Per anni la sicurezza informatica è stata percepita nelle piccole e medie imprese come un problema di taglia: roba da multinazionali, da banche, da infrastrutture critiche. I numeri dell’ultimo triennio hanno smontato questa convinzione. Nel 2025 gli incidenti informatici gravi censiti a livello mondiale sono stati oltre cinquemiladuecento, con una crescita del quarantanove per cento rispetto all’anno precedente, il valore più alto mai registrato. L’Italia ne ha assorbiti poco più di cinquecento, pari al 9,6 per cento del totale globale, una quota nettamente superiore al peso della nostra economia. Il manifatturiero, cuore del tessuto produttivo nazionale, è il comparto che ha subito l’accelerazione più violenta, con un incremento vicino all’ottanta per cento.
Il dato che dovrebbe interessare di più un imprenditore non è però quello aggregato, ma quello sulla logica dell’attacco. Le campagne rivolte contemporaneamente a molte organizzazioni diverse rappresentano ormai quasi un quarto degli incidenti totali e sono raddoppiate in un anno. Significa che non serve essere un bersaglio designato per essere colpiti: basta avere un servizio esposto su internet, un firewall non aggiornato, una credenziale riutilizzata. L’automazione e gli strumenti di intelligenza artificiale hanno abbattuto il costo marginale dell’attacco, rendendo economicamente conveniente colpire anche l’azienda da quindici dipendenti che fino a ieri sarebbe stata ignorata. E gli effetti sono pesanti: nella grande maggioranza dei casi documentati l’impatto è stato classificato come elevato o critico. Sul solo fronte del ransomware l’Italia ha contato nel 2025 oltre centosessanta episodi noti, in crescita a doppia cifra.
Alla pressione criminale si è aggiunta, nel frattempo, una pressione normativa che sta ridisegnando gli obblighi. La direttiva europea sulla sicurezza delle reti, recepita in Italia nel settembre 2024, ha portato oltre ventimila organizzazioni dentro un perimetro di adempimenti stringenti, di cui più di cinquemila qualificate come soggetti essenziali. Per chi è in elenco dal 2025 la data da segnare è il 31 ottobre 2026: entro quel termine le misure di sicurezza di base definite dall’Agenzia per la cybersicurezza nazionale devono essere operative e documentabili, non semplicemente pianificate. Dall’inizio del 2026 è inoltre già attivo l’obbligo di segnalare gli incidenti significativi con tempi molto compressi, ventiquattro ore per la prima comunicazione e settantadue per quella completa. Per i soggetti iscritti solo quest’anno il calendario è più disteso, con adeguamento tecnico spostato all’estate 2027.
Molte PMI leggono questo quadro e concludono di esserne fuori. È una lettura miope, perché la normativa impone ai soggetti obbligati di valutare e monitorare la sicurezza della propria catena di fornitura. Chi fornisce servizi informatici, logistica, manutenzione o lavorazioni a un’azienda dentro il perimetro entra di fatto nella sua compliance, e se ne vede chiedere conto in sede contrattuale. La sicurezza sta diventando un requisito di qualifica fornitore al pari della certificazione di qualità: non un obbligo diretto, ma una condizione per restare nella filiera. Vale la pena aggiungere che la responsabilità di questi adempimenti è attribuita agli organi di amministrazione e non è delegabile al reparto tecnico o al consulente esterno.
Sul piano operativo il percorso è meno intimidatorio di quanto sembri, perché le misure di base coincidono largamente con l’igiene digitale che ogni azienda dovrebbe già praticare: autenticazione a più fattori sugli accessi, gestione ordinata dei privilegi, backup regolari conservati fuori linea e soprattutto testati nel ripristino, un processo continuativo di aggiornamento e correzione delle vulnerabilità, una procedura di risposta agli incidenti scritta prima dell’emergenza e non durante. A questo va affiancata la formazione delle persone, perché la porta d’ingresso resta nella maggior parte dei casi un messaggio credibile aperto da chi non aveva motivo di sospettare.
Il calcolo, alla fine, è di continuità operativa più che di conformità. Per un’impresa manifatturiera anche poche ore di fermo dei sistemi bloccano ordini, produzione e spedizioni, e la ripartenza dopo un attacco riuscito si misura in settimane. Trattare la cybersecurity come una voce di costo comprimibile significa scommettere sulla propria invisibilità in uno scenario dove l’invisibilità non esiste più.