, oltre alla formazione. Non è sufficiente delegare verbalmente “tutto all’informatico”: responsabilità interne, contratto con il fornitore e verifiche devono risultare chiari. Per scadenze e decorrenze occorre seguire le comunicazioni ACN relative alla propria inclusione, senza estendere a qualsiasi impresa un calendario identico.

Anche fuori dal perimetro NIS, chi tratta dati personali deve applicare il GDPR. Il Garante privacy chiarisce che le misure tecniche e organizzative devono essere adeguate al rischio e sottoposte a verifica. Il contratto con il fornitore va quindi valutato anche sul ruolo effettivo nel trattamento, sulle istruzioni e sulle garanzie offerte: acquistare un servizio cloud non trasferisce automaticamente al fornitore ogni obbligo del titolare.

Che cosa fare quando si verifica un incidente

L’impresa deve attivare i referenti individuati, contenere l’incidente con assistenza competente e conservare elementi utili alla ricostruzione, evitando interventi improvvisati che cancellino le tracce. Bisogna registrare quando il problema è stato rilevato, sistemi e dati coinvolti, prime misure e comunicazioni. Ripristino tecnico, gestione dei rapporti con clienti e valutazione degli adempimenti devono procedere in modo coordinato.

Secondo la scheda del Garante sulle violazioni dei dati personali, il titolare notifica il data breach senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone. Le violazioni vanno comunque documentate; un rischio elevato può richiedere anche di informare gli interessati, secondo le condizioni del regolamento. Non ogni guasto è un data breach, ma anche la perdita di disponibilità dei dati può esserlo.

Gli obblighi NIS seguono un percorso distinto: per gli incidenti significativi il decreto prevede, in generale, pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese dalla notifica, con specificità ed eccezioni da verificare. Una comunicazione non sostituisce automaticamente l’altra. Preparare prima contatti, ruoli e documenti permette di usare le prime ore per gestire il problema, anziché per decidere chi debba occuparsene.

L'articolo Cybersecurity nelle PMI rischi costi e responsabilità proviene da Il Contemporaneo.

Una piccola impresa riceve un’email che sembra provenire da un fornitore abituale. Il messaggio contiene una fattura e invita ad aprire un allegato. Un dipendente lo fa, convinto di svolgere una normale operazione amministrativa. Poche ore dopo, i documenti diventano inaccessibili, il gestionale si blocca e sullo schermo compare una richiesta di riscatto.

È uno scenario ipotetico, ma realistico. Mostra quanto possa essere fragile un’azienda che dipende dai sistemi digitali senza aver stabilito come reagire quando smettono di funzionare.

Cybersecurity nelle PMI: cosa dicono i dati

Nel 2025 il Computer Security Incident Response Team Italia, la struttura dell’Agenzia per la cybersicurezza nazionale che interviene sugli incidenti informatici, ha gestito 2.729 eventi cyber. Gli incidenti con un impatto confermato sono stati 615, mentre le vittime complessivamente censite hanno raggiunto quota 3.907.

Rispetto al 2024, gli eventi sono aumentati del 38% e gli incidenti confermati del 7%. La differenza tra i due valori è importante: un evento può essere un tentativo di attacco o una minaccia rilevata, mentre si parla di incidente quando viene confermato un impatto su dati, account, applicazioni, sistemi o servizi.

Questi numeri non comprendono necessariamente tutti gli attacchi avvenuti in Italia. Rappresentano le attività conosciute e gestite dall’ACN secondo criteri specifici. Molte violazioni possono non essere rilevate, denunciate o comunicate pubblicamente.

Il messaggio, tuttavia, è chiaro: il rischio informatico è diventato una componente ordinaria dell’attività d’impresa.

Perché le piccole imprese vengono attaccate

Una PMI può pensare di non possedere informazioni abbastanza importanti da attirare l’attenzione dei criminali. In realtà, anche una piccola azienda conserva credenziali, fatture, coordinate bancarie, dati dei dipendenti, documenti commerciali e informazioni sui clienti.

Può inoltre essere collegata ai sistemi di imprese più grandi. Un fornitore con protezioni insufficienti può diventare il punto d’ingresso per raggiungere un committente, interrompere una filiera o sottrarre informazioni riservate.

È il rischio legato alla supply chain, la catena di fornitura. La NIS2 richiede alle organizzazioni interessate di valutare anche la sicurezza dei rapporti con fornitori e prestatori di servizi. Di conseguenza, una PMI potrebbe ricevere richieste più rigorose da un cliente anche quando non rientra direttamente nell’ambito di applicazione della normativa.

La protezione informatica non serve quindi soltanto a evitare un attacco. Può diventare un requisito per conservare clienti, partecipare a una gara o continuare a operare all’interno di una filiera industriale.

Ransomware, phishing e frodi sui pagamenti

Il ransomware è una delle minacce più conosciute. Il programma malevolo rende inutilizzabili i documenti aziendali, generalmente cifrandoli, e può essere accompagnato dal furto dei dati. I criminali chiedono poi un pagamento per consentire il recupero dei file o per non pubblicare le informazioni sottratte.

