La spesa in sicurezza cresce otto volte più del digitale: ma resiliente è solo il 28% delle grandi imprese

Il consiglio di amministrazione approva l’aumento del budget di sicurezza. Sei mesi dopo arriva l’incidente, e le domande che restano senza risposta sono sempre le stesse tre: chi se n’è accorto per primo, chi ha l’autorità di staccare un sistema, in quanto tempo si torna in produzione. Gli strumenti, quasi sempre, c’erano tutti.

È lo scarto che emerge dai dati raccolti nel report Cybersecurity, Frodi e Data Privacy diffuso il 31 agosto in vista di WeSec, il salone della sicurezza in programma a Milano il 22 e 23 settembre. Il documento mette in fila fonti nazionali — ACN, Clusit, Osservatori del Politecnico di Milano, Banca d’Italia, Polizia Postale, Garante Privacy — e restituisce un Paese che ha smesso di essere distratto sulla sicurezza, ma non ha ancora finito di attrezzarsi.

Il Paese investe, e si vede

La spesa italiana in cybersecurity ha raggiunto 2,78 miliardi di euro nel 2025, in crescita del 12%. Il confronto che dà la misura del cambiamento non è con l’anno prima, ma con il resto dell’ICT: secondo il report, nello stesso periodo la spesa digitale complessiva è cresciuta dell’1,5%. La sicurezza corre otto volte più veloce del digitale in cui è immersa.

La crescita segue il perimetro normativo: Pubblica Amministrazione +28%, settore bancario +22%, logistica e trasporti +18% — i comparti su cui NIS2, DORA e la pressione degli attacchi hanno stretto di più. Sette grandi imprese su dieci aumenteranno ancora il budget nel 2026.

Gli incidenti, però, crescono più in fretta

Il secondo blocco di dati raffredda l’ottimismo. Nel 2025 sono stati censiti 2.729 eventi ostili, con una media mensile passata da 165 a 227: un aumento del 38%. Gli incidenti con impatti confermati sono stati 615, il 7% in più dell’anno precedente.

Sul fronte delle frodi, secondo i dati della Polizia Postale nel 2025 sono stati trattati 27.085 casi riconducibili al cybercrime, con oltre 269 milioni di euro sottratti: il 16% in più rispetto al 2024. Una quota crescente utilizza strumenti di intelligenza artificiale — voci clonate, deepfake, phishing costruito sul destinatario — e colpisce un punto che nessun firewall presidia: la persona autorizzata a disporre un pagamento.

Guardando alle sole grandi imprese, l’Osservatorio del Politecnico di Milano rileva che il 34% ha subito nel 2025 attacchi con costi di ripristino significativi, e il 3% conseguenze dirette sull’operatività. Il 57% ha avviato una revisione strutturale dei piani di incident response.

Il numero scomodo è 28

Qui arriva il dato che vale l’intero report. Sempre secondo l’Osservatorio, solo il 28% delle grandi organizzazioni italiane ha attivato in modo integrato tutte e quattro le leve indicate come fondamentali per la ciber-resilienza: monitoraggio continuo degli asset, analisi degli impatti sul business, simulazioni d’attacco realistiche, impiego sistematico dell’AI nella difesa.

Prese una per una, quelle leve non sono affatto rare: il monitoraggio continuo è presente nel 48% delle grandi imprese, l’analisi strutturata degli impatti nel 46%, le simulazioni avanzate nel 49%, l’uso sistematico dell’AI nel 56%. Ognuna, cioè, è arrivata a circa metà del campione. Ma solo poco più di un’azienda su quattro le tiene insieme.

Messo accanto al +12% di spesa, quel 28% dice una cosa sola: il denaro non è il vincolo. Il vincolo è ciò che il denaro, da solo, non compra — e cioè l’orchestrazione di pezzi che, singolarmente, molte aziende hanno già.

Comprare sicurezza e reggere un incidente sono due progetti diversi. Il primo si chiude con un ordine d’acquisto; il secondo si chiude con una prova.

Dove si perde la sicurezza già pagata

Nella nostra esperienza il divario si concentra in tre punti, e nessuno dei tre è un prodotto.

• Il presidio. Uno strumento di rilevamento acceso senza qualcuno che ne legga gli allarmi non è una difesa: è un archivio. Gli attacchi non si fermano il venerdì sera, e la finestra utile per contenerli si misura in ore.
• La decisione. Serve sapere in anticipo chi isola un segmento, chi ferma un servizio al pubblico, chi firma la notifica. Sono scelte che costano fatturato: improvvisarle nel momento peggiore significa ritardarle.
• La prova. Un piano di ripristino mai eseguito è un’ipotesi. Il valore di un backup non è nella copia, ma nel tempo entro cui quella copia torna a essere un servizio funzionante.

C’è poi il fattore che pesa su tutto: la carenza cronica di competenze, che interessa quasi nove grandi organizzazioni su dieci. È la ragione per cui, nella composizione della spesa, i servizi gestiti hanno superato l’acquisto di tecnologie. Non è una moda contrattuale: un turno h24 non si assume, si organizza.

La conformità aiuta, se non diventa un alibi

Per i soggetti NIS2 già in elenco, il 31 ottobre 2026 le misure di sicurezza di base devono essere operative e da lì possono partire le verifiche. È un acceleratore utile, a una condizione: che conformità e resilienza siano lo stesso progetto. Un audit non chiede quanto avete speso, chiede le evidenze — chi ha rilevato, quando, con quale procedura, con quale esito. Sono le stesse che servono a voi per non fermarvi.

Il nostro punto di vista

Il messaggio che leggiamo in questi numeri non è “spendete di più”. È: verificate che ciò che avete già comprato sia presidiato, deciso e provato.

Il presidio continuo è il primo tassello, ed è il più difficile da tenere in casa: il nostro SOC · Smart Care esiste per trasformare un allarme delle tre di notte in un intervento con un’ora e un responsabile. La gestione operativa copre il resto dell’anno — aggiornamenti, configurazioni, inventario di ciò che è esposto — perché la superficie d’attacco cambia ogni settimana. E le architetture di disaster recovery che progettiamo nascono con obiettivi di ripristino dichiarati e verificati in esercitazione, non stimati a memoria.

Il 28% non è una condanna: è una posizione di partenza, e si sposta con il lavoro ordinario. La differenza tra chi è dentro quella quota e chi è fuori, quasi sempre, non è il budget dell’anno scorso. È l’ultima volta in cui qualcuno ha provato davvero a spegnere un sistema e a farlo ripartire.