Gli attacchi informatici gravi in Italia crescono e per le aziende la protezione diventa una questione di gestione continua del rischio.
Nel 2025, infatti, sono stati censiti 507 attacchi informatici gravi, il 42% in più rispetto all’anno precedente. Il dato arriva dal Rapporto Clusit 2026, che a livello globale ne registra 5.265, con una crescita del 49%, e attribuisce al nostro Paese il 9,6% degli incidenti mondiali.
Questi dati ci dicono che per le organizzazioni italiane la sicurezza informatica è diventata a tutti gli effetti una questione di gestione del rischio d’impresa, che chiama in causa processi interni e responsabilità.
Indice degli argomenti
Attacchi informatici in Italia: cosa dicono i dati Clusit
I numeri del rapporto descrivono un’esposizione che tocca da vicino il nostro tessuto produttivo.
Secondo i ricercatori, il 16% degli incidenti che nel 2025 hanno colpito il settore manifatturiero nel mondo ha riguardato aziende italiane. Inoltre, stando ai dati del primo semestre 2026 – presentati da Clusit al Security Summit OT – la tendenza sembra proseguire, col manifatturiero che concentra il 18,4% degli incidenti noti in Italia.
Sul fronte delle tecniche, gli attacchi DDoS, che puntano a rendere irraggiungibili siti e servizi online, sono i più diffusi contro bersagli italiani e il rapporto li mette in relazione con la crescita degli episodi di matrice attivista. Il ransomware resta tra le tecniche più utilizzate, con conseguenze economiche rilevanti per le vittime.
Commentando i dati, la presidente di Clusit Anna Vaccarelli ha indicato come necessarie strategie basate su “prevenzione avanzata, monitoraggio costante e progettazione resiliente”. Detto in altri termini, conta meno quale strumento si acquista e molto di più la capacità di accorgersi in tempo di ciò che accade nei propri sistemi.
Normativa, NIS2 e misure di sicurezza di base
Sul piano normativo, il 2026 è l’anno in cui la direttiva NIS2, recepita in Italia con il decreto legislativo 138/2024, entra nella fase operativa. Entro il 31 ottobre i soggetti inseriti nell’elenco NIS nel 2025 devono aver adottato le misure di sicurezza di base definite dall’Agenzia per la Cybersicurezza Nazionale con la determinazione 379907/2025. Superata quella data, l’ACN può avviare le attività di verifica.
Le misure vanno dimostrate con evidenze documentali e coinvolgono direttamente gli organi di amministrazione, chiamati ad approvare le politiche di sicurezza e a seguire una formazione specifica.
Un capitolo riguarda anche la catena di fornitura, con le aziende chiamate a valutare la sicurezza dei fornitori di software e servizi e inserire nei contratti obblighi coerenti. Ciò implica che, anche chi non rientra direttamente nel perimetro della normativa, può trovarsi a fare i conti con la NIS2 sotto forma di requisiti posti dai propri clienti.
Prima, durante e dopo: le fasi di una strategia di cybersecurity
Una strategia di sicurezza efficace, oggi, si deve sviluppare lungo l’intero ciclo di vita di una minaccia.
La fase che precede l’attacco comprende la valutazione della postura di sicurezza, l’analisi dei gap rispetto ai requisiti normativi e i test tecnici, dai vulnerability assessment ai penetration test che simulano l’azione di un attaccante reale. Fondamentale è anche la formazione del personale, perché phishing e ingegneria sociale restano tra le vie d’ingresso più sfruttate.
Durante l’attacco, il fattore decisivo è la capacità di rilevare l’intrusione mentre è in corso. Un Security Operation Center (SOC) attivo 24 ore su 24, con strumenti di detection and response sugli endpoint e di correlazione degli eventi, riduce il tempo che passa tra l’ingresso dell’attaccante e la sua individuazione.
Dopo l’attacco servono bonifica e immediato ripristino, seguiti da un’analisi approfondita che rilevi le vulnerabilità sfruttate e porti a correggerle.
Incident response: perché il piano va scritto prima dell’attacco
Uno degli aspetti più comuni nel contesto della sicurezza informatica è che molte aziende scoprono di non avere una procedura di risposta quando ormai è troppo tardi, cioè nel momento in cui ne avrebbero bisogno.
Una volta sotto attacco, infatti, servono decisioni rapide e testate su cosa fare, quali sistemi isolare e chi avvisare, preservando nel frattempo le evidenze utili all’analisi. Per i soggetti NIS2 si aggiunge la notifica dell’incidente al CSIRT Italia.
Ecco perché è cruciale avere un piano di incident response definito in anticipo e testato con simulazioni periodiche, che stabilisca ruoli e priorità di ripristino.
Il caso: la soluzione di Planetel per la gestione continua del rischio cyber
Prendiamo l’esempio di un’azienda con più sedi, che rientra nel perimetro NIS2. In questo periodo si trova di fronte a due esigenze, pressoché parallele: completare l’adeguamento alla normativa e dotarsi di una capacità di difesa che non si esaurisca con la scadenza.
A situazioni come questa si rivolge l’area Security di Planetel, presidiata da Orazero, la divisione del gruppo dedicata alla cybersecurity, con l’obiettivo di tenere il cliente protetto prima, durante e dopo un attacco.
Il percorso migliore parte da un assessment della postura di sicurezza e da una gap analysis rispetto ai requisiti ACN, da cui deriva un piano di adeguamento con priorità e tempi definiti. Seguono vulnerability assessment e penetration test sui sistemi esposti e attività di formazione per i dipendenti.
Sul piano operativo, il monitoraggio è affidato al SOC H24 con servizi MDR-XDR, mentre in caso di attacco interviene il team di incident response per isolare la minaccia, ripulire i sistemi e riportarli in funzione documentando ogni passaggio. Con la cyber threat intelligence si verifica, inoltre, se credenziali aziendali compaiono in archivi sottratti durante violazioni.
Chiaramente questo è il piano ideale, ma tutto viene sempre fatto sulla base delle necessità, della natura e delle possibilità dell’azienda cliente.
Planetel opera con certificazioni ISO/IEC 27001, 27017 e 27018 per la sicurezza delle informazioni e ISO 22301 per la continuità operativa.
“La NIS2 ha avuto il merito di portare la sicurezza informatica nei consigli di amministrazione” osserva Carlo Divittorio, CISO di Planetel. “Il rischio è trattarla come un adempimento da chiudere entro una data. Un’azienda è davvero protetta quando sa in ogni momento cosa accade nei propri sistemi e ha già deciso come reagire se qualcosa va storto”.
Contributo redazionale realizzato in collaborazione con Planetel
Partecipa alla community