La risposta breve
Nel primo semestre 2026 ACN ha gestito 2.171 eventi cyber (+47% su base annua) e 1.072 incidenti con impatto confermato, ma ransomware (181, -12%) e DDoS (407, -32%) sono in calo e i sistemi potenzialmente compromessi crollano del 64,6%. La cifra più vistosa — notifiche a +310% — non misura più attacchi, ma più visibilità: la direttiva NIS2 ha reso obbligatorie le segnalazioni e ha portato allo scoperto incidenti che prima restavano sommersi.
Per chi sviluppa o usa software in Italia il segnale è concreto: la minaccia resta alta, ma il punto debole non è quasi mai una vulnerabilità esotica. Circa due terzi delle compromissioni passano da credenziali e comportamenti degli utenti. È lì, e sulla gestione delle vulnerabilità note, che conviene investire per primi.
I numeri del semestre
Il quadro pubblicato dall'Agenzia per la Cybersicurezza Nazionale il 24 luglio 2026 va letto con attenzione, perché i totali possono ingannare. Nei primi sei mesi dell'anno il CSIRT Italia ha gestito 2.171 eventi cyber, il 47% in più rispetto allo stesso semestre del 2025, e 1.072 incidenti con impatto confermato. A prima vista sembra un peggioramento netto. Ma scendendo nel dettaglio il segno cambia: i sistemi potenzialmente compromessi scendono a 1.560, con un calo del 64,6% rispetto ai 4.408 del periodo precedente, e gli attacchi più temuti arretrano.
Il ransomware, la minaccia che più spaventa le imprese, si ferma a 181 casi, in calo del 12%. Gli attacchi DDoS scendono del 32%, a 407 eventi, concentrati soprattutto a febbraio durante i Giochi olimpici invernali di Milano-Cortina 2026, quando l'attenzione degli attivisti digitali si è spostata su infrastrutture pubbliche e operatori dei trasporti. Nel frattempo il panorama delle vulnerabilità si allarga: sono state catalogate 37.032 nuove CVE (+54%) e rilevati oltre 24.000 servizi esposti su internet. Chi si occupa di sicurezza applicativa sa cosa significa: la superficie d'attacco cresce più in fretta della capacità media di aggiornare i sistemi, e la gestione delle vulnerabilità note diventa il fronte quotidiano. È il tipo di verifica che affrontiamo con i clienti in un penetration test e audit di sicurezza prima che un sistema vada in produzione.
Perché le notifiche sono esplose: l'effetto NIS2
Il dato che ha fatto più titoli è la crescita del 310% delle notifiche di incidente: 1.160 in tutto, di cui 953 obbligatorie e 207 volontarie, arrivate da 890 soggetti, dei quali ben 690 alla loro prima segnalazione. È qui che serve prudenza interpretativa. Come ha chiarito la stessa ACN, questo aumento non equivale a una crescita corrispondente degli attacchi: riflette la piena attuazione della direttiva europea NIS2, che ha introdotto obblighi di notifica per un perimetro molto più ampio di aziende e amministrazioni.
In pratica, incidenti che un anno fa restavano confinati dentro le organizzazioni oggi finiscono nelle statistiche nazionali. È una buona notizia travestita da cattiva: più visibilità significa risposte più rapide, allerte più tempestive — ACN ha diffuso 606 tra alert e bollettini, +275% sull'intero 2025 — e una fotografia più onesta del rischio reale. Per le imprese che rientrano nel perimetro NIS2 il messaggio operativo è però stringente: la notifica di un incidente non è più una scelta, è un obbligo con tempi definiti, e va sostenuta da processi e strumenti pronti prima che l'incidente accada, non improvvisati durante la crisi.
Dove si rompe la catena: identità e fattore umano
La parte più utile del rapporto, per chi costruisce software, è l'analisi di come gli attaccanti entrano. Le campagne via email restano il vettore principale, all'origine del 40% degli accessi iniziali; l'abuso di credenziali valide compromesse pesa per un altro 26%. Messi insieme, questi due elementi portano ACN a una conclusione netta: quasi due terzi delle compromissioni derivano da comportamenti degli utenti o da lacune nella gestione delle identità digitali, non dallo sfruttamento diretto di una vulnerabilità del software.