Pagare il riscatto non garantisce però la restituzione dei dati, né assicura che le copie rubate vengano eliminate.

Un altro rischio concreto è rappresentato dal phishing. Un’email può imitare le comunicazioni di una banca, di un fornitore o dello stesso titolare dell’azienda, inducendo il destinatario a fornire una password, aprire un allegato o autorizzare un pagamento.

Particolarmente insidiose sono le frodi nelle quali vengono modificate le coordinate bancarie riportate su una fattura. Chi controlla una casella email compromessa può seguire le conversazioni tra cliente e fornitore, individuare un pagamento imminente e comunicare un falso IBAN nel momento più credibile.

L’ENISA Threat Landscape 2026 conferma che il ransomware rimane la tipologia di incidente con il maggiore impatto nel breve periodo. L’Agenzia europea segnala anche il crescente impiego dell’intelligenza artificiale per rendere più credibili messaggi, contenuti e tentativi di impersonificazione.

Il fenomeno si collega alle nuove frodi digitali basate sui deepfake, capaci di riprodurre voci e immagini per convincere una persona a eseguire un’operazione apparentemente autorizzata.

Quanto può costare un attacco informatico

Il costo di un incidente non coincide con la fattura del tecnico chiamato a ripristinare i computer. Comprende l’interruzione della produzione, le ore di lavoro perse, le eventuali penali, gli interventi specialistici e le conseguenze sui rapporti commerciali.

Consideriamo un’azienda che fattura tre milioni di euro all’anno su 220 giornate lavorative. Il fatturato medio giornaliero è di circa 13.600 euro. Se un attacco interrompesse completamente l’attività per quattro giorni, il valore delle vendite coinvolte potrebbe superare i 54.000 euro.

Non sarebbe automaticamente una perdita della stessa entità: alcuni ordini potrebbero essere recuperati o rinviati. L’esempio mostra però quanto possa incidere anche un’interruzione relativamente breve.

A questi importi possono aggiungersi il ripristino dei sistemi, le consulenze legali, le comunicazioni ai clienti e le eventuali sanzioni. Rimane poi il danno più difficile da misurare: la perdita di fiducia.

Un cliente può accettare un guasto occasionale. È più difficile che accetti la perdita di documenti riservati, l’interruzione prolungata delle consegne o l’incapacità del fornitore di spiegare cosa sia accaduto.

Quanto sono preparate le PMI italiane

Il Cyber Index PMI 2025, presentato nel marzo 2026, assegna alle piccole e medie imprese italiane un livello medio di maturità pari a 55 punti su 100. Il risultato è migliorato rispetto all’anno precedente, ma rimane sotto la soglia di sufficienza fissata a 60.

Soltanto il 16% delle oltre 1.500 imprese esaminate presenta una postura di sicurezza considerata adeguata. Il rapporto mostra quindi una crescita della consapevolezza, senza però una diffusione altrettanto ampia delle misure operative.

Non esiste una cifra valida per tutte le imprese. Uno studio professionale con cinque computer ha esigenze differenti da una fabbrica con server, macchinari connessi e magazzini automatizzati.

Prima di stabilire quanto investire, un’impresa dovrebbe domandarsi quali attività non può permettersi di interrompere, dove si trovano i dati essenziali e quanto tempo sarebbe necessario per ripristinare il lavoro.

Documenti, pagamenti e attività quotidiane dipendono sempre più dai sistemi informatici. Foto: SHVETS production / Pexels

Cybersecurity nelle PMI: chi è responsabile

In molte aziende la sicurezza informatica viene considerata una responsabilità esclusiva del tecnico o del consulente esterno. È un’impostazione incompleta.

Il fornitore può individuare vulnerabilità, proporre strumenti e intervenire sui sistemi. Le decisioni relative alle risorse, ai rischi accettabili e alla continuità aziendale spettano invece alla direzione.

La responsabilità riguarda anche la protezione dei dati personali. Il GDPR impone al titolare e al responsabile del trattamento di adottare misure tecniche e organizzative adeguate al rischio. Non stabilisce una soluzione identica per tutte le imprese: la protezione deve essere proporzionata ai dati trattati, alle attività svolte e alle possibili conseguenze di una violazione.

Quando un data breach può comportare un rischio per i diritti e le libertà delle persone, il titolare deve informare il Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne viene a conoscenza. Se il rischio è elevato, potrebbe essere necessario informare anche le persone interessate.

Non ogni attacco determina automaticamente una notifica. Bisogna verificare se siano stati coinvolti dati personali, quale violazione si sia verificata e quali conseguenze possa produrre. Il titolare deve comunque documentare le violazioni rilevate.

Affidare i sistemi a un’impresa esterna, quindi, non significa trasferire automaticamente ogni responsabilità.

NIS2, gli obblighi non riguardano tutte le PMI

La direttiva NIS2 è stata recepita in Italia con il decreto legislativo 138 del 2024. La normativa introduce obblighi di gestione del rischio e comunicazione degli incidenti per determinate organizzazioni attive in settori considerati essenziali o importanti.

