Verona, 28 ottobre: il rischio cyber cambia volto
Il primo semestre 2026 segna un record mondiale di incidenti informatici gravi, ma in Italia il dato che conta è un altro: il bersaglio si è spostato dalla Pubblica Amministrazione alle imprese, soprattutto manifatturiere.
Come socio Clusit ho partecipato il 28 ottobre alla tappa veronese del Security Summit, dove i ricercatori dell’Associazione hanno presentato l’edizione di metà anno del Rapporto Clusit 2026. Riassumo qui i dati più rilevanti e, soprattutto, cosa significano in concreto per le imprese e gli enti pubblici che lo Studio assiste.
I numeri del primo semestre 2026
Nel mondo Clusit ha censito 4.911 incidenti gravi in sei mesi, il valore semestrale più alto di sempre: +105% sul semestre precedente e +71% sul primo semestre 2025. In Italia gli incidenti noti sono 245, in calo rispetto ai 280 del primo semestre 2025 ma in risalita dell’8% sul secondo semestre.
| Indicatore (Italia, I sem. 2026) | Dato | Confronto |
| Incidenti noti | 245 | 280 nel I sem. 2025 |
| Quota sul totale mondiale | 5% | 9,5% nel semestre precedente |
| Cybercrime come causa | circa 82% | prevalente di nuovo |
| Hacktivism | 17% | 38,7% nel 2025 |
| Malware come tecnica principale | 43% | 22,7% nel 2025 |
| Manifatturiero, primo settore colpito | 18,4% | 11,7% nel 2025 |
| Incidenti a gravità elevata | 57% | quasi +20 punti |
Due avvertenze di lettura. Clusit conta solo gli incidenti resi pubblici, non ogni tentativo. E a livello mondiale due terzi dei casi non rivelano la tecnica usata: gli obblighi di notifica fanno emergere più incidenti, ma le organizzazioni tengono riservati i dettagli tecnici. I ricercatori lo chiamano «paradosso della trasparenza».
Per le imprese: manifattura, filiera e ransomware
Le PMI produttive italiane sono oggi il bersaglio principale. Il manifatturiero raccoglie il 18,4% degli incidenti nazionali, e le vittime italiane sono il 17% di quelle manifatturiere nel mondo; nel settore il ransomware è la causa nell’89% dei casi. Per un territorio come il nostro, ad alta densità industriale, è un dato da prendere molto sul serio.
- Fornitori ICT nel mirino. Gli attacchi al settore informatico e telecomunicazioni salgono all’8,6%: colpire un fornitore significa colpire a cascata tutti i suoi clienti. La sicurezza della catena di fornitura è un obbligo NIS2, ma va scritta anzitutto nei contratti.
- NIS2 non è solo un adempimento. Clusit collega l’aumento degli incidenti emersi anche ai nuovi obblighi di notifica, ma avverte che la conformità formale non basta: serve capacità reale di resistere e ripartire.
- Intelligenza artificiale. Per i ricercatori l’IA non è ancora il motore della crescita, ma rende gli attacchi più sofisticati e accessibili; all’orizzonte c’è l’«agentic hacking», con agenti IA coordinati. Governare l’uso dell’IA in azienda, anche ai sensi dell’AI Act, diventa parte della sicurezza.
- Responsabilità degli organi di gestione. Un incidente grave oggi è anche un tema di data breach GDPR, di notifiche entro termini stretti e di responsabilità degli amministratori.
Per gli enti pubblici: un segnale positivo, non un via libera
Per la PA i dati sono incoraggianti, ma vanno letti con prudenza. In Italia la quota di incidenti contro il settore governativo, militare e forze dell’ordine scende dal 28,4% all’11%, e gli attacchi DDoS, tipicamente dimostrativi contro siti pubblici, passano dal 38,5% al 17%.
Tra le cause probabili Clusit indica procedure e difese migliorate dopo la Legge 90/2024 e la NIS2, ripristini più rapidi grazie alle segnalazioni al CSIRT nazionale e gli investimenti PNRR. Anche la sanità scende all’ultimo posto della classifica. Gli stessi ricercatori avvertono però che la tendenza andrà confermata con i dati dell’intero 2026.
Per Comuni, consorzi, IPAB e società partecipate il messaggio è chiaro: il lavoro fatto sta dando frutti, ma va consolidato. A livello mondiale il settore pubblico è tornato il più colpito, con 751 incidenti, come non accadeva dal 2021. Resta inoltre il rischio indiretto: un ente dipende dai suoi fornitori di software e servizi in cloud, e proprio quei fornitori sono sempre più attaccati.
Cinque priorità per i prossimi mesi
La presidente di Clusit, Anna Vaccarelli, ha ricordato che la sicurezza va trattata come fondamento della continuità operativa, non come costo di conformità. Da qui le priorità che suggeriamo ai nostri clienti, pubblici e privati.
- Verificare la propria posizione NIS2 e lo stato delle misure di sicurezza richieste, alla luce delle scadenze dell’autunno 2026.
- Rivedere i contratti con i fornitori ICT: clausole di sicurezza, notifica degli incidenti, audit, nomine ex art. 28 GDPR.
- Preparare la gestione dell’incidente: procedure di data breach e di notifica coordinate tra GDPR, NIS2 e CSIRT, con ruoli e tempi chiari.
- Governare l’intelligenza artificiale: mappatura degli strumenti in uso, policy interna e obblighi dell’AI Act.
- Formare persone e vertici: il fattore umano resta il primo varco, e gli organi di gestione rispondono delle scelte in materia di sicurezza.
Studio Lexin – Avvocati d’Impresa affianca imprese ed enti su NIS2, GDPR e AI Act, anche come DPO esterno. Per un confronto sulla vostra situazione potete contattare lo Studio.
