Il 2025 ci ha lasciato più di una lezione
Entrare oggi in qualsiasi riunione amministrativa e significa sentire sempre le stesse due domande, anche in aziende che fino a poco tempo fa non parlavano mai di cybersecurity.
- Può succedere anche a noi di fermarci per giorni per un incidente informatico?
- Può capitare che clienti, organi di sorveglianza o forze dell'ordine ci chiedano come possiamo prevenirlo?
Il 2026 sarà l'anno in cui forniremo risposte a tali quesiti con dati concreti, e non con semplici rassicurazioni.
La Threat Landscape 2025 di ENISA ha analizzato 4.875 incidenti in tutta Europa (dal 1° luglio 2024 al 30 giugno 2025). La conclusione è chiara: gli attacchi non cessano, e molti di essi mirano a causare interruzioni e sfruttano vulnerabilità. La Threat Landscape 2024 di ENISA ha inoltre indicato gli attacchi alla disponibilità come principale minaccia, seguiti da ransomware e minacce ai dati. Per i Leader, ciò evidenzia un principio operativo fondamentale per il 2026: pianificare la continuità operativa, pianificare la rendicontazione e pianificare la velocità di risposta.
La direzione delle politiche UE: segnalazione più rapida, governance più solida, maggiori prove.
NIS2 porta la responsabilità cyber in sala consiglio.
La manovra NIS2 ha imposto agli Stati membri di adottare misure entro il 17 ottobre 2024 e applicarle dal 18 ottobre 2024. La direttiva rende inoltre esplicita la governance: gli organi di gestione approvano le misure di rischio per la sicurezza informatica, ne supervisionano l'attuazione e possono essere ritenuti responsabili per le violazioni. Prevede inoltre la formazione del management e la formazione continua del personale.
NIS2 ha un'altra conseguenza che molti leader percepiscono immediatamente: la segnalazione degli incidenti diventa una corsa contro il tempo, non un modulo da compilare. La direttiva stabilisce una tempistica che molti definiscono in breve come 24–72–30:
- Allerta preliminare entro 24 ore.
- Notifica dell'incidente entro 72 ore.
- Rapporto finale entro un mese.
ENISA ha pubblicato linee guida tecniche per aiutare a tradurre i requisiti di gestione del rischio in misure pratiche, utili per le aziende più piccole che adottano un approccio trasparente.
DORA rafforza le aspettative lungo tutta la catena di fornitura dei servizi finanziari.
DORA si applica dal 17 gennaio 2025 e innalza il livello di gestione del rischio ICT e resilienza operativa per molte entità finanziarie. Se siete una fintech o se vendete a banche e aziende regolamentate, aspettatevi controlli più rigorosi sui fornitori e una maggiore pressione per dimostrare monitoraggio, risposta e test.
Il Cyber Resilience Act stabilisce una pietra miliare nel 2026 per le aziende manifatturiere.
La legge sulla resilienza informatica dell'UE (Cyber Resilience Act) è entrata in vigore il 10 dicembre 2024. Gli obblighi di segnalazione iniziano l'11 settembre 2026, mentre gli obblighi principali si applicano dall'11 dicembre 2027. Se la vostra azienda spedisce software, dispositivi IoT, sistemi embedded o "prodotti con elementi digitali", il 2026 diventa l'anno in cui è necessario implementare una gestione e una segnalazione delle vulnerabilità che funzionino anche sotto pressione.
Le normative sull'IA rimangono in evoluzione, ma le aspettative di governance continuano a crescere.
Il Servizio di ricerca del Parlamento europeo indica una data generale di applicazione del 2 agosto 2026 per l'AI Act, con date scaglionate per disposizioni specifiche. Allo stesso tempo, i resoconti mostrano un acceso dibattito politico. Reuters ha riportato sia la posizione della Commissione a favore del mantenimento delle tempistiche attuali sia una proposta separata che posticiperebbe alcune norme sull'IA "ad alto rischio" a dicembre 2027, nell'ambito di un più ampio pacchetto "Omnibus Digitale".
Il takeaway pratico per i Leader: considerare la governance dell'IA come un flusso di lavoro attuale e tenere d'occhio le date.
La minaccia è operativa, e ha un costo.
