Il fronte cyber della crisi iraniana non riguarda solo governi e infrastrutture critiche. Per le imprese europee e italiane può diventare un moltiplicatore di stress finanziario, blocchi operativi e ritardi decisionali. La vera differenza, oggi, la fanno modelli predittivi, assetti organizzativi adeguati e capacità di leggere il rischio prima che diventi crisi.
Indice degli argomenti
La guerra “lontana” che entra nei conti economici delle imprese
Nelle fasi di escalation geopolitica con l’Iran, il rischio cyber non è un corollario del conflitto: è una sua componente strutturale. Autorità e operatori di sicurezza continuano a segnalare che attori statuali o allineati a Teheran mantengono capacità rilevanti di intrusione, furto credenziali, attacchi distruttivi e campagne di denial-of-service, con particolare attenzione verso organizzazioni scarsamente protette e infrastrutture critiche. La stessa FINRA, richiamando advisory CISA e altri organismi federali, parla di rischio elevato di intrusioni, data theft, ransomware, destructive attacks e DDoS in fasi di tensione geopolitica; il Canadian Centre for Cyber Security ha evidenziato che attori iraniani sponsorizzati dallo Stato tendono a colpire in modo opportunistico obiettivi debolmente difesi, incluse organizzazioni collegate a infrastrutture essenziali.
Per l’impresa, però, la questione più interessante non è solo la cybersecurity in senso stretto. È il modo in cui uno shock cyber-geopolitico si trasforma in crisi aziendale. La sequenza è spesso meno spettacolare di quanto si immagini: prima aumenta il rischio operativo, poi si deteriorano i flussi di cassa, si allungano i tempi di incasso, si comprimono i margini, si alza il costo del capitale, si irrigidiscono banche e fornitori, e solo dopo emerge formalmente la crisi. In altre parole, la guerra digitale può agire come acceleratore di insolvenza, anche senza un attacco “devastante” in senso mediatico. Questo vale soprattutto per le imprese che dipendono da:
• supply chain digitali estese;
• sistemi OT/ICS o ambienti cloud critici;
• pagamenti digitali e continuità di piattaforma;
• contratti con PA, difesa, energia, logistica, sanità;
• dati sensibili o disponibilità continua di rete.
L’errore più comune è trattare il rischio cyber come un rischio IT. In realtà, in uno scenario di crisi iraniana o di altra escalation ibrida, il rischio cyber diventa un rischio economico-finanziario, organizzativo e concorsuale.
Come il cyber risk entra nella crisi d’impresa
Il punto tecnicamente più rilevante è comprendere come un evento cyber si trasmetta all’equilibrio aziendale. I meccanismi principali sono almeno cinque.
I cinque meccanismi principali del danno
Il primo è il blocco operativo. Un attacco ransomware, una compromissione dell’identità digitale o un evento DDoS che renda indisponibili portali, ERP, sistemi di prenotazione, piattaforme e-commerce o sistemi produttivi non genera solo un costo IT: interrompe fatturazione, evasione ordini, supply chain e rapporto con clienti e fornitori. ENISA evidenzia che nel panorama europeo 2025 digital infrastructure, servizi digitali, trasporti e logistica sono rimasti bersagli strategici per cyberespionage e ransomware, mentre il phishing continua a essere il vettore dominante di intrusione.
Il secondo è il danno reputazionale con effetti contrattuali. Nei settori regolati o trust-intensive, la compromissione di dati o la perdita di continuità può attivare clausole contrattuali, audit straordinari, richieste risarcitorie e rescissioni. Per alcune imprese, soprattutto B2B, il danno maggiore non è l’incidente ma la revisione del merito di affidabilità da parte del mercato.
Il terzo è l’aumento del costo del capitale e del rischio di credito. Dopo un incidente cyber rilevante, l’impresa può subire:
• peggioramento del rating interno bancario;
• richiesta di covenant più stringenti;
• aumento del premio assicurativo;
• ritardi nel rinnovo delle linee;
• maggiori accantonamenti di liquidità a fini precauzionali.
Il quarto è la distorsione informativa. Nelle settimane o nei mesi successivi a un attacco, la qualità dei dati manageriali può peggiorare: contabilità ritardata, flussi intermittenti, riconciliazioni incomplete, forecasting meno affidabile. Questo è un problema centrale, perché la crisi d’impresa moderna è spesso una crisi di lettura, prima ancora che di numeri.
Il quinto è la responsabilità organizzativa. Se il vertice non aveva predisposto assetti adeguati per intercettare e gestire il rischio cyber, la vicenda può assumere rilievo anche sotto il profilo della diligenza gestoria, della compliance e, in casi gravi, del successivo contenzioso su responsabilità degli amministratori.
Da qui deriva una conseguenza netta: in un’economia digitalizzata, il cyber risk geopolitico non è un rischio “esogeno puro”, ma una variabile da includere nei modelli di continuità aziendale, tesoreria, risk governance e prevenzione della crisi.