Non tutte le PMI rientrano automaticamente nella disciplina. L’applicabilità dipende dalle dimensioni, dal settore, dal tipo di servizio prestato e dalle eccezioni previste dalla legge.

Per i soggetti interessati, gli organi di amministrazione e direttivi devono approvare le misure di gestione del rischio, controllarne l’attuazione e seguire una formazione adeguata. La sicurezza entra così direttamente nelle decisioni aziendali e non può essere relegata al solo reparto informatico.

La NIS2 presta attenzione anche alla continuità operativa, alla gestione degli incidenti, alla sicurezza dei fornitori e alla preparazione del personale.

Le misure essenziali per ridurre i rischi

Una strategia efficace non comincia necessariamente dall’acquisto del programma più costoso. Il primo passo consiste nel conoscere i sistemi utilizzati, i dati conservati e le attività che dipendono dall’informatica.

Le misure fondamentali comprendono:

• inventario aggiornato di dispositivi, software e accessi;
• copie di sicurezza protette e separate dai sistemi principali;
• verifiche periodiche del ripristino dei backup;
• autenticazione a più fattori;
• aggiornamento regolare di programmi e dispositivi;
• autorizzazioni differenziate in base alle mansioni;
• controllo degli accessi concessi ai fornitori;
• formazione periodica dei dipendenti;
• procedura scritta per la gestione degli incidenti;
• contatti e responsabilità definiti prima dell’emergenza.

Un backup eseguito automaticamente non è sufficiente se nessuno ha mai verificato che possa essere ripristinato. Una copia costantemente collegata alla rete può inoltre essere compromessa dallo stesso attacco che colpisce i sistemi aziendali.

Anche le operazioni finanziarie richiedono procedure semplici. Una richiesta urgente di modificare un IBAN dovrebbe essere controllata attraverso un secondo canale, per esempio telefonando al fornitore mediante un numero già conosciuto.

La formazione deve permettere ai dipendenti di riconoscere i segnali sospetti e segnalare rapidamente un errore. Nascondere un clic sbagliato per paura di una sanzione può provocare danni maggiori dell’errore iniziale.

Come scegliere un consulente di cybersecurity

Molte PMI non possono assumere uno specialista interno e scelgono correttamente di rivolgersi a un fornitore. Prima di firmare il contratto, però, bisogna capire quale servizio si sta acquistando.

Manutenzione dei computer, assistenza al gestionale e cybersecurity sono attività collegate, ma non equivalenti. Un contratto che prevede l’intervento quando un dispositivo si guasta non garantisce il monitoraggio delle minacce o il ripristino dell’operatività dopo un attacco.

L’accordo dovrebbe chiarire:

• chi controlla i backup e con quale frequenza;
• chi installa gli aggiornamenti;
• chi interviene durante un incidente;
• quali sono i tempi di risposta;
• dove vengono conservati i dati;
• chi possiede le credenziali amministrative;
• come avviene il passaggio a un altro fornitore;
• quali attività sono comprese e quali hanno un costo aggiuntivo.

L’impresa dovrebbe conservare il controllo delle proprie credenziali e delle informazioni necessarie a gestire i sistemi. Dipendere completamente da un solo consulente può diventare un’ulteriore vulnerabilità.

Come accade nell’adozione dell’intelligenza artificiale da parte delle piccole imprese, la tecnologia da sola non basta: servono competenze, responsabilità e obiettivi definiti.

Una polizza cyber non sostituisce la prevenzione

Le assicurazioni cyber possono coprire alcuni costi di ripristino, l’assistenza specialistica, la responsabilità verso terzi e determinate perdite causate dall’interruzione dell’attività.

Le condizioni variano però da una polizza all’altra. Franchigie, massimali, esclusioni e requisiti minimi di sicurezza possono limitare la copertura effettiva.

L’assicurazione può aiutare a gestire le conseguenze economiche di un incidente, ma non impedisce all’attacco di verificarsi e non sostituisce backup, aggiornamenti, controlli e formazione.

È lo stesso principio applicato a un capannone assicurato contro gli incendi: la polizza è importante, ma non permette di rinunciare agli impianti antincendio.

La sicurezza informatica protegge la continuità aziendale

Torniamo alla piccola impresa dell’inizio. Dopo l’attacco, il titolare scopre che l’ultimo backup funzionante risale a diverse settimane prima, alcune password erano condivise e nessuno aveva stabilito come affrontare un’emergenza.

A quel punto il problema non è più scegliere quale antivirus acquistare. È capire come far ripartire l’azienda.

Non è possibile eliminare ogni rischio informatico, ma si possono ridurre la probabilità di un incidente e la gravità delle conseguenze. La cybersecurity non produce direttamente fatturato e, quando funziona, spesso rimane invisibile. Eppure protegge ordini, pagamenti, progetti, clienti e reputazione.

Per un imprenditore, quindi, la domanda decisiva non è soltanto quanto costi migliorare la sicurezza. È un’altra: se domani mattina i sistemi si fermassero, per quanto tempo l’azienda riuscirebbe ancora a lavorare?

L'articolo Cybersecurity nelle PMI: rischi, costi e responsabilità proviene da Il Contemporaneo.