Come costruire una cultura aziendale della sicurezza informatica in Italia, soprattutto per le PMI
Un problema che riguarda tutti, non solo le grandi aziende
Di Bruno Siciliano – Security Manager.Â
Per anni, la cybersicurezza è stata vista in Italia come una questione da grande azienda: un tema per banche, multiutility, gruppi industriali con reparti IT strutturati. Le piccole e medie imprese, che costituiscono l’ossatura del tessuto produttivo italiano, hanno spesso considerato il rischio informatico qualcosa di distante, riservato a organizzazioni con budget e competenze che loro non hanno. Questa percezione, però, non corrisponde più alla realtà .
Gli attacchi informatici oggi non colpiscono in base alle dimensioni dell’azienda, ma in base alle vulnerabilità che trovano. Una PMI con sistemi poco aggiornati e dipendenti mai formati è spesso un bersaglio più semplice di una grande impresa dotata di team di sicurezza dedicati. A questo si aggiunge un fattore strutturale: le piccole imprese sono parte di catene di fornitura più ampie, e un fornitore compromesso può diventare la porta d’ingresso per colpire clienti e partner ben più grandi. È esattamente questa logica sistemica — le interdipendenze tra imprese, fornitori e clienti — ad aver spinto l’Unione Europea a estendere gli obblighi di sicurezza informatica anche a realtà che fino a poco tempo fa ne erano escluse.
Il contesto normativo: la NIS2 cambia le regole del gioco
In Italia, la direttiva europea NIS2 è stata recepita con il decreto legislativo 138 del 2024, in vigore dall’ottobre dello stesso anno. L’autorità di riferimento è l’Agenzia per la Cybersicurezza Nazionale (ACN), che funge sia da punto di contatto unico sia da CSIRT nazionale per la gestione degli incidenti. Il quadro normativo si è consolidato progressivamente nel corso del 2025 e del 2026, con determinazioni ACN su misure di sicurezza di base, notifica degli incidenti e aggiornamento della piattaforma digitale dedicata.
Un aspetto centrale, e spesso frainteso dalle imprese più piccole, è che gli obblighi non scattano automaticamente con la pubblicazione della norma, ma a partire dalla comunicazione individuale con cui ogni organizzazione viene inserita nell’elenco dei soggetti NIS. Molte PMI, tuttavia, rientrano nel perimetro della direttiva non in quanto soggetti direttamente regolati, ma in quanto fornitori di aziende più grandi che lo sono: un meccanismo che sta spingendo la richiesta di sicurezza informatica lungo l’intera filiera produttiva, non solo verso i grandi gruppi.
Le sanzioni previste in caso di violazione degli obblighi di sicurezza informatica possono arrivare fino a 125 mila euro, un importo che per una piccola impresa rappresenta una cifra tutt’altro che simbolica. Ma il punto più rilevante della NIS2, per chi si occupa di cultura aziendale, è un altro: la direttiva introduce responsabilità dirette in capo al management, non solo al reparto tecnico. È un cambio di paradigma importante, perché sposta la sicurezza informatica da questione puramente tecnologica a questione di governance.
Perché la tecnologia da sola non basta
Uno degli errori più comuni tra le PMI italiane è pensare che la sicurezza informatica si risolva acquistando un buon antivirus o un firewall aggiornato. La tecnologia è necessaria, ma da sola non è sufficiente: la stragrande maggioranza degli incidenti informatici, secondo le analisi condotte a livello europeo negli ultimi anni, ha origine da un errore umano — un’email di phishing aperta senza attenzione, una password debole riutilizzata su più sistemi, un dispositivo aziendale connesso a una rete non sicura.
Questo significa che investire solo in strumenti tecnologici, senza lavorare sulle persone che quegli strumenti li usano ogni giorno, produce una protezione parziale e spesso illusoria. Costruire una cultura della sicurezza informatica significa esattamente questo: fare in modo che ogni persona in azienda, dal titolare all’ultimo assunto, percepisca la propria quota di responsabilità nella protezione dei dati e dei sistemi aziendali.
Da dove partire: i pilastri di una cultura della sicurezza
Il coinvolgimento della direzione. Una cultura della sicurezza non può nascere dal basso, se non è prima sostenuta dall’alto. Quando il titolare o i vertici di una PMI trattano la cybersicurezza come una priorità reale — non come un adempimento burocratico da delegare — il messaggio arriva con maggiore forza a tutta l’organizzazione. Con la NIS2, questo coinvolgimento non è più solo opportuno: è un obbligo di legge, dato che la responsabilità ricade direttamente sugli organi direttivi.
