Una piccola impresa riceve un’email che sembra provenire da un fornitore abituale. Il messaggio contiene una fattura e invita ad aprire un allegato. Un dipendente lo fa, convinto di svolgere una normale operazione amministrativa. Poche ore dopo, i documenti diventano inaccessibili, il gestionale si blocca e sullo schermo compare una richiesta di riscatto.

È uno scenario ipotetico, ma realistico. Mostra quanto possa essere fragile un’azienda che dipende dai sistemi digitali senza aver stabilito come reagire quando smettono di funzionare.

Cybersecurity nelle PMI: cosa dicono i dati

Nel 2025 il Computer Security Incident Response Team Italia, la struttura dell’Agenzia per la cybersicurezza nazionale che interviene sugli incidenti informatici, ha gestito 2.729 eventi cyber. Gli incidenti con un impatto confermato sono stati 615, mentre le vittime complessivamente censite hanno raggiunto quota 3.907.

Rispetto al 2024, gli eventi sono aumentati del 38% e gli incidenti confermati del 7%. La differenza tra i due valori è importante: un evento può essere un tentativo di attacco o una minaccia rilevata, mentre si parla di incidente quando viene confermato un impatto su dati, account, applicazioni, sistemi o servizi.

Questi numeri non comprendono necessariamente tutti gli attacchi avvenuti in Italia. Rappresentano le attività conosciute e gestite dall’ACN secondo criteri specifici. Molte violazioni possono non essere rilevate, denunciate o comunicate pubblicamente.

Il messaggio, tuttavia, è chiaro: il rischio informatico è diventato una componente ordinaria dell’attività d’impresa.

Perché le piccole imprese vengono attaccate

Una PMI può pensare di non possedere informazioni abbastanza importanti da attirare l’attenzione dei criminali. In realtà, anche una piccola azienda conserva credenziali, fatture, coordinate bancarie, dati dei dipendenti, documenti commerciali e informazioni sui clienti.

Può inoltre essere collegata ai sistemi di imprese più grandi. Un fornitore con protezioni insufficienti può diventare il punto d’ingresso per raggiungere un committente, interrompere una filiera o sottrarre informazioni riservate.

È il rischio legato alla supply chain, la catena di fornitura. La NIS2 richiede alle organizzazioni interessate di valutare anche la sicurezza dei rapporti con fornitori e prestatori di servizi. Di conseguenza, una PMI potrebbe ricevere richieste più rigorose da un cliente anche quando non rientra direttamente nell’ambito di applicazione della normativa.

La protezione informatica non serve quindi soltanto a evitare un attacco. Può diventare un requisito per conservare clienti, partecipare a una gara o continuare a operare all’interno di una filiera industriale.

Ransomware, phishing e frodi sui pagamenti

Il ransomware è una delle minacce più conosciute. Il programma malevolo rende inutilizzabili i documenti aziendali, generalmente cifrandoli, e può essere accompagnato dal furto dei dati. I criminali chiedono poi un pagamento per consentire il recupero dei file o per non pubblicare le informazioni sottratte.

Pagare il riscatto non garantisce però la restituzione dei dati, né assicura che le copie rubate vengano eliminate.

Un altro rischio concreto è rappresentato dal phishing. Un’email può imitare le comunicazioni di una banca, di un fornitore o dello stesso titolare dell’azienda, inducendo il destinatario a fornire una password, aprire un allegato o autorizzare un pagamento.

Particolarmente insidiose sono le frodi nelle quali vengono modificate le coordinate bancarie riportate su una fattura. Chi controlla una casella email compromessa può seguire le conversazioni tra cliente e fornitore, individuare un pagamento imminente e comunicare un falso IBAN nel momento più credibile.

L’ENISA Threat Landscape 2026 conferma che il ransomware rimane la tipologia di incidente con il maggiore impatto nel breve periodo. L’Agenzia europea segnala anche il crescente impiego dell’intelligenza artificiale per rendere più credibili messaggi, contenuti e tentativi di impersonificazione.

Il fenomeno si collega alle nuove frodi digitali basate sui deepfake, capaci di riprodurre voci e immagini per convincere una persona a eseguire un’operazione apparentemente autorizzata.

Quanto può costare un attacco informatico

Il costo di un incidente non coincide con la fattura del tecnico chiamato a ripristinare i computer. Comprende l’interruzione della produzione, le ore di lavoro perse, le eventuali penali, gli interventi specialistici e le conseguenze sui rapporti commerciali.

