Nelle PMI, l’88% delle violazioni informatiche confermate coinvolge un ransomware, contro il 39% nelle grandi organizzazioni (Verizon, 2025 Data Breach Investigations Report). Non è un problema da “grande azienda”: è già, in proporzione, più un problema da PMI.
Molti titolari di piccole e medie imprese continuano a pensare che la propria azienda sia troppo piccola per essere un obiettivo interessante. I dati raccontano il contrario, e la normativa NIS2 ha reso il tema ancora più urgente, estendendo obblighi di sicurezza anche a molte PMI che finora si sentivano fuori portata. Questa guida spiega chi è davvero coinvolto dalla NIS2, quali rischi sono reali (non teorici) e come costruire una difesa pratica che unisca firewall, rete affidabile e backup, non tre voci separate in un budget IT.
In sintesi
- Gli attacchi informatici gravi in Italia sono cresciuti del 42% nel 2025, con il Paese che assorbe il 9,6% degli incidenti gravi mondiali (Clusit, Rapporto Clusit 2026).
- La NIS2 (D.Lgs. 138/2024) obbliga direttamente le aziende con più di 50 dipendenti e 10 milioni di euro di fatturato in 18 settori critici, ma coinvolge indirettamente molte più PMI come fornitori.
- L’88% delle violazioni nelle PMI coinvolge ransomware, contro il 39% nelle grandi imprese (Verizon DBIR 2025).
- La maturità cyber media delle PMI italiane è 52 su 100, sotto la soglia di sufficienza (Cyber Index PMI, ACN).
- Firewall, rete ridondata e backup funzionano meglio insieme che come acquisti separati.
Perché la cybersecurity riguarda anche le piccole PMI
Le PMI non sono un obiettivo secondario: sono spesso l’obiettivo più semplice. Nelle violazioni confermate a danno di piccole e medie imprese, l’88% coinvolge un ransomware, contro il 39% registrato nelle grandi organizzazioni (Verizon DBIR 2025). Il dato si spiega con la logica di chi attacca: una PMI ha di solito meno personale IT dedicato, sistemi meno aggiornati e una minore capacità di reagire in poche ore, quindi un costo di attacco più basso per chi lo compie.
C’è anche un secondo motivo, meno raccontato: le PMI sono spesso il punto di accesso più debole verso un’azienda più grande di cui sono fornitrici. Colpire un piccolo fornitore per arrivare, attraverso la sua rete, a un cliente più grande è una tecnica nota. È anche uno dei motivi per cui la NIS2 ha esteso l’attenzione alla catena di fornitura.
A livello nazionale, il quadro è coerente con questa pressione crescente: nel 2025 in Italia si sono registrati 507 attacchi gravi, il 42% in più rispetto al 2024, e il cybercrime resta la causa del 60,9% degli incidenti censiti (Clusit, Rapporto Clusit 2026). Il grafico seguente mostra quanto più le PMI, rispetto alle grandi imprese, subiscano violazioni legate al ransomware in particolare.
Il ransomware è un software che blocca l’accesso ai dati o ai sistemi aziendali fino al pagamento di un riscatto. È oggi la minaccia più concreta per una PMI, non uno scenario da film.
NIS2: chi è obbligato e cosa cambia per le PMI italiane
La NIS2 è la direttiva europea 2022/2555 sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. Impone obblighi diretti alle aziende con più di 50 dipendenti e più di 10 milioni di euro di fatturato, operanti in 18 settori considerati critici (energia, trasporti, sanità, digitale, manifatturiero avanzato e altri).
Molte PMI non superano queste soglie e non sono quindi obbligate in modo diretto. Ma la NIS2 coinvolge la catena di fornitura: se un’azienda obbligata richiede ai propri fornitori requisiti minimi di sicurezza (una richiesta già comune nei contratti B2B), anche una PMI non direttamente soggetta alla norma si trova a doverli rispettare per continuare a lavorare con quel cliente.
Per i soggetti obbligati, la NIS2 introduce tempistiche precise di notifica in caso di incidente: un preallarme entro 24 ore, una notifica formale entro 72 ore e una relazione finale entro 30 giorni. Le sanzioni per il mancato adeguamento arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti “essenziali”, e fino a 7 milioni di euro o all’1,4% per i soggetti “importanti” (D.Lgs. 138/2024).
Un approfondimento dedicato agli obblighi NIS2 per le PMI è in preparazione come guida a parte.
