Pensiamo a cosa succede quando un fornitore si ferma o quando il ripristino deve rispettare i tempi promessi ai clienti: è lì che si misura davvero la sicurezza di un’impresa. Ed è proprio su questo terreno che l’EY Cyber Barometer 2025 porta il suo contributo al dibattito italiano, collegando la maturità dei controlli alla continuità dei servizi. Questa seconda edizione analizza oltre 300 società italiane sottoposte a financial audit, contro le oltre 100 del biennio precedente.
Indice degli argomenti
EY Cyber Barometer 2025 e maturità cyber delle imprese italiane
L’analisi si articola in otto domini, costruiti in coerenza con la direttiva NIS 2: rischio, incidenti, continuità operativa, reti, cifratura, persone e asset, verifica dell’efficacia e fornitori. Ciascun dominio viene valutato su una scala da zero a cinque, che considera quanto i presidi sono formalizzati e attuati, quali evidenze operative esistono e se i risultati vengono misurati.
Nell’aggregare i punteggi si tiene conto anche del profilo di rischio dei singoli settori. È importante chiarirlo subito: il Barometer non è una certificazione di conformità, ma un benchmark pensato per aiutare le aziende a orientare le proprie decisioni.
Come si misurano i livelli di maturità cyber aziendale
Che cosa ci dicono i numeri? Il modello di valutazione adotta una scala di maturità da 0 a 5, articolata in cinque livelli progressivi. A ciascun intervallo di score corrisponde un diverso grado di maturità, da Initial (0–1), caratterizzato da presidi limitati, non strutturati e prevalentemente ad hoc, fino a Optimized (4–5), che identifica un modello pienamente strutturato, con processi uniformi e integrati, una governance efficace e un monitoraggio continuo.
I livelli intermedi, Managed (1–2), Defined (2–3) e Quantitatively Managed (3–4), rappresentano una progressiva evoluzione delle capacità, delle tecnologie, della formalizzazione dei processi e dei meccanismi di governance. All’aumentare dello score aumenta quindi il livello di strutturazione, diffusione e consolidamento dei presidi all’interno dell’organizzazione.
La filiera frena la maturità cyber delle imprese italiane
Le medie degli otto domini oscillano tra 2,39 e 3,02 su cinque. Il risultato migliore riguarda la gestione delle persone, controllo degli accessi e asset, con 3,02; seguono reti e sistemi a 2,75 e gestione degli incidenti a 2,62. Una buona notizia: i controlli di base sono ormai diffusi nel campione.
Il quadro cambia però quando guardiamo alla sicurezza della catena di approvvigionamento, che scende a 2,39. Le procedure per verificare l’efficacia delle misure si fermano a 2,48, mentre continuità operativa e gestione delle crisi arrivano a 2,54. Il messaggio è chiaro: avere una policy non basta a garantire che funzioni nel momento della crisi.
Il disallineamento tra criticità e maturità
I numeri diventano ancora più utili se li leggiamo in base alla criticità. Nella fascia di massima priorità, il Tier 1, il rapporto colloca analisi del rischio, incidenti, continuità operativa e sicurezza della filiera, e proprio quest’ultima registra il punteggio più basso.
Il report parla di «disallineamento sistemico tra criticità e livelli di maturità»: in altre parole, gli ambiti da cui dipende la tenuta del servizio non ottengono, nel complesso, punteggi più alti degli altri. Per decidere da dove partire, quindi, non basta misurare il divario nei controlli: occorre chiedersi anche quale impatto potrebbe avere sul business.
La filiera come rischio operativo
Facciamo un esempio. Una azienda manufatturiera può proteggere bene la propria rete e restare comunque esposto al software di un terzo o a una piattaforma logistica condivisa.
Per questo il Barometer richiama l’importanza di valutare i fornitori, definire clausole contrattuali adeguate, monitorarli, avviare azioni correttive e conoscere anche i subfornitori. È un lavoro di squadra, che chiama in causa sicurezza, acquisti, funzione legale e operations. L’articolo 21 della NIS 2 include sia la sicurezza della catena di approvvigionamento sia la verifica dell’efficacia dei controlli, e la ricerca ci mostra quanto impegno organizzativo richieda tradurre questi principi nella pratica.
