Le minacce informatiche in Italia continuano a crescere, con un impatto decisamente meno prevedibile. I risultati dell’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano, presentati durante il convegno “Cybersecurity: immaginare l’imprevedibile”, fotografano un anno appena chiuso che segna un punto di rottura per imprese e istituzioni. Oltre un terzo delle grandi aziende italiane, il 34%, ha subito nell’ultimo anno attacchi cyber con costi significativi di ripristino. Per il 3% le conseguenze sono andate oltre il danno economico, colpendo direttamente l’operatività, con interruzioni concrete, processi bloccati e notti insonni nei reparti IT.

Mercato cybersecurity: 2,78 miliardi di euro e crescita a doppia cifra

Nel 2025 il mercato italiano della cybersecurity raggiunge i 2,78 miliardi di euro, in aumento del 12% rispetto ai 2,48 miliardi del 2024 e ai 2,15 miliardi del 2023. Un ritmo leggermente più lento rispetto al +15% e al +16% degli anni precedenti, ma comunque robusto se confrontato con la crescita media della spesa digitale, ferma a un modesto +1,5%.

Il settore dimostra una solidità strutturale che va oltre l’emergenza. Sette grandi imprese su dieci prevedono un incremento del budget nel 2026 e il 60% considera oggi adeguate le risorse allocate alla sicurezza, dopo anni di progressivi aumenti.

A trainare l’espansione è soprattutto la Pubblica Amministrazione, con un balzo del 28%. Sopra la media anche Finance, tra banche e assicurazioni, con +22%, e Logistica e Trasporti con +18%. I servizi, in particolare i Managed Security Services, crescono più delle soluzioni tecnologiche e consolidano il sorpasso già avvenuto nel 2024. In un mercato segnato da una cronica carenza di competenze specialistiche, esternalizzare la sicurezza operativa non è più una scelta tattica ma una necessità strategica.

.

Intelligenza Artificiale e attacchi autonomi: l’80-90% delle catene gestite da agenti AI

Il 2025 è anche l’anno in cui l’Intelligenza Artificiale smette di essere solo una promessa o uno slogan da convegno e diventa parte integrante dell’arsenale offensivo. Secondo la ricerca, l’integrazione di agenti AI consente oggi di gestire in autonomia l’80-90% delle catene d’attacco. Non serve più un hacker con competenze avanzate per orchestrare offensive sofisticate. Basta saper usare gli strumenti giusti.

Il 71% dei Chief Information Security Officer italiani ritiene che l’AI stia acuendo il rischio cyber. La gestione del fattore umano resta la prima criticità per il 96% dei CISO, aggravata dalla diffusione di soluzioni di AI consumer che diventano sia nuovi bersagli sia potenziali moltiplicatori di errore. Il 60% dei responsabili sicurezza dichiara apertamente la propria preoccupazione.

Come sottolinea Gabriele Faggioli, Responsabile Scientifico dell’Osservatorio, “immaginare l’imprevedibile” è diventato un imperativo strategico. L’orizzonte è quello di minacce autonome, capaci di agire anche senza un controllo umano diretto. Scenario che fino a pochi anni fa apparteneva più alla fantascienza che ai piani industriali.

.

NIS2, AI Act e sovranità digitale: la cybersecurity entra nei board

La pressione non arriva solo dal fronte tecnologico ma anche da quello normativo. La Direttiva NIS2 ha trasformato la sicurezza informatica da questione tecnica a priorità strategica. Il 57% delle grandi imprese registra un aumento dell’attenzione del board sui temi cyber e la stessa percentuale ha avviato revisioni strutturali dei piani di incident response.

Tra Cyber Resilience Act, AI Act e Data Act, il quadro regolatorio europeo spinge il 56% delle aziende a cercare sinergie per gestire in modo più efficiente la complessità normativa. Il rischio, evidenziato dagli esperti, è una frammentazione che trasformi la cybersecurity in un esercizio di compliance burocratica più che in una reale strategia di resilienza.

Parallelamente si rafforza il tema della sovranità digitale. Il 73% delle grandi imprese considera la provenienza geografica dei fornitori nei processi di selezione delle soluzioni di sicurezza, privilegiando opzioni europee o escludendo Paesi ritenuti non allineati. In un mercato ancora dominato da player extra-UE, la gestione delle dipendenze critiche diventa un fattore di mitigazione del rischio.

.

Carenza di talenti e rischio OT: la complessità aumenta

L’83% delle grandi imprese presidia stabilmente il rischio cyber, ma quasi nove organizzazioni su dieci segnalano una grave carenza di talenti. L’aumento della complessità rischia di mettere sotto pressione la capacità di scalare processi e controlli.

Cresce anche l’attenzione verso l’Operational Technology. Il 58% dei CISO individua nei dispositivi connessi in rete un fattore di aumento dell’esposizione complessiva. In compenso, il rischio legato a terze parti nella supply chain appare più presidiato: la sicurezza è ormai prerequisito nel sourcing IT e si estende al 60% delle forniture non IT.

.

Cyber resilience: solo il 28% è davvero pronto

La ricerca individua quattro leve fondamentali per costruire una strategia integrata di cyber-resilienza: monitoraggio capillare degli asset, analisi dell’impatto sul business, simulazioni realistiche di attacco e utilizzo sistematico dell’AI per potenziare le difese.

Il monitoraggio continuo è presente nel 48% delle grandi imprese, la comprensione strutturata degli impatti nel 46%, le simulazioni avanzate nel 49% e l’uso sistematico dell’AI nel 56%. Solo il 28% delle organizzazioni ha però attivato tutte e quattro le leve in modo integrato. Una minoranza che ha superato la logica della difesa passiva e che oggi può davvero ambire ad anticipare l’imprevedibile.

In definitiva, il messaggio che emerge dai dati dell’Osservatorio è chiaro: la cybersecurity in Italia non è più una voce tecnica relegata al data center, ma un tema strategico che intreccia tecnologia, governance, geopolitica e cultura aziendale. Il 2025 non rappresenta un punto di arrivo, bensì l’inizio di una fase in cui la capacità di adattamento sarà il vero differenziale competitivo. E, a giudicare dai numeri, il tempo delle mezze misure sembra definitivamente scaduto.