Consideriamo un’azienda che fattura tre milioni di euro all’anno su 220 giornate lavorative. Il fatturato medio giornaliero è di circa 13.600 euro. Se un attacco interrompesse completamente l’attività per quattro giorni, il valore delle vendite coinvolte potrebbe superare i 54.000 euro.

Non sarebbe automaticamente una perdita della stessa entità: alcuni ordini potrebbero essere recuperati o rinviati. L’esempio mostra però quanto possa incidere anche un’interruzione relativamente breve.

A questi importi possono aggiungersi il ripristino dei sistemi, le consulenze legali, le comunicazioni ai clienti e le eventuali sanzioni. Rimane poi il danno più difficile da misurare: la perdita di fiducia.

Un cliente può accettare un guasto occasionale. È più difficile che accetti la perdita di documenti riservati, l’interruzione prolungata delle consegne o l’incapacità del fornitore di spiegare cosa sia accaduto.

Quanto sono preparate le PMI italiane

Il Cyber Index PMI 2025, presentato nel marzo 2026, assegna alle piccole e medie imprese italiane un livello medio di maturità pari a 55 punti su 100. Il risultato è migliorato rispetto all’anno precedente, ma rimane sotto la soglia di sufficienza fissata a 60.

Soltanto il 16% delle oltre 1.500 imprese esaminate presenta una postura di sicurezza considerata adeguata. Il rapporto mostra quindi una crescita della consapevolezza, senza però una diffusione altrettanto ampia delle misure operative.

Non esiste una cifra valida per tutte le imprese. Uno studio professionale con cinque computer ha esigenze differenti da una fabbrica con server, macchinari connessi e magazzini automatizzati.

Prima di stabilire quanto investire, un’impresa dovrebbe domandarsi quali attività non può permettersi di interrompere, dove si trovano i dati essenziali e quanto tempo sarebbe necessario per ripristinare il lavoro.

Documenti, pagamenti e attività quotidiane dipendono sempre più dai sistemi informatici. Foto: SHVETS production / Pexels

Cybersecurity nelle PMI: chi è responsabile

In molte aziende la sicurezza informatica viene considerata una responsabilità esclusiva del tecnico o del consulente esterno. È un’impostazione incompleta.

Il fornitore può individuare vulnerabilità, proporre strumenti e intervenire sui sistemi. Le decisioni relative alle risorse, ai rischi accettabili e alla continuità aziendale spettano invece alla direzione.

La responsabilità riguarda anche la protezione dei dati personali. Il GDPR impone al titolare e al responsabile del trattamento di adottare misure tecniche e organizzative adeguate al rischio. Non stabilisce una soluzione identica per tutte le imprese: la protezione deve essere proporzionata ai dati trattati, alle attività svolte e alle possibili conseguenze di una violazione.

Quando un data breach può comportare un rischio per i diritti e le libertà delle persone, il titolare deve informare il Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne viene a conoscenza. Se il rischio è elevato, potrebbe essere necessario informare anche le persone interessate.

Non ogni attacco determina automaticamente una notifica. Bisogna verificare se siano stati coinvolti dati personali, quale violazione si sia verificata e quali conseguenze possa produrre. Il titolare deve comunque documentare le violazioni rilevate.

Affidare i sistemi a un’impresa esterna, quindi, non significa trasferire automaticamente ogni responsabilità.

NIS2, gli obblighi non riguardano tutte le PMI

La direttiva NIS2 è stata recepita in Italia con il decreto legislativo 138 del 2024. La normativa introduce obblighi di gestione del rischio e comunicazione degli incidenti per determinate organizzazioni attive in settori considerati essenziali o importanti.

Non tutte le PMI rientrano automaticamente nella disciplina. L’applicabilità dipende dalle dimensioni, dal settore, dal tipo di servizio prestato e dalle eccezioni previste dalla legge.

Per i soggetti interessati, gli organi di amministrazione e direttivi devono approvare le misure di gestione del rischio, controllarne l’attuazione e seguire una formazione adeguata. La sicurezza entra così direttamente nelle decisioni aziendali e non può essere relegata al solo reparto informatico.

La NIS2 presta attenzione anche alla continuità operativa, alla gestione degli incidenti, alla sicurezza dei fornitori e alla preparazione del personale.

Le misure essenziali per ridurre i rischi

Una strategia efficace non comincia necessariamente dall’acquisto del programma più costoso. Il primo passo consiste nel conoscere i sistemi utilizzati, i dati conservati e le attività che dipendono dall’informatica.

