Sono passati oltre diciotto mesi dall’entrata in vigore del D.lgs. 138/2024, con cui l’Italia ha recepito le disposizioni della NIS2. In questo arco di tempo, la postura di cybersicurezza dei soggetti NIS avrebbe dovuto allinearsi a livelli chiari ed esplicitati nelle misure di sicurezza di base pubblicate dall’ACN. Eppure, la situazione non sembra essere cambiata nella sostanza, ma solo nella forma: al di là dei classici bollini attestanti certificazioni, procedure di sicurezza e sproloqui sulla cultura della sicurezza, rimane ben poco quando si analizzano gli incidenti, e la realtà che emerge è un’altra.
Una situazione che vede nel DigEat Festival 2026 un’importante opportunità d’interazione, formazione, e apprendimento sulle novità più rilevanti relative a questo rilevante tema.
Indice degli argomenti
Cybersecurity in Italia: gli attacchi colpiscono le regioni più ricche
L’Italia, infatti, è un paese colpito da un numero ragguardevole di attacchi, concentrati per lo più nelle regioni del Nord. Nulla di tutto questo è casuale e, ormai, siamo abituati a considerare questo trend come il tentativo di colpire le regioni più ricche e, quindi, più disposte a pagare un eventuale riscatto. Per comprendere bene la portata del fenomeno, si consideri che, nei primi quattro mesi del 2026, le regioni più colpite erano la Lombardia, il Lazio e l’Emilia-Romagna. La presenza del Lazio non deve stupire: negli ultimi anni la regione è stata oggetto di attacchi crescenti, in quanto centro istituzionale e politico del Paese.
La postura di sicurezza delle aziende italiane resta fragile
Ciò che invece sembra non essere cambiato è l’atteggiamento di molte realtà aziendali che, pur essendo identificate come “soggetti NIS”, hanno continuato ad avere una gestione inadeguata dei dati e dei sistemi. All’inizio dell’anno è stata colpita una grande azienda impegnata nella produzione e distribuzione di sostanze chimiche. Aziende di questo tipo rientrano nell’ambito della NIS2, in quanto operano in un settore critico definito come “Fabbricazione, produzione e distribuzione di sostanze chimiche” (Allegato II, punto 3). Dall’azienda colpita sono stati sottratti documenti relativi alla produzione, alla contrattualistica, alla logistica e alla gestione interna dei sistemi informativi.
Dopo un anno e mezzo dall’entrata in vigore della NIS2, la gestione dei sistemi ICT di questa azienda era ancora affidata a password di amministrazione di quattro caratteri; non vi era alcuna segmentazione di rete, non erano impostate regole di firewalling, non vi era alcun filtraggio del traffico esterno e mancavano completamente i documenti relativi alle procedure ordinarie e straordinarie. Le password dei principali sistemi aziendali (gestionali, apparati di rete, console di monitoraggio) sono state esposte su internet perché conservate all’interno di un normale file Excel, peraltro privo di qualsiasi forma di protezione.
Pochi mesi dopo è stato esaminato il caso di un data breach che ha colpito un’azienda fornitrice di servizi tecnologici. La violazione ha spinto il general manager a costituire un team di consulenti esterni per comprendere le cause dell’accaduto e valutare la postura di cybersecurity dell’azienda. Le difformità rilevate nelle prime quarantotto ore erano così numerose e gravi da indurre la direzione ad attivare responsabilità disciplinari interne, ma la questione resta: come è stato possibile creare un’intera infrastruttura di calcolo, peraltro piuttosto evoluta, senza controlli interni?
Più o meno nello stesso periodo è stato possibile esaminare un data breach ai danni di una grande azienda operante nel settore della filiera alimentare. La “produzione, trasformazione e distribuzione di alimenti” rientra tra gli altri settori critici attenzionati dalla NIS2; stiamo parlando di un comparto estremamente delicato, in grado di produrre impatti considerevoli sulla popolazione. Ebbene, l’analisi svolta sulla violazione ha mostrato misure di sicurezza fortemente inadeguate, se non quasi del tutto assenti, che hanno consentito all’attore malevolo di muoversi all’interno di ogni singola cartella del sistema informatico senza incontrare alcun tipo di resistenza.