Settori e dimensioni dividono la cybersicurezza delle aziende italiane
Anche tra i settori il panorama è tutt’altro che uniforme. Nella vista aggregata, la gestione dei servizi TIC per altre imprese raggiunge 3,34 e i fornitori di servizi digitali 3,28. In fondo alla graduatoria del campione troviamo invece la gestione dei rifiuti, con 1,80, e la fabbricazione di beni intermedi, con 1,70.
Le ragioni si possono intuire: per chi opera nel digitale, garantire la disponibilità del servizio e rispondere alle verifiche dei clienti fa parte del lavoro di ogni giorno, mentre nell’industria entrano in gioco anche impianti, tecnologie operative e filiere più stratificate. Il rapporto propone queste chiavi di lettura, senza attribuire i punteggi a un’unica causa.
Il divario tra piccole, medie e grandi imprese
Se guardiamo alla dimensione, le medie sono 2,32 nelle “piccole imprese”, 2,33 nelle “medie” e 2,51 nelle “grandi”. Un dato che invita a guardare oltre il budget: ruoli chiari, un inventario dei servizi critici e prove di ripristino sono passi alla portata anche delle realtà più piccole, se definiti in modo proporzionato. In un tessuto produttivo come il nostro, fatto di specializzazioni e di rapporti stretti tra committenti e fornitori, rafforzare questi passaggi significa proteggere non solo la propria impresa, ma anche la continuità dell’intera filiera.
Investimenti e incidenti nel quadro cyber delle imprese italiane
Le premesse per fare bene, del resto, ci sono. Secondo l’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano, il mercato italiano della cybersicurezza ha raggiunto 2,78 miliardi di euro nel 2025, con una crescita del 12% sull’anno precedente.
La Commissione europea riconosce i progressi compiuti nella digitalizzazione delle PMI e nell’adozione di cloud, intelligenza artificiale e analisi dei dati, così come le solide basi industriali e di ricerca del Paese. Allo stesso tempo, segnala una carenza di specialisti ICT e di competenze digitali di base. Rendere competenze e metodi accessibili alle filiere può aiutarci a trasformare la crescita degli investimenti in una resilienza davvero diffusa.
Gli eventi cyber e il rischio di propagazione
Anche i dati sugli eventi cyber raccontano una storia interessante. Nel secondo semestre del 2025 il CSIRT Italia ha rilevato 1.253 eventi, il 30% in più rispetto allo stesso periodo del 2024, mentre gli incidenti con impatto confermato sono stati 304, il 25% in meno. L’Agenzia per la cybersicurezza nazionale lega l’aumento degli eventi anche a un monitoraggio più capillare e al nuovo quadro normativo. E segnala casi in cui la compromissione di fornitori web ha coinvolto più amministrazioni: un esempio concreto di quel rischio di propagazione che il Barometer mette in evidenza.
Dalle evidenze alla resilienza cyber delle filiere italiane
Da dove partire, allora? Innanzitutto, il vertice aziendale deve sapere quali processi non possono permettersi di fermarsi e da chi dipendono. Una mappa dei servizi essenziali aiuta a collegare sistemi, dati, fornitori, subfornitori, responsabili e tempi massimi di ripristino. Su questa base diventa possibile verificare gli accordi con i terzi e organizzare prove che includano anche l’interruzione di servizi esterni. Alla fine, ciò che conta davvero è riuscire a raggiungere gli obiettivi di recupero quando la catena si interrompe.
Le evidenze necessarie al management
Il Management aziendale, dal canto suo, ha bisogno di evidenze concrete: vulnerabilità ancora aperte sui sistemi critici, tempi di rilevazione degli incidenti, risultati dei test di ripristino e azioni correttive dei fornitori non ancora completate. Il Barometer colloca la verifica dell’efficacia tra i domini meno maturi, e questo ci ricorda che audit e indicatori hanno valore solo quando orientano le decisioni e sono seguiti da un controllo dei risultati. Non a caso, la NIS 2 richiama il ruolo degli organi di gestione nell’approvare e sorvegliare le misure di sicurezza.
La resilienza della filiera come leva competitiva
In definitiva, l’EY Cyber Barometer 2025 offre alle imprese italiane una base empirica solida per scegliere da dove cominciare. Ci mostra che molti presidi sono già al loro posto e indica una priorità che riguarda tutti: rendere la protezione verificabile lungo l’intera filiera. La maturità cyber si vedrà nella capacità di anticipare le dipendenze, governare gli incidenti e ripartire nei tempi attesi. E per un Paese di imprese interconnesse come il nostro, questa capacità è anche una vera leva competitiva.
Partecipa alla community