Chi non è certo del proprio perimetro di responsabilità dovrebbe partire da una domanda semplice: un cliente importante ci ha già chiesto, anche informalmente, garanzie sulla sicurezza dei nostri sistemi? Se la risposta è sì, la NIS2 riguarda l’azienda anche senza un obbligo di legge diretto.
I rischi reali: quali attacchi colpiscono davvero le PMI
Il rischio più concreto per una PMI italiana oggi è il ransomware, seguito da phishing e da un fenomeno in crescita rapida: gli attacchi di matrice hacktivist, cresciuti in Italia del 145% tra il 2024 e il 2025 (da 80 a 196 casi), con il Paese che rappresenta il 64% degli eventi hacktivisti censiti a livello globale (Clusit, Rapporto Clusit 2026).
Il costo di un incidente non è solo il riscatto. Il pagamento medio richiesto in un attacco ransomware è di 115.000 dollari (Verizon DBIR 2025). A questo si aggiungono i giorni di fermo operativo, il tempo per ripristinare i sistemi e, per le aziende soggette a obblighi normativi, il rischio di sanzione.
Secondo un’indagine assicurativa internazionale, il 59% delle PMI ha subito un attacco informatico negli ultimi 12 mesi. Nel 33% dei casi ne è derivata una multa con impatto sulla salute finanziaria dell’azienda (Hiscox, Cyber Readiness Report 2025).
Per una panoramica dei vettori più comuni, vedi anche i principali attacchi informatici alle aziende.
Quanto sono pronte davvero le PMI italiane
Non molto, in media. Il Cyber Index PMI, realizzato su un campione di 1.000 piccole e medie imprese italiane da ACN (Agenzia per la Cybersicurezza Nazionale), Confindustria, Generali e Politecnico di Milano, misura un punteggio medio di maturità cyber di 52 punti su 100, sotto la soglia di sufficienza fissata a 60. Solo il 15% delle PMI del campione risulta “maturo”, mentre il 56% è classificato come poco consapevole o impreparato (Cyber Index PMI, marzo 2025).
Questo dato non è un giudizio sulle singole aziende: riflette un settore che, nel complesso, ha investito in produttività e digitalizzazione più velocemente di quanto abbia investito in sicurezza. È anche la ragione per cui, oggi, un intervento mirato su pochi elementi essenziali (firewall, backup, formazione) porta un beneficio proporzionalmente alto rispetto al punto di partenza.
Firewall Next Gen: la prima difesa pratica
Un firewall di nuova generazione (Next Gen) filtra il traffico di rete analizzandone contenuto e comportamento, non solo porte e indirizzi come i firewall tradizionali. Riconosce, per esempio, un tentativo di intrusione mascherato da traffico apparentemente normale.
Per una PMI, il firewall next-gen è il primo intervento con il miglior rapporto tra protezione e costo, perché agisce su tutto il traffico che entra ed esce dalla rete aziendale senza richiedere modifiche ai sistemi interni. È utile quando l’azienda ha più sedi o lavoratori da remoto, gestisce dati di clienti o fornitori, o è già stata oggetto di tentativi di attacco (anche solo email di phishing insistenti).
Un errore comune è considerare il firewall un acquisto “una tantum”: senza aggiornamenti regolari delle regole e delle firme di rilevamento, l’efficacia diminuisce nel tempo. Un firewall next-gen gestito, con aggiornamento e monitoraggio continui, fa la differenza rispetto a un dispositivo lasciato a sé stesso.
Continuità e sicurezza vanno insieme
Un firewall ben configurato riduce il rischio di intrusione, ma non elimina il rischio di fermo operativo: un guasto alla linea principale, un data center in blackout o un attacco che comunque supera le difese possono bloccare l’azienda anche senza una violazione dei dati.
Nessuna delle guide sulla cyber security per PMI consultate in fase di ricerca collega esplicitamente la sicurezza informatica alla continuità di rete. Sono trattate come capitoli separati: uno di “sicurezza”, uno di “infrastruttura”. Nella pratica, per una PMI le due cose producono lo stesso risultato quando falliscono: l’azienda si ferma.
Una strategia di sicurezza che non includa una connessione di backup e una rete ridondata protegge dai dati rubati ma non dai giorni di fermo, che spesso costano più del singolo incidente.
Il costo medio globale di una violazione dati è sceso a 4,44 milioni di dollari nel 2025, in calo del 9% rispetto al 2024, ma il tempo medio per identificare e contenere un incidente resta di 241 giorni (IBM, Cost of a Data Breach Report 2025). Più lungo è questo periodo, più aumenta il costo indiretto legato al fermo attività, indipendentemente dall’entità del riscatto o della sanzione.
