Incidenti cyber in aumento in Italia? No: finalmente li stiamo vedendo
3 min di lettura
Nei primi mesi del 2026 i bollettini dell’Agenzia per la Cybersicurezza Nazionale hanno registrato numeri che, letti di fretta, fanno paura: a febbraio incidenti a +60% sul mese prima, a marzo +81% (313 incidenti). Titolo facile: «l’Italia sotto attacco». Titolo giusto: finalmente stiamo vedendo quello che prima non vedevamo. L’impennata è in larga parte l’effetto della NIS2, che ha reso obbligatoria la notifica degli incidenti — e ciò che si misura, appare. È una distinzione che cambia completamente cosa dovrebbe fare un’azienda.
I numeri, letti bene
Gli Operational Summary dell’ACN raccontano una curva chiara: crescita forte a febbraio-marzo, poi assestamento (aprile e maggio in calo). L’Agenzia stessa attribuisce l’aumento di marzo «principalmente alla maggiore visibilità» derivante dall’attuazione della NIS2 (il D.lgs. 138/2024): non necessariamente più attacchi, ma più attacchi notificati. I settori più colpiti nel periodo — telecomunicazioni, sanità, manifattura — sono esattamente quelli in cui la NIS2 ha allargato il perimetro degli obbligati. Le minacce ricorrenti: esposizione di dati, compromissione delle caselle email, violazione dei livelli di servizio attesi.
Tradotto: il numero che sale non è il termometro della minaccia, è il termometro della nostra capacità di accorgercene. Per anni gli incidenti accadevano lo stesso — semplicemente non finivano in nessuna statistica.
L’avvertenza dell’ACN che vale più dei numeri
C’è un passaggio, nei commenti ai report, che conta più di ogni percentuale: troppe aziende vivono ancora la cybersicurezza come un adempimento di notifica, non come governo del rischio. È l’errore che vanifica la norma: trattare la NIS2 come «a chi mando la mail entro 72 ore» invece che come «come faccio a non arrivarci». La notifica è l’ultimo anello di una catena — e se è l’unico che avete costruito, notificherete puntualmente i vostri disastri.
Il punto l’avevamo già scritto raccontando cosa chiede davvero la NIS2: l’adempimento visibile (la notifica) è la parte facile; la parte difficile — e utile — è la capacità di accorgersi. I tempi stringenti (preallarme in 24 ore, notifica in 72) sono irraggiungibili senza visibilità continua: non si può notificare in un giorno un incidente che si scopre in un mese.
Cosa insegnano i tre settori più colpiti
Telecomunicazioni, sanità e manifattura non sono in cima per caso: sono settori con molti sistemi connessi, molti dati sensibili e continuità operativa critica — e ora, con la NIS2, anche l’obbligo di guardarci dentro. Per un’azienda di questi comparti la domanda non è «ci attaccheranno?» ma «se ci attaccano stanotte, quanto ci mettiamo ad accorgercene?». Le tre minacce top — dati esposti, email compromesse, servizi degradati — si intercettano solo se qualcuno (o qualcosa) sta guardando i segnali giusti in tempo reale. È il terreno dove gli agenti AI che leggono i flussi e allertano l’operatore fanno la differenza tra un incidente contenuto e uno raccontato ai giornali.
Cosa fare, al netto dei titoli
- Smettete di leggere i picchi come allarme e leggeteli come specchio: misurano la vostra visibilità, non la minaccia. Se voi non avete numeri interni, siete nella parte non misurata.
- Costruite il rilevamento prima della notifica: log centralizzati, monitoraggio continuo, soglie. La notifica in 24 ore è una conseguenza, non un punto di partenza.
- Trattate la cyber come rischio d’impresa, con un responsabile, un processo e una revisione periodica — non come una casella di posta verso l’ACN.
- Fate l’inventario: non si protegge, e non si notifica, ciò che non si sa di avere. È il primo passo per NIS2, CRA e AI Act insieme.
Volete sapere quanto ci mettereste ad accorgervi di un incidente — e cosa serve per ridurre quel tempo? Mezz’ora con un nostro esperto per la prima mappa.