Mentre il paese affronta un’ondata di attacchi informatici senza precedenti, la complessa risposta normativa europea rischia di appesantire le aziende senza risolvere la carenza strutturale di professionisti qualificati.
[In pillole] La sintesi per chi va di fretta:
Nel 2026 l’Italia registra un’impennata di incidenti informatici, con segnalazioni aumentate del 42 per cento secondo l’ACN. Il rapporto Clusit conferma la tendenza con 507 attacchi gravi nel 2025. Mentre l’Europa risponde con normative come la NIS2, il paese si scontra con il rischio di una burocrazia paralizzante e una grave carenza di professionisti qualificati.
La sicurezza informatica in Italia, tra un’ondata di attacchi e il rischio della burocrazia
In Italia, il 2026 è iniziato con una frequenza di incidenti informatici che ha pochi precedenti. A gennaio, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha registrato 225 eventi, un dato che, sebbene mostri una leggera diminuzione degli incidenti veri e propri rispetto all’anno precedente, rivela un aumento del 42% delle segnalazioni complessive.
Questo significa che le aziende e le pubbliche amministrazioni sono più consapevoli e attive nel comunicare le minacce, ma anche che il volume di attività sospette è in costante crescita. Più che un singolo allarme, è il rumore di fondo a essere diventato assordante, una condizione di allerta permanente che sta mettendo a dura prova le infrastrutture digitali del paese.
La situazione non è affatto estemporanea, ma si inserisce in una tendenza consolidata. Per capire la traiettoria, basta guardare ai dati dell’anno precedente. Come emerge dall’ultimo rapporto del Clusit, l’associazione italiana per la sicurezza informatica, nel corso del 2025 in Italia sono stati registrati 507 attacchi gravi, con una crescita del 42 per cento rispetto al 2024.
Un’accelerazione notevole, che descrive un paese sempre più esposto e, di conseguenza, sempre più bersagliato.
Non si tratta più solo di tentativi di frode su piccola scala o di semplici virus: gli attacchi sono diventati più sofisticati, mirati e con conseguenze potenzialmente sistemiche, colpendo settori vitali per l’economia e la società.
Eppure, questo aumento esponenziale delle minacce è solo una parte della storia.
L’altra, forse meno visibile ma altrettanto complessa, riguarda la risposta che l’Europa e l’Italia stanno cercando di dare, una risposta che si basa su un imponente apparato normativo.
Il rischio, avvertito da molti addetti ai lavori, è che la cura possa introdurre effetti collaterali non trascurabili, trasformando la necessaria ricerca di sicurezza in un labirinto di adempimenti burocratici.
Un quadro sempre più complesso
Per comprendere la portata del fenomeno, è utile analizzare quali settori siano finiti maggiormente nel mirino. Sebbene l’attenzione mediatica si concentri spesso su grandi aziende o istituzioni governative, il rapporto Clusit mostra una realtà più capillare.
Il settore manifatturiero, spina dorsale dell’economia italiana, è tra i più colpiti, seguito da quello tecnologico e, dato ancora più delicato, da quello sanitario. Ospedali, aziende farmaceutiche e centri di ricerca sono diventati obiettivi primari, con conseguenze che non si misurano solo in termini economici, ma anche di sicurezza delle persone.
L’aumento più drastico, tuttavia, si è registrato nel settore governativo, militare e delle forze dell’ordine, con un incremento degli incidenti del 290 per cento, come riportato da SecurityOpenLab. Questo suggerisce un’evoluzione delle strategie degli aggressori, sempre più orientate a colpire il cuore delle infrastrutture statali.
La natura stessa degli attacchi sta cambiando. Il ransomware, ovvero quel tipo di attacco che blocca i sistemi informatici chiedendo un riscatto per ripristinarli, rimane una delle minacce più diffuse e redditizie per i gruppi criminali.
Tuttavia, si assiste a una diversificazione delle tecniche, con un uso crescente di malware progettati per rubare dati in modo silenzioso o per spiare le attività di organizzazioni strategiche.
– Leggi anche: Agenti AI autonomi: la rivoluzione di Microsoft nella cybersecurity
L’obiettivo non è più soltanto il guadagno immediato, ma anche l’acquisizione di informazioni sensibili, segreti industriali o dati governativi. Ci troviamo di fronte a un’industria del cybercrimine ben organizzata, con risorse significative e una capacità di innovazione che spesso supera quella di chi si deve difendere.
Colmare questo gap richiede strumenti che evolvano con la stessa velocità delle minacce. Per questo diverse organizzazioni stanno adottando soluzioni di AI su misura, costruite sui propri dati e flussi operativi, invece di affidarsi a prodotti standardizzati che rischiano di essere già superati al momento del deployment.
Di fronte a questa escalation, la reazione delle istituzioni europee è stata quella di rafforzare il quadro legale, con l’idea di imporre a tutte le organizzazioni, pubbliche e private, un livello minimo di sicurezza e di obbligarle a una maggiore trasparenza.
Un approccio comprensibile, che mira a creare uno standard comune e a responsabilizzare chi gestisce dati e servizi critici.
Ma le buone intenzioni, da sole, potrebbero non bastare a risolvere il problema.
