Gli hacker non sono andati in ferie
A settembre 2026 la cybersecurity aziendale italiana riparte sotto pressione: dall’11 settembre scatta l’obbligo di segnalazione del Cyber Resilience Act (CRA), il 31 ottobre è la deadline per le misure di base NIS2, e l’estate ha lasciato in eredità un’ondata di attacchi automatizzati basati su intelligenza artificiale.
Il 2025 secondo il Rapporto Clusit 2026, è stato un anno record per gli incidenti cyber in Italia, gli incidenti gravi censiti sono passati da 357 nel 2024 a 507 nel 2025, con un incremento del 42%. L’Agenzia per la Cybersicurezza Nazionale (ACN) ha trattato 2.729 eventi cyber, con una media mensile in crescita del 38%.
Di fronte a questo scenario, la spesa italiana in cybersecurity è salita del 12% nel 2025, raggiungendo 2,78 miliardi di euro. Tuttavia, i tempi di reazione si stanno accorciando: con malware abilitati dall’AI, il tempo medio a disposizione dei team difensivi prima che l’attaccante si muova nella rete è sceso a circa 29 minuti.
Dall’11 settembre scatta con il Cyber Resilience Act (CRA) l’obbligo di segnalazione con cui entra in vigore la prima leva operativa del CRA (Regolamento UE 2024/2847) per segnalare vulnerabilità attivamente sfruttate e incidenti gravi.
Il provvedimento riguarda i fabbricanti di “prodotti con elementi digitali” (hardware, software, dispositivi IoT, componenti digitali) immessi sul mercato UE, inclusi i prodotti già in circolazione (“legacy”).
La notifica si attiverà tramite la Single Reporting Platform (SRP) di ENISA, con tempi a cascata:
- allarme rapido entro 24 ore dalla conoscenza dello sfruttamento attivo o dell’incidente grave
- notifica completa entro 72 ore
- relazione finale entro 14 giorni (per vulnerabilità sfruttate) o entro un mese (per incidenti gravi) dalla disponibilità di una misura correttiva
Questo obbligo non sarà tuttavia retroattivo sullo sfruttamento già noto prima dell’11 settembre, ma si applica da quella data in poi anche a prodotti immessi anni fa, se lo sfruttamento emerge o prosegue dopo la scadenza.
Per molte aziende tech e software house italiane, questo significa dover attivare o rafforzare processi di vulnerability management, contatto con i CSIRT nazionali e procedure interne di escalation.
NIS2: 31 ottobre 2026, ultima chiamata per le misure di base
Per i soggetti già inseriti negli elenchi ACN nel 2025, il 31 ottobre 2026 è il termine ultimo per adottare le misure di sicurezza di base previste dalla normativa NIS2.
Dal 31 ottobre, ACN potrà avviare ispezioni, controlli e sanzioni su circa 20.000 soggetti italiani.
La conformità non è solo tecnica: NIS2 eleva la cybersecurity a responsabilità di governance, coinvolgendo gli organi di amministrazione e direzione.
Per chi è entrato in elenco nel 2026, la scadenza è slittata al 31 luglio 2027, ma la prima ondata (2025) deve essere pronta entro ottobre.
DORA: lo stress test post-estate per il settore finanziario
Nel settore finanziario e per i fornitori tecnologici di terze parti, il regolamento DORA (Digital Operational Resilience Act) mette alla prova i piani di continuità operativa e di gestione degli incidenti ICT, soprattutto dopo il calo di personale estivo. L’estate 2026 è stata descritta come il “vero stress test” per la cyber-resilienza richiesta da NIS2 e DORA.
Trend delle minacce: il “rientro” come finestra di attacco. I cybercriminali stanno sfruttando il rientro dalle ferie con tecniche sempre più automatizzate e mirate
Gli attacchi informatici stanno diventando sempre più veloci e difficili da fermare perché i criminali usano l’intelligenza artificiale per agire quasi in tempo reale: invece di impiegare ore o giorni, oggi riescono a muoversi nella rete aziendale in pochi minuti, a volte in meno di mezz’ora, e nei casi più estremi in pochi secondi. Questo lascia pochissimo margine di reazione ai team di sicurezza.
Una fetta molto ampia di questi attacchi, oltre l’80%, non usa più virus o file infetti classici, ma sfrutta credenziali vere rubate o comprate nel dark web, spesso compromesse durante i mesi estivi quando l’attenzione cala. In pratica, i malintenzionati entrano come se fossero utenti legittimi, rendendo più difficile bloccarli con i tradizionali antivirus.
A questo si aggiunge un’ondata di phishing sempre più convincente, generato con strumenti di intelligenza artificiale che imitano alla perfezione solleciti di pagamento, comunicazioni delle risorse umane o aggiornamenti di piattaforme aziendali. Queste e-mail approfittano della distrazione tipica del rientro dalle ferie, spingendo i dipendenti a cliccare link o condividere dati sensibili senza accorgersi della truffa.
Per le piccole e medie imprese, la strada più pratica per ridurre rapidamente il rischio al rientro passa da quattro mosse essenziali. Prima di tutto, isolare e scansionare laptop e smartphone usati in trasferta o su reti Wi‑Fi pubbliche prima di ricollegarli alla rete aziendale, per evitare che portino dentro minacce. Poi, forzare il cambio password per gli account più critici e verificare che l’autenticazione a due fattori sia attiva ovunque, così da limitare i danni anche se una credenziale è stata rubata.
È inoltre fondamentale controllare lo stato di sicurezza dei fornitori esterni che hanno accesso ai sistemi interni, allineandosi alle nuove regole europee come NIS2 e DORA, che spingono per una maggiore trasparenza e responsabilità nella catena di fornitura digitale. Infine, aggiornare i piani di risposta agli incidenti, tenendo conto che gli attacchi ormai viaggiano a “velocità di macchina” e richiedono procedure pronte a essere attivate in pochi minuti, non in ore.
