Rischio cyber: nel 2025 una pmi su quattro sotto attacco

La crescita degli investimenti in sicurezza informatica nelle piccole e medie imprese è reale ma limitata: il budget IT aumenta del 3,3% nelle PMI più piccole e del 5,2% in quelle di medie dimensioni, e in media l’11% di quel budget viene destinato alla cybersecurity.

Investimenti e quadro generale

Il miglioramento dei finanziamenti è accompagnato da segnali positivi a livello strategico: l’indice dell’approccio strategico sale a 62 punti, sei punti in più rispetto all’anno precedente. Questo indica una maggiore attenzione alla pianificazione e alla governance della sicurezza digitale, ma la portata degli investimenti resta modesta rispetto alle esigenze di resilienza.

L’avanzamento si riflette anche nell’area di identificazione degli asset: l’inventario degli asset informatici è passato dal 48% del 2024 al 70% nel 2025, mentre le attività di auditing aumentano di tre punti, raggiungendo il 44%. Si tratta di progressi importanti per costruire basi solide di protezione e gestione del rischio.

Attuazione e gestione operativa

Nonostante i miglioramenti nella fase di pianificazione e inventario, l’indice dell’attuazione rimane fermo a 57 punti, segnalando difficoltà nel tradurre le strategie in controlli operativi efficaci. Solo il 29% delle imprese ricorre a partner esterni per la gestione della sicurezza, una quota leggermente superiore al 25% registrato l’anno precedente, ma ancora insufficiente per molte realtà.

Il ricorso a fornitori esterni specializzati, come i fornitori di servizi di sicurezza gestita, può colmare competenze e capacità operative mancanti, ma richiede risorse, contratti adeguati e una governance interna in grado di integrare tali servizi con i processi aziendali.

Gap nelle misure tecniche di difesa

Le contromisure pratiche restano ancora deboli. Solo una impresa su due ha adottato l’autenticazione a più fattori, misura ormai considerata di base per ridurre il rischio di accessi non autorizzati.

La gestione delle vulnerabilità è ancora meno diffusa: soltanto l’11% delle aziende ha attivato processi sistematici di identificazione e remediation delle vulnerabilità. Anche pratiche fondamentali come la cifratura dei dati e la segmentazione della rete sono presenti in circa il 30% delle imprese.

Sul fronte della detection e della continuità operativa la situazione è ancor più fragile: una sola impresa su quattro dispone di soluzioni in grado, anche solo parzialmente, di individuare tempestivamente un’intrusione, mentre il 36% non ha considerato l’eventualità di un’interruzione operativa né ha predisposto un piano di ripristino.

Queste lacune operazionali espongono le imprese a rischi significativi, non solo di perdita di dati o interruzione dei servizi, ma anche di impatti economici e reputazionali che possono compromettere la continuità del business.

Finanziamenti pubblici: opportunità poco sfruttate

Gli strumenti di sostegno pubblico rappresentano un’opportunità non pienamente sfruttata: soltanto il 12% delle PMI ha ottenuto contributi o finanziamenti per la sicurezza informatica. Tra le aziende che hanno accesso a tali risorse, il 42% ha raggiunto il profilo «maturo» in termini di capacità difensive.

Al contrario, il 39% delle imprese dichiara di non conoscere o non utilizzare i finanziamenti pubblici disponibili. Questo dato indica barriere informative e amministrative: molte piccole aziende faticano a identificare le misure di supporto, a compilare le domande o a rispettare i requisiti richiesti.

Dal punto di vista istituzionale, colmare questo gap richiede interventi che vadano oltre l’erogazione di fondi: servono campagne di comunicazione mirate, sportelli di supporto amministrativo, percorsi formativi e strumenti semplificati come voucher o pacchetti predefiniti che facilitino l’adozione di controlli essenziali.

Implicazioni e passi successivi

Il quadro dipinto dai dati evidenzia un progresso graduale, ma insufficiente rispetto alla crescente esposizione al rischio digitale: sono necessari investimenti più significativi, miglior coordinamento tra imprese e fornitori, e politiche pubbliche che favoriscano l’assorbimento delle risorse e la diffusione delle competenze.

Per le PMI la priorità pratica è consolidare le basi: completare l’inventario degli asset informatici, introdurre l’autenticazione a più fattori, attivare processi di remediation delle vulnerabilità e implementare soluzioni minime di detection e pianificazione della continuità operativa. Contestualmente, istituzioni e associazioni di categoria possono lavorare per rendere i finanziamenti pubblici più accessibili e maggiormente orientati agli esiti concreti.

Nel complesso, il percorso verso una sicurezza digitale solida nelle PMI richiede un approccio integrato: governance, competenze, investimenti e accesso alle risorse devono progredire in parallelo per trasformare gli incrementi di budget in resilienza misurabile.