Minacce ibride e business europei sotto pressione
Uno degli equivoci più diffusi è che solo un attacco diretto a grandi infrastrutture possa generare effetti economici seri. In realtà, i modelli di minaccia più rilevanti per le imprese europee e italiane sono quelli di perturbazione prolungata e a bassa intensità apparente.
Le campagne attribuite o associate ad attori iraniani si collocano da tempo in un perimetro che include credenziali compromesse, campagne di phishing e, in alcuni casi, operazioni più distruttive o disruptive. Advisory recenti ricordano che attori iraniani hanno mostrato interesse strategico verso identità, accessi remoti, reti industriali e organizzazioni con posture difensive deboli. Per un’impresa italiana, il rischio concreto non è necessariamente “essere nel mirino geopolitico” in senso diretto. È piuttosto:
• essere parte di una filiera o di un ecosistema colpito;
• dipendere da un fornitore SaaS/cloud indisponibile;
• subire un attacco opportunistico durante una fase di heightened threat;
• essere target di credential access o phishing finalizzato a frodi finanziarie;
• subire esfiltrazione dati in un momento di mercato delicato.
Il problema, quindi, è la second-order fragility: l’impresa non crolla perché è stata colpita da un missile digitale “eccezionale”, ma perché non riesce a reggere la combinazione di interruzione operativa, ritardi finanziari e cattiva lettura del rischio.
Perché il cyber risk richiede modelli predittivi nuovi
Nel diritto della crisi e nella governance d’impresa, il tema della prevenzione si è progressivamente spostato verso l’emersione anticipata degli squilibri. Il Codice della crisi chiarisce che la nozione di crisi riguarda l’inadeguatezza dei flussi di cassa prospettici a far fronte regolarmente alle obbligazioni nei successivi dodici mesi, e la composizione negoziata è stata strutturata proprio per favorire l’intervento anticipato, riservato e guidato, prima che il deterioramento diventi irreversibile. Il punto, però, è che i modelli tradizionali di early warning sono spesso ancora troppo:
• contabili;
• statici;
• backward-looking;
• poco sensibili a shock digitali o geopolitici.
In uno scenario come quello della crisi iraniana, un sistema di prevenzione efficace dovrebbe integrare almeno quattro famiglie di variabili.
Le quattro famiglie di variabili da integrare
La prima è quella finanziaria classica: DSCR prospettico, cash burn, ageing del circolante, disponibilità delle linee, concentrazione degli incassi, elasticità della tesoreria.
La seconda è quella operativa-digitale: tempi di ripristino (RTO), esposizione a single points of failure, criticità dei fornitori cloud, dipendenza da sistemi OT/ICS, percentuale di processi core digitalizzati senza fallback manuale.
La terza è quella cyber-threat intelligence: livello di esposizione a campagne in corso, vulnerabilità note non risolte, indicatori di compromissione, rischio di credential stuffing o accessi anomali, fragilità di identity governance.
La quarta è quella comportamentale e di governance: qualità del reporting, frequenza di escalation al board, indipendenza delle funzioni di controllo, bias decisionali del vertice, tendenza a sottostimare segnali deboli.
Un modello predittivo davvero utile alla prevenzione non si limita a dire “l’impresa è fragile”, ma deve stimare come uno shock cyber possa alterare:
• ricavi attesi;
• continuità operativa;
• struttura dei costi;
• covenant finanziari;
• reputazione e rinnovo clienti;
• probabilità di accesso tempestivo a strumenti di regolazione della crisi.
In termini tecnici, servono modelli scenario-based, non solo indicatori statici.
Un framework tecnico di early warning
Per rendere il discorso concreto, un framework avanzato di prevenzione potrebbe essere costruito su tre layer.
I tre layer del modello
Il primo layer è il baseline risk layer, cioè la fotografia della posizione dell’impresa in condizioni ordinarie:
• margini, PFN, concentrazione clienti, dipendenza fornitori;
• mappatura asset digitali critici;
• esposizione regolatoria e contrattuale;
• maturità cyber minima (MFA, backup, segmentation, SOC, incident response).
Il secondo layer è lo event stress layer, che simula l’effetto di uno shock iran-related o di altra crisi cyber-geopolitica su variabili chiave. Ad esempio:
• indisponibilità ERP per 72 ore;
• blocco temporaneo del portale ordini;
• esfiltrazione dati clienti con impatto reputazionale;
• compromissione fornitore critico;
• attacco DDoS in fase di picco commerciale.
Per ogni scenario si misurano:
• perdita ricavi giornaliera;
• incremento working capital;
• ritardo incassi;
• costo straordinario di remediation;
• probabilità di violazione covenant;
• fabbisogno di cassa addizionale.
Il terzo layer è il governance response layer, che stima la capacità del management di reagire tempestivamente:
• esistenza di playbook approvati;
• frequenza del cyber reporting al board;
• tempo medio di escalation;
• integrazione tra CFO, CIO/CISO e advisor;
• prontezza nell’attivare tavoli con banche, fornitori e stakeholder.
Il vero salto di qualità sta qui: collegare il rischio cyber alla governance della crisi, non lasciarlo confinato al dominio tecnico.