Le misure fondamentali comprendono:

• inventario aggiornato di dispositivi, software e accessi;
• copie di sicurezza protette e separate dai sistemi principali;
• verifiche periodiche del ripristino dei backup;
• autenticazione a più fattori;
• aggiornamento regolare di programmi e dispositivi;
• autorizzazioni differenziate in base alle mansioni;
• controllo degli accessi concessi ai fornitori;
• formazione periodica dei dipendenti;
• procedura scritta per la gestione degli incidenti;
• contatti e responsabilità definiti prima dell’emergenza.

Un backup eseguito automaticamente non è sufficiente se nessuno ha mai verificato che possa essere ripristinato. Una copia costantemente collegata alla rete può inoltre essere compromessa dallo stesso attacco che colpisce i sistemi aziendali.

Anche le operazioni finanziarie richiedono procedure semplici. Una richiesta urgente di modificare un IBAN dovrebbe essere controllata attraverso un secondo canale, per esempio telefonando al fornitore mediante un numero già conosciuto.

La formazione deve permettere ai dipendenti di riconoscere i segnali sospetti e segnalare rapidamente un errore. Nascondere un clic sbagliato per paura di una sanzione può provocare danni maggiori dell’errore iniziale.

Come scegliere un consulente di cybersecurity

Molte PMI non possono assumere uno specialista interno e scelgono correttamente di rivolgersi a un fornitore. Prima di firmare il contratto, però, bisogna capire quale servizio si sta acquistando.

Manutenzione dei computer, assistenza al gestionale e cybersecurity sono attività collegate, ma non equivalenti. Un contratto che prevede l’intervento quando un dispositivo si guasta non garantisce il monitoraggio delle minacce o il ripristino dell’operatività dopo un attacco.

L’accordo dovrebbe chiarire:

• chi controlla i backup e con quale frequenza;
• chi installa gli aggiornamenti;
• chi interviene durante un incidente;
• quali sono i tempi di risposta;
• dove vengono conservati i dati;
• chi possiede le credenziali amministrative;
• come avviene il passaggio a un altro fornitore;
• quali attività sono comprese e quali hanno un costo aggiuntivo.

L’impresa dovrebbe conservare il controllo delle proprie credenziali e delle informazioni necessarie a gestire i sistemi. Dipendere completamente da un solo consulente può diventare un’ulteriore vulnerabilità.

Come accade nell’adozione dell’intelligenza artificiale da parte delle piccole imprese, la tecnologia da sola non basta: servono competenze, responsabilità e obiettivi definiti.

Una polizza cyber non sostituisce la prevenzione

Le assicurazioni cyber possono coprire alcuni costi di ripristino, l’assistenza specialistica, la responsabilità verso terzi e determinate perdite causate dall’interruzione dell’attività.

Le condizioni variano però da una polizza all’altra. Franchigie, massimali, esclusioni e requisiti minimi di sicurezza possono limitare la copertura effettiva.

L’assicurazione può aiutare a gestire le conseguenze economiche di un incidente, ma non impedisce all’attacco di verificarsi e non sostituisce backup, aggiornamenti, controlli e formazione.

È lo stesso principio applicato a un capannone assicurato contro gli incendi: la polizza è importante, ma non permette di rinunciare agli impianti antincendio.

La sicurezza informatica protegge la continuità aziendale

Torniamo alla piccola impresa dell’inizio. Dopo l’attacco, il titolare scopre che l’ultimo backup funzionante risale a diverse settimane prima, alcune password erano condivise e nessuno aveva stabilito come affrontare un’emergenza.

A quel punto il problema non è più scegliere quale antivirus acquistare. È capire come far ripartire l’azienda.

Non è possibile eliminare ogni rischio informatico, ma si possono ridurre la probabilità di un incidente e la gravità delle conseguenze. La cybersecurity non produce direttamente fatturato e, quando funziona, spesso rimane invisibile. Eppure protegge ordini, pagamenti, progetti, clienti e reputazione.

Per un imprenditore, quindi, la domanda decisiva non è soltanto quanto costi migliorare la sicurezza. È un’altra: se domani mattina i sistemi si fermassero, per quanto tempo l’azienda riuscirebbe ancora a lavorare?

L'articolo Cybersecurity nelle PMI: rischi, costi e responsabilità proviene da Il Contemporaneo.