Non è più una possibilità remota. Il Cyber Index PMI 2025 — promosso da Generali e Confindustria, con il supporto scientifico degli Osservatori Digital Innovation del Politecnico di Milano e la partnership dell'Agenzia per la Cybersicurezza Nazionale — dice che quasi una PMI italiana su quattro ha già subito un attacco informatico negli ultimi tre anni. Il tema non è più "se", ma "quando" e "quanto siamo pronti".
Un punteggio in crescita, ma un sistema ancora diviso a metà
Il Cyber Index PMI raggiunge quota 55 su 100, in miglioramento rispetto ai 52 punti del 2024 e ai 51 del 2023. La direzione è quella giusta: le imprese italiane stanno prendendo più sul serio il rischio informatico, spinte da normative, richieste di clienti e partner, maggiore esposizione digitale.
Il rapporto divide le aziende in quattro profili di maturità: principianti, informate, consapevoli e mature. Le mature arrivano al 16% del campione e per la prima volta superano le principianti, ferme al 14%. Ma la fetta più ampia — il 70% — resta nel mezzo: sa che il problema esiste, senza avere ancora strumenti, processi e competenze sufficienti per trasformare quella consapevolezza in protezione reale.
Il rischio non è più teorico
Il dato più diretto riguarda l'esperienza concreta: quasi una PMI italiana su quattro dichiara di aver subito almeno un attacco informatico negli ultimi tre anni. Non è un problema che riguarda solo grandi gruppi, banche o infrastrutture critiche — è già dentro il perimetro operativo delle piccole e medie imprese.
E quando l'attacco arriva, le conseguenze si vedono: il 2,5% delle PMI ha subito impatti operativi o finanziari diretti, il 6% ha dovuto attivare una risposta significativa. Per chi lavora in produzione e logistica, un attacco raramente si ferma ai dati: può voler dire sistemi gestionali bloccati, ordini fermi, magazzini disallineati, fornitori scollegati dalla filiera.
L'81% delle PMI italiane opera in ecosistemi con grandi organizzazioni, pubblica amministrazione, multinazionali o infrastrutture critiche. Una vulnerabilità nel fornitore più piccolo diventa, sempre più spesso, un problema contrattuale per tutta la catena.
Le filiere non perdonano gli anelli deboli
Il 49% delle PMI ha clienti o fornitori all'estero, il 46% lavora come fornitore di grandi imprese, il 33% collabora con la Pubblica Amministrazione, il 29% è collegato a filiere che coinvolgono infrastrutture critiche. Le PMI non sono più soggetti isolati: sono anelli di catene produttive e logistiche molto più ampie, e le grandi organizzazioni iniziano a chiedere ai propri fornitori standard minimi di sicurezza. La cybersecurity sta diventando un requisito di accesso al mercato, non solo una scelta interna.
Più strumenti, ancora poca capacità di risposta
Un segnale positivo arriva dagli asset digitali: nel 2025 il 70% delle PMI dispone di un inventario degli asset informatici, contro il 48% dell'anno precedente. Cresce anche l'auditing sulla sicurezza, svolto dal 44% delle imprese — e non si può proteggere ciò che non si conosce.
Restano però fragilità evidenti. Una PMI su tre non ha competenze digitali adeguate nemmeno per le attività tradizionali di IT security. Solo l'11% ha predisposto attività sistematiche di identificazione e correzione delle vulnerabilità. Appena il 30% adotta misure come cifratura dei dati e segmentazione della rete. Una PMI su quattro dispone di soluzioni in grado di rilevare tempestivamente un'intrusione in corso.
Il dato più critico riguarda la continuità operativa: il 36% delle PMI non ha mai preso in considerazione l'ipotesi di un'interruzione delle attività dovuta a un incidente cyber. Significa che oltre un terzo delle imprese non ha ancora un piano chiaro per ripartire dopo un blocco.
Investimenti e partner esterni: la maturità passa anche da qui
La crescita della consapevolezza si vede anche nei budget: nel 2025 il budget IT delle piccole imprese è cresciuto del 3,3%, quello delle medie del 5,2%, con una media dell'11% del budget IT destinata alla cybersecurity. Cresce di pari passo il ricorso a partner esterni specializzati, dal 25% del 2024 al 29% del 2025 — segno che molte PMI riconoscono di non avere, da sole, le competenze per scegliere e gestire le soluzioni più adatte.
Anche i finanziamenti pubblici restano un acceleratore, ma ancora poco sfruttato: solo il 12% delle PMI vi ha avuto accesso, ma tra queste il 42% raggiunge il profilo "maturo" — un segnale forte di quanto possano fare la differenza. Il problema non è solo economico: il 39% delle imprese non conosce o non sfrutta queste opportunità.
Questo articolo ha finalità divulgative e non costituisce consulenza legale o tecnica. I dati citati provengono dal Cyber Index PMI 2025 (Confindustria, Generali, Osservatori Digital Innovation del Politecnico di Milano, ACN). Le scelte in materia di sicurezza informatica vanno calibrate sulla situazione specifica dell'azienda, con il supporto di un professionista.