NIS2 e cybersecurity italiana: obblighi senza cambiamento
È evidente che la normativa non può sostituirsi alla competenza, al senso di responsabilità e alla disciplina degli operatori del settore. Se si confrontasse la sicurezza di questi sistemi informativi con quella dei sistemi esposti durante gli incidenti documentati nel 2018, si noterebbe una drammatica similitudine, quasi a testimoniare la mancata evoluzione della cybersecurity.
Eppure, la NIS2 richiama l’attenzione su un aspetto importante, che non riguarda la singola azienda in sé, bensì la dimensione geopolitica ed economica del tessuto produttivo critico del nostro Paese. L’attività svolta dall’Agenzia per la Cybersicurezza Nazionale in questi mesi è stata intensa e ampiamente documentata nel portale istituzionale. Le informazioni sono arrivate, così come le disposizioni, ma il rispetto delle stesse è stato carente, se non addirittura assente, in molte di queste realtà.
A poco servono i costanti articoli online, dai titoli anche piuttosto espliciti; si pensi, ad esempio, a: “Aumenta il rischio globale sulla cybersecurity: lo scorso anno +26% segnalazioni e +51% ransomware” (Federprivacy, 2026), “Attacco hacker a infrastrutture Pa, indaga l’Antiterrorismo di Roma” (ANSA, 2026), “Un gruppo di hacker legati a Pechino ha colpito la Pubblica amministrazione italiana” (Corriere, 2026). Gli allarmi sono molti e ben chiari; si pensi al dato pubblicato nel rapporto Clusit 2026: “nel 2025 l’aumento è pari al 42% (Fig. 25), di poco inferiore al tasso di crescita globale che supera il 48%” (“Rapporto Clusit sulla Cybersecurity in Italia e nel mondo 2026”, p. 35).
Compliance NIS2 e procedure nella cybersecurity italiana
Nulla di tutto questo costituisce, dunque, una novità; è allora imperativo provare a individuare le cause del mancato cambiamento. La NIS2 ha ulteriormente aperto il mercato della “compliance”, già ampiamente attivo: la necessità di “appaltare” la sicurezza all’esterno, affidandola a soggetti terzi, è diventata il principio guida di molte organizzazioni.
In termini molto concreti, lo scopo non era la messa in sicurezza dei dati, dei sistemi e delle reti, bensì evitare problemi di difformità normativa. Alla fine del 2025 molte organizzazioni stavano valutando di adottare referenti CSIRT esterni, al fine di liberarsi da incombenze e responsabilità; questo almeno fino a quando l’ACN non ha dovuto sottolineare, anzi “evidenziare”, un concetto ovvio: “Si evidenzia che la designazione del referente CSIRT è una delega “operativa” e non costituisce una delega di responsabilità”. Inoltre, l’affidamento a terzi della gestione dei sistemi informativi spesso non colma una delle principali mancanze rilevate durante le ispezioni: l’assenza di procedure operative.
Nel 2026 il dipartimento IT di un’azienda (soggetto NIS) con oltre cinquanta milioni di euro di fatturato annuo è stato sottoposto a ispezione da parte dell’ufficio audit. Nonostante l’applicazione di procedure per la gestione ordinaria e straordinaria del sistema informativo, l’organizzazione era completamente priva della relativa documentazione formale.
In una relazione rilasciata dall’ufficio di audit si legge: “Non esistono processi di gestione formalizzati in documenti approvati dall’organizzazione. Il personale opera su propria iniziativa, riceve istruzioni giornaliere a voce sui compiti da svolgere. La maggior parte degli interventi di manutenzione e supporto non è tracciata all’interno di alcun verbale o documento tecnico. Vi è traccia parziale di problemi sui sistemi client interrogando l’archivio delle mail con cui viene attivato il servizio di supporto.”
Responsabilità e cultura per la cybersecurity in Italia
Nulla di tutto questo è risolvibile da una norma o da un’agenzia governativa di regolamentazione e vigilanza. L’unico approccio sostenibile è quello della qualità e della responsabilità nella gestione, dell’etica e della disciplina necessarie al mantenimento e al miglioramento nel tempo delle misure adottate. Il portale RansomNews[1], a maggio 2026, collocava l’Italia al 6° posto tra i Paesi più colpiti, davanti al Brasile. È bene tenere presente che l’Italia è un Paese con 58,9 milioni di abitanti, mentre il Brasile ne conta 213 milioni; la superficie dell’Italia è circa ventotto volte inferiore a quella del Brasile, ma il Paese risulta più minacciato dal punto di vista cyber.