Adeguati assetti, segnali deboli e ritardi decisionali
Una delle lezioni più importanti della crisi d’impresa contemporanea è che il danno maggiore spesso non deriva dallo shock in sé, ma dal ritardo con cui l’impresa lo riconosce. Questo vale ancora di più nei fenomeni cyber-geopolitici, perché il management tende spesso a considerarli:
• temporanei;
• esogeni;
• assorbibili;
• “di competenza IT”.
Qui entrano in gioco gli adeguati assetti e la capacità dell’organizzazione di trasformare un segnale tecnico in un segnale gestorio. Se il board riceve solo report rassicuranti, se la tesoreria non simula scenari cyber, se il CISO non dialoga con CFO e advisor della crisi, l’impresa resta cieca proprio nel momento in cui dovrebbe anticipare. La composizione negoziata, nella sua logica più moderna, dovrebbe essere vista anche come uno strumento per gestire crisi ibride: non solo crisi da indebitamento o da mercato, ma crisi in cui fattori digitali, reputazionali e di sicurezza alterano la continuità aziendale. Il problema è che molte imprese vi arrivano tardi, quando il danno cyber ha già contaminato:
• liquidità;
• credibilità verso i creditori;
• affidabilità informativa;
• tenuta organizzativa.
La prevenzione, quindi, non può limitarsi a un assetto contabile formalmente corretto. Deve includere una capacità di sensing sugli shock digitali.
Il cyber risk nel contesto italiano della resilienza
Per l’Italia il tema non è astratto. L’ACN è l’autorità nazionale di riferimento per sicurezza e resilienza nel cyberspazio; il CSIRT Italia svolge attività proattive, supporto sugli incidenti ed early warning verso soggetti a rischio; la Strategia Nazionale di Cybersicurezza 2022-2026 punta esplicitamente a rafforzare resilienza e sicurezza del Paese. Nel secondo semestre 2025 ACN ha registrato 1.253 eventi cyber, mentre il CSIRT Italia ha inviato oltre 5.000 comunicazioni verso soggetti con sistemi esposti o a rischio.
Questi dati non significano che l’Italia sia “sotto attacco iraniano” in modo diretto e sistematico. Significano qualcosa di più importante: il sistema paese opera in un contesto di pressione cyber continua, in cui una crisi come quella iraniana può aumentare il livello di attenzione e la necessità di preparazione, anche in assenza di un immediato incremento osservabile di attacchi. Lo stesso dibattito internazionale, in questi mesi, oscilla tra avvisi di heightened threat e rilevazioni prudenti che non sempre segnalano un’immediata impennata di attacchi: proprio questa ambiguità conferma che il problema centrale è la preparazione preventiva, non la reazione emotiva all’ultimo headline.
Per le imprese italiane, quindi, la lezione è chiara: la resilienza nazionale non sostituisce la resilienza aziendale. Le due devono integrarsi.
Opportunità manageriali oltre il cyber risk
C’è però un lato meno discusso, e non secondario. Le crisi geopolitiche con forte componente cyber possono diventare un acceleratore di maturazione manageriale. In particolare, possono spingere le imprese a:
• integrare davvero cyber risk e financial risk;
• sviluppare modelli predittivi più realistici;
• rafforzare i flussi informativi verso il board;
• collegare la continuità operativa ai processi di composizione della crisi;
• creare un linguaggio comune tra finanza, legale, IT e governance.
Le imprese che usciranno meglio da questa fase non saranno quelle con più tecnologia in assoluto, ma quelle capaci di:
- trasformare il rischio cyber in una variabile di pianificazione economico-finanziaria;
- usare modelli predittivi non come strumenti cosmetici, ma come supporto alle decisioni su continuità, tesoreria e ristrutturazione;
- anticipare il dialogo con banche, investitori e advisor prima che il danno diventi irreversibile.
Questo è il vero futuro: non una cybersecurity separata dal business, ma una crisis intelligence integrata.
Dal cyber risk alla bancarotta quando la governance cede
Dal rischio alla bancarotta: il confine si accorcia quando la governance è debole
Nei casi più gravi, un evento cyber-geopolitico non gestito può concorrere a portare l’impresa dalla tensione alla vera insolvenza. Quando si verifica:
• erosione della cassa,
• perdita di affidabilità informativa,
• paralisi operativa,
• irrigidimento dei creditori,
• ritardo nell’attivazione di strumenti di composizione,
il rischio di bancarotta non nasce più da un’unica causa, ma da una combinazione di shock e inerzie. È questo che rende il tema così attuale: la crisi iraniana, come ogni crisi ibrida contemporanea, ci mostra che il confine tra geopolitica, cyberspazio e diritto della crisi si è ormai assottigliato.
Per questo motivo, la domanda non è più se una guerra lontana possa toccare l’impresa italiana. La domanda corretta è: quanto siamo in grado di leggere, modellare e gestire i suoi effetti prima che entrino nel bilancio, nella tesoreria e poi nel tribunale?
