Contenuto testuale generato con l’ausilio di sistemi di intelligenza artificiale e revisionato dal team WIT ICT, in conformità all’art. 50 del Regolamento UE 2024/1689 (AI Act) sulla trasparenza dei contenuti prodotti dall’IA. Anche l’immagine in evidenza di questo articolo è stata generata tramite IA.
Ad agosto 2026 gli attacchi ransomware hanno toccato il livello più alto dell’anno, con oltre mille organizzazioni colpite nel mondo in un solo mese. Per una piccola o media impresa italiana il dato non è un titolo da leggere distrattamente: significa che il rischio di ritrovarsi con i file cifrati e la produzione ferma è oggi concreto quanto un guasto al gestionale. A rendere il momento ancora più delicato c’è una scadenza che si avvicina, quella del 31 ottobre 2026 legata alla direttiva NIS2. Vale la pena capire cosa sta cambiando e cosa conviene fare adesso.
Perché il 2026 è un anno di svolta per la sicurezza delle PMI
Per anni le piccole imprese si sono raccontate di essere troppo poco interessanti per finire nel mirino. I numeri raccontano l’opposto: la maggior parte delle violazioni che coinvolgono aziende di dimensioni ridotte passa proprio da un attacco ransomware, e i criminali scelgono i bersagli più deboli perché offrono guadagni rapidi con poco sforzo. Chi ha meno difese diventa il primo a essere colpito.
Il salto di quest’anno è duplice. Da un lato le tecniche si sono automatizzate e permettono di colpire migliaia di realtà contemporaneamente; dall’altro il costo di un blocco operativo — giorni di fermo, clienti persi, dati dei fornitori esposti — pesa su un’azienda da venti persone molto più che su una multinazionale.
Il conto alla rovescia della NIS2: la scadenza del 31 ottobre
La direttiva europea NIS2 è operativa in Italia dall’ottobre 2024 con il D.Lgs. 138/2024, ma il passaggio che tocca da vicino molte imprese arriva ora. Entro il 31 ottobre 2026 i soggetti rientranti nel perimetro devono aver adottato le misure di sicurezza di base definite dall’Agenzia per la Cybersicurezza Nazionale.
La novità rispetto al passato è l’ampiezza. Non parliamo più solo di grandi operatori: rientrano molte PMI attive in settori considerati strategici, e come riferimento indicativo chi supera i cinquanta dipendenti o i dieci milioni di fatturato ha buone probabilità di essere coinvolto. Il primo passo, spesso trascurato, è semplicemente verificare se la propria azienda rientra tra i soggetti obbligati.
Come si presenta un attacco oggi: il phishing potenziato dall’IA
L’immagine dell’hacker che forza un sistema con codice sofisticato è ormai fuorviante. La porta d’ingresso più usata resta la persona: una mail scritta bene, un allegato che sembra una fattura o un’immagine, un link che imita il portale della banca. L’intelligenza artificiale ha reso questi messaggi più credibili, senza gli errori grammaticali che un tempo li smascheravano.
Alcune campagne recenti nascondono programmi malevoli dentro file apparentemente innocui, come una foto da scaricare. Il risultato è che la tecnologia da sola non basta: serve un personale capace di riconoscere il tentativo prima di cliccare. La formazione, in questo scenario, vale quanto un firewall.
Le misure di base che ogni impresa dovrebbe avere
Adeguarsi non significa acquistare soluzioni costose e incomprensibili. La maggior parte del rischio si riduce con pratiche ordinarie, applicate però con costanza:
- Autenticazione a più fattori su posta, gestionali e accessi da remoto.
- Aggiornamento regolare di sistemi operativi e applicativi, per chiudere le vulnerabilità note.
- Gestione ordinata degli account, con privilegi minimi e rimozione tempestiva di chi lascia l’azienda.
- Segmentazione della rete, così che un dispositivo compromesso non apra l’intera infrastruttura.
- Monitoraggio degli accessi e degli eventi anomali.
Sono interventi alla portata anche di una piccola realtà, purché qualcuno se ne assuma la responsabilità e li tenga sotto controllo nel tempo.
La sicurezza non è più solo un affare dell’IT
Uno dei cambiamenti meno compresi della NIS2 riguarda le responsabilità. La normativa chiede che siano gli amministratori e il vertice aziendale ad approvare le misure di sicurezza, a formarsi sul tema e a rispondere in caso di inadempienza. Non è più possibile delegare tutto al tecnico e considerare la questione risolta.
Questo spostamento ha una logica precisa: le decisioni sul budget, sui fornitori e sulle priorità stanno in cima all’organizzazione. Le sanzioni previste, che possono arrivare fino al due per cento del fatturato annuo, servono proprio a rendere il tema una voce di governo dell’impresa e non un dettaglio operativo. Per l’imprenditore significa dedicare al rischio informatico la stessa attenzione riservata alla sicurezza sul lavoro.
Backup e piano di risposta: cosa fare quando qualcosa va storto
Nessuna difesa è perfetta, e proprio per questo la capacità di reagire distingue l’azienda che si rialza in poche ore da quella che chiude per settimane. Il pilastro è il backup: copie regolari, conservate anche fuori dalla rete principale e verificate periodicamente, perché un salvataggio mai testato ha buone probabilità di rivelarsi inutile nel momento decisivo.
Accanto al backup serve una procedura scritta che indichi chi fa cosa in caso di incidente: come isolare i sistemi, chi contattare, come e quando notificare l’evento alle autorità nel rispetto dei tempi previsti. Avere queste risposte pronte prima dell’emergenza evita l’improvvisazione, che è la vera alleata di chi attacca.
Da dove partire: un percorso realistico per le piccole imprese
La sensazione di dover fare tutto insieme è il primo ostacolo. Conviene invece procedere per gradi, iniziando da una fotografia onesta della situazione: quali dati sono davvero critici, dove sono conservati, chi vi accede. Da questa mappa nasce un ordine di priorità che evita di spendere sulle cose sbagliate.
Un supporto esterno aiuta soprattutto nelle prime fasi, quando servono competenze che internamente mancano. In WIT ICT accompagniamo le PMI in questo percorso, dalla verifica dell’obbligo NIS2 alla configurazione di Microsoft 365, dai backup alla formazione delle persone. L’obiettivo non è la conformità sulla carta, ma un’azienda che resta operativa anche quando qualcosa va storto.
Vuoi saperne di più? Contattaci per una consulenza gratuita.