La risposta normativa e i suoi dubbi
L’architettura normativa che sta prendendo forma è imponente. Il pilastro centrale è la direttiva europea NIS2 (Network and Information Security 2), recepita in Italia con il decreto legislativo 138/2024, che amplia notevolmente il numero di settori e di aziende considerate “essenziali” o “importanti” e che quindi devono sottostare a regole di sicurezza più stringenti.
A questa si aggiunge il DORA (Digital Operational Resilience Act), un regolamento specifico per il settore finanziario, e il Cyber Resilience Act, che entrerà in vigore a novembre 2027 e imporrà requisiti di sicurezza per tutti i prodotti con componenti digitali, dai software ai dispositivi connessi a internet.
L’obiettivo è chiaro: alzare il livello di difesa collettivo, costringendo le aziende a investire di più in sicurezza e a segnalare tempestivamente ogni incidente.
Tuttavia, questo approccio “dall’alto” solleva alcune perplessità. La prima riguarda il carico burocratico che queste normative impongono, specialmente alle piccole e medie imprese. Per una multinazionale con un ufficio legale e un team di esperti di cybersecurity dedicati, adeguarsi alla NIS2 può essere un processo oneroso ma gestibile.
Per una piccola azienda manifatturiera o per un fornitore di servizi locale, districarsi tra analisi del rischio, piani di risposta agli incidenti, notifiche alle autorità e audit di conformità può diventare un ostacolo quasi insormontabile. Il rischio è che molte di queste imprese si concentrino più sul produrre la documentazione necessaria per essere “a norma” che sull’implementare misure di sicurezza realmente efficaci.
La conformità normativa e la sicurezza reale non sono sempre la stessa cosa.
Inoltre, un approccio così rigidamente regolamentato potrebbe favorire i grandi fornitori di tecnologia, spesso multinazionali, che offrono soluzioni “chiavi in mano” per la conformità. Questo potrebbe portare a un’omologazione delle strategie di difesa, rendendo le aziende paradossalmente più prevedibili e quindi più vulnerabili ad attacchi su larga scala.
Mentre si cerca di costruire un sistema di difesa coordinato, si potrebbero trascurare approcci più flessibili e autonomi, come la creazione di ISAC (Information Sharing and Analysis Center) settoriali, promossi dalla stessa ACN, dove le aziende possono scambiarsi informazioni sulle minacce in modo più diretto e operativo, senza il peso formale della burocrazia.
Ma anche supponendo che l’impianto normativo sia impeccabile e che le aziende riescano a sostenerne il peso, emerge un problema ancora più profondo, che nessuna legge può risolvere da sola: la mancanza di persone con le competenze adeguate per mettere in pratica queste strategie.
Prima ancora di cercare specialisti sul mercato esterno, molte aziende stanno rivalutando il proprio patrimonio interno. Sistemi evoluti di gestione delle risorse umane permettono di mappare le competenze già presenti in organico, identificare gap formativi e pianificare percorsi di sviluppo mirati, un punto di partenza concreto prima di affidarsi a ricerche esterne spesso infruttuose.
Un problema di persone, prima che di tecnologia
Il vero tallone d’Achille del sistema italiano non è la mancanza di tecnologia o di leggi, ma la carenza strutturale di professionisti della sicurezza informatica.
Secondo diverse stime, come quella diffusa da Askanews, all’Italia mancano circa 236.000 esperti di tecnologie dell’informazione e della comunicazione (ICT) per allinearsi alla media europea.
Questo divario non riguarda solo gli specialisti di cybersecurity di alto livello, ma anche figure tecniche intermedie, analisti e personale in grado di gestire le infrastrutture digitali in modo sicuro. È una voragine che rende difficile, se non impossibile, attuare le complesse strategie di difesa richieste dalle nuove normative.
Le aziende faticano a trovare sul mercato le figure di cui hanno bisogno, e la competizione per i pochi talenti disponibili è spietata. Le grandi aziende tecnologiche e le società di consulenza possono offrire stipendi e condizioni di lavoro che la pubblica amministrazione o le piccole imprese non possono permettersi, creando un’ulteriore disparità.
Il risultato è che proprio i settori più vulnerabili e con meno risorse, come la sanità pubblica o gli enti locali, sono anche quelli con le maggiori difficoltà a reclutare personale qualificato.
Si crea così un circolo vizioso: le organizzazioni più esposte sono anche le meno attrezzate per difendersi, non per mancanza di volontà, ma per l’impossibilità oggettiva di accedere alle competenze necessarie.
Questo problema non si risolve con un decreto, ma richiede una strategia a lungo termine che parta dal sistema formativo: investimenti nelle università, negli istituti tecnici superiori e in percorsi di riqualificazione professionale.
Senza un intervento deciso su questo fronte, il rischio è che l’imponente castello normativo costruito per difendere il paese resti un guscio vuoto, una serie di procedure sulla carta che nessuno ha le competenze pratiche per implementare in modo efficace quando un attacco si manifesta realmente.
L’Italia si trova così a un bivio: da un lato, una minaccia informatica sempre più aggressiva e pervasiva; dall’altro, una risposta basata su regole e conformità che rischia di essere inapplicabile senza le persone giuste per darle corpo.
La vera sfida, per i prossimi anni, sarà colmare questo divario tra l’ambizione normativa e la realtà operativa.