La formazione continua, non episodica. Molte PMI organizzano, se lo fanno, un unico corso di formazione sulla sicurezza informatica all’anno, spesso poco dopo un incidente subito o osservato in aziende simili. Una cultura della sicurezza richiede invece formazione continua e ricorrente, capace di mantenere alta l’attenzione nel tempo: simulazioni periodiche di phishing, aggiornamenti brevi ma frequenti sulle nuove minacce, momenti di confronto in cui i dipendenti possano segnalare comportamenti sospetti senza timore di essere giudicati per un errore commesso in buona fede.
Politiche semplici e realmente applicabili. Un errore frequente è scrivere policy di sicurezza complesse, mutuate da modelli pensati per grandi aziende, che nessuno in una PMI ha il tempo o le competenze di applicare davvero. Le regole più efficaci sono quelle semplici, chiare e proporzionate alle dimensioni reali dell’azienda: gestione delle password, autenticazione a più fattori, backup regolari e verificati, aggiornamento tempestivo dei sistemi. Meglio poche regole rispettate, che molte regole ignorate.
Un referente interno, anche senza un reparto IT dedicato. Non tutte le PMI possono permettersi un responsabile della sicurezza informatica a tempo pieno, ma ogni azienda può individuare una persona di riferimento — anche esterna, come un consulente o un fornitore di servizi gestiti — che coordini gli aspetti di sicurezza e faccia da punto di contatto in caso di incidente. La gestione della sicurezza affidata a un partner qualificato esterno, capace di seguire l’evoluzione delle minacce nel tempo, sta diventando un modello sempre più diffuso proprio tra le imprese più piccole, che da sole non riuscirebbero a mantenere competenze aggiornate internamente.
Procedure chiare per la gestione degli incidenti. Sapere cosa fare nei primi minuti dopo aver scoperto un attacco informatico fa una differenza enorme sull’entità del danno finale. Le PMI dovrebbero avere, per iscritto, una procedura semplice che indichi chi avvisare internamente, come isolare i sistemi compromessi e, per i soggetti rientranti nel perimetro NIS2, come rispettare i tempi stretti previsti dalla normativa per la notifica degli incidenti significativi alle autorità competenti.
Il ruolo delle reti associative e dei fornitori qualificati
Per molte PMI italiane, affrontare da sole la costruzione di una cultura della sicurezza informatica è oggettivamente difficile, per ragioni di risorse economiche e di competenze specialistiche. In questo scenario, un ruolo importante può essere svolto dalle associazioni di categoria, dai consorzi di imprese e dai fornitori di servizi di sicurezza gestita, che possono offrire percorsi di adeguamento proporzionati alle reali dimensioni e capacità di una piccola impresa, evitando l’approccio “taglia unica” pensato per le grandi organizzazioni.
Anche il rapporto con i clienti e i partner commerciali più grandi può diventare, paradossalmente, un’occasione di crescita: sempre più aziende di dimensioni maggiori richiedono ai propri fornitori requisiti minimi di sicurezza informatica come condizione per continuare a lavorare insieme. Per una PMI, rispondere seriamente a queste richieste non è solo un costo di compliance, ma può trasformarsi in un elemento di credibilità e fiducia agli occhi del mercato.
Un cambio di mentalità , non solo di strumenti
Costruire una cultura della sicurezza informatica in una PMI italiana significa, in definitiva, superare l’idea che la cybersicurezza sia un problema tecnico da delegare interamente a qualcun altro — un fornitore, un consulente, un software. Significa invece far comprendere, a ogni livello dell’organizzazione, che ogni persona è interprete di una quota di sicurezza, e che questa quota, se trascurata anche da un solo individuo, può mettere a rischio l’intera azienda.
Con l’evoluzione del quadro normativo europeo e italiano, che sta progressivamente estendendo obblighi e responsabilità anche alle imprese più piccole, le PMI italiane si trovano di fronte a un’occasione concreta: trasformare un adempimento percepito come un costo in un investimento reale, capace di rafforzare la fiducia di clienti e partner e di proteggere, in ultima analisi, la continuità stessa del proprio lavoro.
Bruno Siciliano – Security Manager.Â