Per questo il backup LTE per la continuità di rete e il servizio di cyber security Trenove sono pensati per lavorare insieme, non come acquisti separati.
Da dove iniziare: checklist pratica per una PMI
Chi non ha mai affrontato il tema in modo organico può iniziare con questi passaggi, in ordine di priorità:
| Priorità | Azione | Perché |
|---|---|---|
| 1 | Audit iniziale | Prima di comprare qualsiasi strumento, serve sapere cosa si sta proteggendo: quali dati, quanti dispositivi, quante sedi, chi ha accesso a cosa |
| 2 | Firewall next-gen gestito | È l’intervento con il miglior rapporto tra riduzione del rischio e sforzo di implementazione |
| 3 | Backup e ridondanza di rete | Un firewall protegge dall’intrusione, non dal fermo operativo: le due cose vanno pianificate insieme |
| 4 | Formazione del personale | La maggior parte degli attacchi riusciti parte da un’email di phishing aperta da qualcuno |
| 5 | Policy minima scritta | Chi ha accesso a cosa e cosa fare nelle prime ore in caso di incidente: scritto, non solo “saputo” da chi lavora in azienda da più tempo |
Chi si trova già nel mezzo di un adeguamento normativo, o semplicemente non sa da dove cominciare, può richiedere una valutazione della propria rete piuttosto che procedere per tentativi.
Domande frequenti
La mia PMI deve rispettare la NIS2?
Solo se l’azienda supera le soglie di 50 dipendenti e 10 milioni di euro di fatturato ed opera in uno dei 18 settori critici individuati dal D.Lgs. 138/2024. Molte PMI più piccole sono comunque coinvolte indirettamente, quando un cliente obbligato dalla norma richiede requisiti minimi di sicurezza ai propri fornitori.
Quanto costa un firewall per una PMI?
Il costo varia molto in base al numero di postazioni, alla complessità della rete e al livello di gestione richiesto (dispositivo autonomo vs firewall gestito con monitoraggio continuo). Non esiste una cifra unica valida per tutte le aziende: la scelta corretta parte da un audit della rete esistente, non da un listino generico.
Quanto costa un attacco informatico a una piccola azienda?
Il costo medio globale di una violazione dati è di 4,44 milioni di dollari nel 2025 (IBM, Cost of a Data Breach Report 2025), un dato che comprende soprattutto realtà di grandi dimensioni. Per una PMI il costo diretto è tipicamente inferiore in valore assoluto, ma pesa proporzionalmente di più: il pagamento medio di un riscatto ransomware è di 115.000 dollari (Verizon DBIR 2025), a cui si aggiungono i giorni di fermo operativo.
Cosa rischia chi non si adegua alla NIS2?
Per i soggetti obbligati, le sanzioni previste dal D.Lgs. 138/2024 arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti “essenziali”, e fino a 7 milioni di euro o all’1,4% per i soggetti “importanti”.
Da dove parto se la mia azienda non ha mai fatto un audit di sicurezza?
Dalla mappatura di ciò che va protetto: dati, dispositivi, sedi e permessi di accesso. Solo dopo questo passaggio ha senso scegliere firewall, backup e policy: vedi la checklist pratica sopra per l’ordine di priorità consigliato.
Conclusione
Il rischio informatico per le PMI italiane non è un’ipotesi: è già oggi la principale causa di violazione nei dati di settore, ed è cresciuto ulteriormente nel 2025. La NIS2 amplia gli obblighi anche per chi non è direttamente soggetto alla norma, attraverso i requisiti richiesti dai clienti più grandi nella catena di fornitura. Una difesa efficace non è un singolo prodotto: unisce firewall next-gen, rete ridondata e backup, perché senza continuità operativa anche la miglior sicurezza informatica non evita il fermo dell’azienda.
Se la tua azienda non ha ancora fatto una valutazione della propria esposizione al rischio, richiedi una valutazione gratuita della sicurezza della tua rete a Trenove: è il primo passo prima di qualunque investimento in sicurezza.
Continua a leggere
Normativa:
- NIS2: cosa devono fare davvero le PMI italiane (guida in preparazione)
Approfondimenti tecnici:
- Firewall Next Gen: quando serve davvero a una piccola azienda (guida in preparazione)
- Come riconoscere e prevenire un attacco informatico
Continuità operativa:
- Cyber security e backup: perché servono insieme (guida in preparazione)