Qual è, allora, la soluzione? Le aziende devono comprendere l’importanza della cybersecurity al di là degli obblighi di legge e dei vincoli normativi. Devono farlo in un’ottica di gestione etica del dato e di costruzione di un rapporto corretto con clienti, fornitori e utenza in generale. Si tratta di un cambiamento che deve iniziare, sul piano culturale, dagli uffici tecnici e da quelli preposti alla compliance normativa, per poi diffondersi in tutti gli apparati aziendali ma non è un problema solo delle aziende. Eventi come il Digeat Festival (https://digeatfestival.it/) hanno proprio lo scopo di promuovere la corretta cultura della sicurezza e la consapevolezza sulla gestione dei dati.
Data breach e informazioni sensibili nel panorama cyber italiano
Durante l’estate 2026 è stato colpito uno studio legale specializzato in diritto societario e bancario ma anche in diritto di famiglia. È facile immaginare le conseguenze di quanto è successo: oltre dieci anni di file esfiltrati, l’intero database di posta elettronica è stato prelevato con le comunicazioni verso clienti ed altri avvocati. All’interno dei messaggi di posta elettronica vi erano allegati che rivelavano l’identità delle parti in causa e le loro posizioni finanziarie.
Molto spesso questi file contenevano anche informazioni come il luogo di nascita o l’indirizzo di residenza. In altre mail, e nei file allegati, era possibile rintracciare il nome dei coniugi e dei figli minorenni, compresa la scuola privata o pubblica a cui erano iscritti; vi era la routine dei genitori nel mantenimento e crescita dei minori, così come i riferimenti telefonici di nonni e zii. Vi erano informazioni sulla disponibilità economica di tutte le parti interessate e, in alcuni casi, vi erano allegate delle fotografie di famiglia.
Tutto questo dovrebbe essere sufficiente per dimostrare che anche uno studio legale, non necessariamente grande, ha una mole d’informazioni che deve essere protetta adeguatamente. Colpire “direttamente” il bersaglio potrebbe essere uno sforzo inutile quando, le medesime informazioni, si possono ottenere aggredendo il referente legale.
Intelligenza artificiale e cybersecurity: opportunità e rischi
È lecito quindi domandarsi se l’intelligenza artificiale possa davvero contribuire al mantenimento di una corretta postura di cybersecurity: la risposta è affermativa, ma richiede alcune precisazioni. L’intelligenza artificiale può monitorare la cybersecurity sia dal punto di vista parametrico sia da quello “comportamentale”. Quest’ultimo è il più rilevante, perché consente di intercettare le minacce fin dalla loro formazione, quando non sono ancora complete, manifeste e operative. Ciò offre un notevole vantaggio in termini di sicurezza, ma occorre considerare due aspetti.
La supervisione umana dell’intelligenza artificiale
Il primo riguarda la necessaria presenza degli esseri umani e la loro supervisione sul lavoro dell’algoritmo. L’intelligenza artificiale è uno strumento di supporto ausiliario, non l’elemento centrale e unico. Implementare una soluzione “intelligente” significa prevedere nuovi processi e adeguate modalità di monitoraggio e intervento, idonei ad accompagnare tale implementazione.
Gli attacchi cyber potenziati dagli algoritmi
Il secondo aspetto riguarda il fatto che le azioni offensive saranno altrettanto robuste; molti attacchi cyber sono già attuati usando algoritmi d’intelligenza artificiale e l’idea che una difesa “intelligente” debba contrastare un attacco “stupido” è un’utopia. Chi si occupa di cybersecurity conosce l’importanza di avere misure di difesa adeguate alle modalità di attacco a cui l’organizzazione può essere esposta. Ritenere che gli attaccanti non utilizzino forme di attacco complesse e basate su algoritmi sofisticati è sciocco e poco aderente alla realtà.
In conclusione, anche con l’impiego dell’intelligenza artificiale, la cybersecurity avrà necessità di una capacità discriminante e decisoria fondamentalmente attribuita all’essere umano. Certamente, gli strumenti supporteranno i tecnici nelle valutazioni e nelle azioni da intraprendere, ma non si sostituiranno a essi.
Partecipa alla community