Ottanta per cento delle vittime di attacchi informatici gravi in Italia nel 2025 sono piccole e medie imprese, secondo il Rapporto Clusit 2026. Un dato che ribalta l'idea diffusa secondo cui la cybersecurity riguardi soprattutto le grandi organizzazioni: nella pratica, chi gestisce oggi una realtà con pochi dipendenti si trova a fronteggiare gli stessi rischi di un gruppo strutturato, ma con budget e competenze interne molto più limitati.
Il tema è tornato d'attualità nell'estate 2026 con l'apertura delle domande per il nuovo Voucher Cloud e Cybersecurity del MIMIT, che stanzia risorse a fondo perduto per le imprese che vogliono aggiornare le proprie difese digitali. Ma al di là dell'incentivo in sé, la domanda che si pongono molti titolari di attività è più semplice: da dove si comincia, e conviene affidarsi a un fornitore esterno o costruire competenze interne?
Il quadro: PMI italiane sotto pressione
Il Cyber Index PMI 2025, promosso da Confindustria insieme a Generali, Politecnico di Milano e Agenzia per la Cybersicurezza Nazionale, fotografa una maturità digitale ancora fragile: il punteggio medio delle imprese italiane si ferma a 55 punti su 100, sotto la soglia di sufficienza fissata a 60. Non si tratta solo di mancanza di strumenti tecnici, ma spesso di processi organizzativi assenti: password condivise, backup non testati, dipendenti mai formati sul riconoscimento di email sospette.
Va detto che la dimensione ridotta non è di per sé un fattore protettivo, anzi: le PMI vengono prese di mira proprio perché rappresentano un bersaglio più facile rispetto a realtà con team IT dedicati, pur gestendo talvolta dati sensibili di clienti o fornitori che le rendono comunque appetibili per chi conduce attacchi automatizzati su larga scala.
Cosa copre il voucher 2026
Il Voucher Cloud e Cybersecurity, gestito dal Ministero delle Imprese e del Made in Italy, riconosce un contributo a fondo perduto fino al 50% delle spese ammissibili, con un tetto massimo di 20.000 euro per impresa, in regime de minimis. Possono presentare domanda le micro, piccole e medie imprese e i professionisti con partita IVA, a condizione di disporre di una connessione internet con velocità minima di 30 Mbit/s in download.
Le spese finanziabili includono hardware dedicato (firewall, sistemi anti-intrusione, router e switch sicuri), software di protezione (antivirus, antimalware, strumenti di monitoraggio delle vulnerabilità) e servizi di infrastruttura cloud come storage, backup e macchine virtuali. Restano escluse le spese per servizi che duplicano prestazioni già in uso presso l'impresa beneficiaria. Le domande si potranno presentare dalle 12:00 del 10 novembre 2026 alle 12:00 del 20 gennaio 2027.
Fare da soli o affidarsi a un fornitore esterno?
Qui si apre il nodo che riguarda più da vicino chi gestisce un'attività di piccole dimensioni. Costruire un presidio interno di sicurezza informatica richiede competenze specialistiche che raramente un'azienda sotto una certa soglia dimensionale può permettersi di assumere stabilmente. L'alternativa, sempre più diffusa, è l'affidamento a fornitori di servizi gestiti (i cosiddetti MSP, Managed Service Provider), che offrono monitoraggio continuo, aggiornamento delle patch e risposta agli incidenti come servizio in abbonamento.
La scelta tra le due strade dipende in larga misura dal volume di dati trattati e dal livello di esposizione digitale dell'attività, più che dalle sue dimensioni in termini di fatturato: un piccolo studio professionale che gestisce dati sanitari o finanziari di clienti ha esigenze di protezione diverse da un negozio con un semplice sito vetrina.
Chi valuta l'esternalizzazione dovrebbe verificare alcuni elementi concreti prima di firmare un contratto: la presenza di un Service Level Agreement chiaro sui tempi di intervento, la localizzazione dei dati (elemento rilevante ai fini del GDPR) e la possibilità di richiedere audit periodici. Il sito dell'Agenzia per la Cybersicurezza Nazionale pubblica periodicamente indicazioni utili per orientarsi nella scelta dei fornitori qualificati.
Formazione: l'anello spesso trascurato
Gran parte degli incidenti informatici che colpiscono le piccole imprese non nasce da falle tecniche sofisticate, ma da errori umani: un allegato aperto senza verifica, una password riutilizzata su più servizi, un link cliccato senza attenzione. Per questo motivo, accanto agli investimenti in hardware e software, molte associazioni di categoria raccomandano percorsi di formazione periodica per il personale, anche di poche ore l'anno, mirati a riconoscere i tentativi di phishing più comuni.
Non sempre serve un budget consistente: esistono percorsi formativi brevi, anche gratuiti, promossi da Camere di Commercio e associazioni di categoria territoriali, pensati proprio per le realtà che non dispongono di un reparto IT interno.
Normative da tenere d'occhio
Il 2026 porta con sé anche l'entrata a regime di alcuni obblighi normativi che ampliano il perimetro delle imprese soggette a requisiti minimi di sicurezza informatica, in particolare la direttiva NIS2, che ha esteso l'ambito di applicazione anche a fornitori che operano lungo le catene di approvvigionamento di soggetti già regolamentati. Le imprese che lavorano come fornitori di aziende più grandi, anche indirettamente, potrebbero quindi ritrovarsi a dover rispettare requisiti contrattuali di sicurezza fino a poco tempo fa non richiesti. Per una valutazione puntuale della propria posizione rispetto a questi obblighi, è comunque opportuno rivolgersi a un consulente specializzato in compliance digitale.
Da dove cominciare, in pratica
Chi si trova a dover impostare da zero un percorso di messa in sicurezza può partire da un ordine di priorità realistico piuttosto che da un piano complesso e costoso fin dal primo giorno:
- Verificare che i backup dei dati aziendali siano effettivamente funzionanti e testati, non solo programmati
- Attivare l'autenticazione a due fattori su tutti gli account critici (posta elettronica, gestionale, home banking aziendale)
- Mappare quali fornitori esterni hanno accesso a dati sensibili e con quali garanzie contrattuali
- Programmare almeno un momento formativo l'anno per il personale sul riconoscimento delle minacce più comuni
- Valutare, anche solo per un confronto di preventivi, cosa offrono i fornitori di servizi gestiti rispetto al costo di una gestione interna
Prima di scegliere se investire nel voucher ministeriale o rivolgersi a un fornitore di fiducia, può essere utile confrontare le proprie esigenze con quanto già raccontato nella sezione dedicata a che cosa fa concretamente un hacker, per capire meglio quali sono i vettori di attacco più comuni contro cui ci si sta proteggendo. Per restare aggiornati su iniziative e servizi dedicati alle imprese, la sezione Aziende di servizi di WorldWeb raccoglie periodicamente approfondimenti simili.
