Cybersecurity 2026: quando la compliance non basta, e il mercato assicurativo diventa lo specchio del rischio

A firma di Sauro Mostarda, CEO di Lokky

I primi mesi del 2026 rappresentano sicuramente un punto di svolta per la cybersecurity in Italia e in Europa. L'entrata in vigore del Regolamento DORA per il settore finanziario e, parallelamente, il recepimento della Direttiva NIS2 nell'ordinamento nazionale, hanno accelerato un cambiamento già in atto. Da questo punto di vista, la sicurezza informatica non è più solo una questione tecnica, ma si posiziona come elemento costitutivo della governance aziendale. A distanza di sei mesi dalla promulgazione della nuova direttiva, è possibile delineare un primo bilancio, sottolineando cosa ha funzionato, cosa resta irrisolto e dove si concentrano le maggiori fragilità.

I dati parlano chiaro. Nel primo semestre del 2025, l'Agenzia per la Cybersicurezza Nazionale ha registrato 1.549 eventi cyber, in crescita del 53% rispetto all’anno precedente, di cui 346 incidenti con impatto confermato¹. In un contesto globale sempre più precario, l'Italia continua a rappresentare un target rilevante. Difatti, pur rappresentando solo lo 0,7% della popolazione mondiale, l'Italia assorbe circa il 10% degli attacchi globali². Eppure, proprio questa pressione sta producendo un primo effetto positivo misurabile. Nel comparto Finance & Insurance, ad esempio, l'anticipazione dei requisiti poi formalizzati dal DORA ha favorito investimenti strutturali in resilienza e controllo, contribuendo, con riferimento al contesto italiano, a una significativa riduzione degli incidenti pari al 7% nel 2024³. Si tratta di un segnale importante, il quale conferma come la compliance non rappresenti solo un mero adeguamento normativo, bensì abbia una reale capacità di contenere gli impatti. Su questo versante, un ruolo chiave è svolto dai meccanismi sanzionatori. Le sanzioni previste, che raggiungono i 20 milioni di euro o il 4% del fatturato globale annuo per le violazioni del GDPR⁴ e le responsabilità dirette introdotte dalla NIS2⁵, hanno portato la cybersecurity all'attenzione dei vertici aziendali, favorendo un'integrazione più lineare tra tecnologia, strategia e governance⁶.

Tuttavia, accanto ai segnali positivi, emergono diverse sfide applicative. Sebbene le due direttive rappresentino una spinta concreta verso la resilienza, la loro applicazione si scontra con un quadro legislativo ancora frammentato. In Italia, l'ordinamento giuridico in materia di cybersecurity è privo di un quadro sistematico in grado di orientare efficacemente le imprese. Poco differente il quadro europeo, dove la disciplina normativa si caratterizza per una struttura multilivello che genera un panorama disarticolato, in cui coesistono standard differenti, spesso sovrapposti o non perfettamente coordinati, creando evidenti difficoltà applicative⁷. Il rischio complessivo è quello di appesantire ulteriormente i processi produttivi e ostacolare la produttività. In assenza di un approccio integrato, la compliance rischia di tradursi semplicemente in un onere burocratico piuttosto che in una reale mitigazione del rischio.  A tal proposito, bisogna tenere distinti gli effetti della compliance da un lato sulle grandi aziende, dall’altro sulle piccole-medie imprese. 