Le compagnie di assicurazione hanno iniziato a pubblicare dati che i consigli di amministrazione comprendono. Il ransomware ha rappresentato il 60% del valore delle grandi richieste di risarcimento cyber (superiori a 1 milione di euro). [fonte]
Quella cifra conta meno come statistica e più come un segnale. Il ransomware causa interruzione dell'attività, costi legali, perdita di clienti e tempo dedicato dai dirigenti. Nel 2026, la pianificazione della resilienza diventa pianificazione finanziaria.
Cosa sta prendendo piede per le PMI nel 2026?
- Leadership vCISO, confezionata per le PMI: Molte PMI necessitano di decisioni di sicurezza di alto livello, definizione delle priorità e reportistica al consiglio di amministrazione. Un modello vCISO può fornire questa leadership senza un'assunzione a tempo pieno, soprattutto se abbinato a un fornitore gestito e a un piano chiaro di 12 mesi.
- Monitoraggio continuo (MDR), perché le scadenze di segnalazione richiedono velocità. Le tempistiche in stile NIS2 premiano la rilevazione rapida e una risposta disciplinata. Molte aziende stanno spostando budget da progetti una tantum a supporto continuo della rilevazione, della risposta e dei playbook di gestione degli incidenti.
- Automazione e AI, utilizzate per scalabilità e coerenza. I team di sicurezza si affaticano con compiti ripetitivi. L'automazione aiuta con la valutazione degli avvisi, azioni di identità (come reimpostazioni forzate), isolamento degli endpoint e raccolta di prove. L'IA può aiutare con l'analisi e la priorizzazione, mentre gli esseri umani mantengono l'autorità decisionale e la responsabilità.
La scaletta del 2026
Fatta per i Leader, non per i tecnici
Q1: Governance e preparazione.
- Inserire la cybersecurity all'ordine del giorno del consiglio di amministrazione ogni trimestre, con indicatori chiave (KPI) semplici e linee di tendenza.
- Assegnare un responsabile esecutivo unico per il rischio e la resilienza informatica.
- Aggiornare il piano di risposta agli incidenti attorno al ritmo di segnalazione di 24 e 72 ore.
- Eseguire un’esercitazione con il team dirigenziale (ransomware più compromissione di un fornitore chiave).
Q2: Rilevamento, risposta e ripristino.
- Finanziare il monitoraggio continuo (MDR/SOC) con chiare SLA di risposta.
- Rafforzare i controlli di identità: autenticazione a più fattori (MFA), minimo privilegio e revisione dell'accesso privilegiato.
- Testare i backup attraverso simulazioni di ripristino completo e documentare gli obiettivi di tempo di ripristino (RTO).
Q3: Resilienza dei fornitori e dei prodotti.
- Classificare i fornitori in base alla criticità, quindi applicare per primi i requisiti di sicurezza al primo livello.
- Se distribuite prodotti digitali, create ora una gestione e una segnalazione delle vulnerabilità, tenendo presente settembre 2026.
Q4: Persone e cultura.
- Trasformare la formazione da "casella da spuntare ogni anno" a routine basate sui ruoli, inclusa la formazione per il management.
- Aggiungere un report board leggero: incidenti, quasi incidenti, tempi di risposta, test di ripristino e miglioramenti realizzati.
- Rivedere l'assicurazione cyber con prove alla mano (controlli, monitoraggio, test) e confermare che i vostri partner di risposta agli incidenti siano in contratto.
Un pensiero conclusivo per il 2026: la resilienza fa vendere.
In Europa, la fiducia si trasmette attraverso i moduli di acquisto, le aspettative normative e le conversazioni con i clienti. Le aziende che possono dimostrare preparazione tendono a muoversi più velocemente, a riprendersi più rapidamente e a conquistare la fiducia in anticipo.
La sicurezza informatica può supportare la crescita nel 2026 quando diventa una routine di gestione: misurata, testata e di proprietà dei vertici.
Trasformare la pianificazione in esecuzione.
Blue Networks lavora con PMI e fintech europee che desiderano che la sicurezza informatica supporti la crescita, invece di rallentarla. Dalla governance pronta per NIS2 e dalla pianificazione della risposta agli incidenti al monitoraggio continuo, alla leadership vCISO e alle operazioni di sicurezza costruite per la pressione reale, aiutiamo i team di gestione a passare dall'intenzione alle prove.