Le grandi stanno progressivamente integrando la cybersecurity nei sistemi di Enterprise Risk Management, riconoscendola come componente chiave del rischio d'impresa. Le rilevazioni attestano questa tendenza: l'84% dispone di infrastrutture ibride e può contare su risorse adeguate per implementare i controlli richiesti sia dal quadro normativo sia dal mercato assicurativo. Eppure, anche qui i risultati non sono del tutto privi di contraddizioni. Stando ai dati, il 73% delle grandi aziende italiane ha subìto attacchi negli ultimi 12 mesi; di questa percentuale, nel 7% dei casi gli incidenti hanno richiesto interventi onerosi di mitigazione, a dimostrazione di come i controlli attuali fatichino ancora ad assorbire l'urto delle minacce più sofisticate. La situazione è ancora più delicata negli ambienti di Operational Technology (OT), ovvero i sistemi industriali che controllano impianti, macchinari e infrastrutture critiche, dove i Security Operations Center (SOC) devono gestire un volume elevatissimo di falsi positivi: questi rappresentano il 68% degli alert di sicurezza generati⁸, aumentando il rischio che incidenti reali vengano individuati con ritardo.  

Per le micro, piccole e medie imprese il quadro è più complesso. I dati del PID Cyber Check rivelano che il 37,8% delle PMI italiane ha subìto attacchi informatici, con il 40% che colpisce realtà con meno di cinque dipendenti e il 50,2% che riguarda aziende con un fatturato inferiore al milione di euro l’anno. La vulnerabilità nasce da carenze strutturali difficili da ignorare: il 38% non dispone di un responsabile per la sicurezza IT che definisca e gestisca il budget, mentre il 55% non prevede alcuna formazione per i dipendenti. A livello operativo, nel 42% dei casi le password vengono scelte dai dipendenti, senza ulteriore controllo della sicurezza, ai dipendenti è permesso anche  connettere liberamente dispositivi personali alla rete⁹. Molte piccole e medie imprese italiane hanno installato strumenti di sicurezza di base come firewall e antivirus, ma possederli non basta. Quasi la metà non controlla mai i registri di sistema per capire se qualcosa è andato storto, e il 91% non ha alcuna certificazione di sicurezza informatica. Il problema, insomma, non è la tecnologia, ma la mancanza di competenze e processi per usarla in modo efficace. Per colmare questo divario esistono opportunità concrete, come i servizi di cybersecurity in abbonamento e i fondi del PNRR, che possono rendere la protezione digitale più accessibile anche per le realtà più piccole¹⁰.

Sul fronte assicurativo, il mercato delle polizze contro i rischi informatici è in forte espansione, con stime che attestano il raggiungimento di 30 miliardi di dollari a livello globale entro il 2027¹¹. Parallelamente, molte aziende hanno rafforzato le proprie strategie di sicurezza per rispondere ai requisiti richiesti in fase di sottoscrizione: secondo le analisi, lo avrebbe fatto principalmente per poter accedere alla copertura assicurativa. In questo contesto, il settore assicurativo sta contribuendo a diffondere standard di sicurezza più elevati, introducendo criteri sempre più rigorosi — dall’autenticazione multifattore ai piani di incident response — che incentivano le imprese a migliorare la propria resilienza cyber. Restano tuttavia alcune complessità strutturali tipiche di un mercato ancora molto tradizionale: la rapida evoluzione delle minacce rende difficile disporre di serie storiche consolidate per la valutazione del rischio, mentre le organizzazioni maggiormente esposte necessitano spesso di percorsi di adeguamento più articolati e personalizzati per accedere alle coperture.

In conclusione, il bilancio di questi primi mesi è quello di una trasformazione in corso. Laddove le normative stanno producendo effetti concreti - maggiore consapevolezza, investimenti strutturali, standard assicurativi più elevati - la loro applicazione, allo stesso tempo, sconta ancora complessità eccessive, disomogeneità territoriali e un divario profondo tra grandi imprese e PMI. Tutto ciò corre il rischio di tradursi in una fragilità sistemica. La sfida, quindi, non è solo difendersi dagli attacchi, ma accompagnare questa evoluzione in modo inclusivo. In un'economia di filiera in cui tutto è interconnesso, la sicurezza di ciascun attore contribuisce alla solidità dell'intero sistema. Ed è nella capacità di fare sistema tra i diversi attori dell’ecosistema che si gioca la possibilità concreta di trasformare un obbligo normativo in una leva di crescita e innovazione.