È un dato che riorienta le priorità. Investire solo in strumenti di difesa perimetrale mentre l'autenticazione resta debole significa blindare la porta e lasciare la finestra aperta. Per un team di sviluppo le contromisure sono note e in gran parte tecniche: autenticazione a più fattori resistente al phishing, rotazione e gestione centralizzata dei segreti, principio del privilegio minimo, logging degli accessi e revoca rapida delle credenziali. Sono scelte che si progettano meglio dentro l'architettura del software fin dall'inizio, ed è uno dei motivi per cui la sicurezza andrebbe trattata come requisito di prodotto nello sviluppo su misura, non come strato aggiunto alla fine.
Cosa significa per chi sviluppa o commissiona software
Per un'impresa italiana che realizza o acquista software, il rapporto ACN si traduce in tre indicazioni pratiche. La prima: non lasciarsi ipnotizzare dai totali. Gli eventi crescono perché cresce la capacità di vederli, ma le minacce ad alto impatto — ransomware, DDoS — stanno arretrando grazie a difese più mature. La seconda: spostare il baricentro degli investimenti dal perimetro all'identità. Se due terzi delle compromissioni passano da credenziali e comportamenti, è lì che ogni euro rende di più.
La terza riguarda la conformità. Con la NIS2 pienamente operativa, molte aziende che non si consideravano «infrastrutture critiche» scoprono di rientrare nel perimetro degli obblighi, direttamente o come fornitori di soggetti obbligati. Non basta essere sicuri: bisogna poterlo dimostrare, con processi di rilevamento, notifica e risposta documentati. Chi sviluppa prodotti destinati a clienti enterprise o alla pubblica amministrazione se lo sente chiedere sempre più spesso in fase contrattuale. Dove mancano competenze interne, un team esterno di sviluppo e sicurezza consente di colmare il divario subito, senza attendere assunzioni difficili in un mercato tech in tensione.
C'è anche una lettura di opportunità. In un contesto in cui il rischio è misurato e comunicato meglio, i fornitori che arrivano con sistemi già robusti e processi di notifica pronti hanno un vantaggio competitivo concreto: la sicurezza diventa un argomento di vendita, non solo un costo. La compliance ben progettata rende un prodotto più difendibile e più vendibile, soprattutto verso i committenti più esigenti.
Come rafforzarsi nei prossimi mesi
La minaccia è strutturale, ma l'irrobustimento è un percorso ordinato. Una sequenza praticabile, anche per chi parte con risorse limitate:
- Mettete in sicurezza le identità. Autenticazione a più fattori resistente al phishing, gestione centralizzata dei segreti e privilegio minimo: è il fronte da cui passano due compromissioni su tre.
- Governate le vulnerabilità note. Con oltre 37.000 nuove CVE nel semestre, serve un processo di inventario, priorità e patch continuo, non una tantum.
- Riducete la superficie esposta. Mappate i servizi raggiungibili da internet e chiudete quelli non necessari: i servizi esposti censiti sono oltre 24.000.
- Predisponete la notifica NIS2. Se rientrate nel perimetro, definite ruoli, tempi e strumenti di segnalazione prima dell'incidente, non durante.
- Progettate la sicurezza nel software. Logging, tracciabilità e controllo degli accessi vanno pensati nell'architettura: aggiungerli dopo costa di più e protegge di meno.
Il rapporto non dice che l'Italia è sotto assedio: dice che vede meglio ciò che accade e sta imparando a rispondere. Il vantaggio andrà a chi legge i numeri per quello che sono — una mappa delle priorità — e incorpora la sicurezza nel modo di costruire software, un sistema e un'identità alla volta.
Domande frequenti
Quanti eventi cyber ha gestito ACN nel primo semestre 2026?
Nel periodo gennaio-giugno 2026 il CSIRT Italia dell'ACN ha gestito 2.171 eventi cyber, il 47% in più rispetto allo stesso semestre del 2025, con 1.072 incidenti a impatto confermato. Il rapporto è stato pubblicato il 24 luglio 2026.
Ransomware e DDoS sono aumentati in Italia nel 2026?
No, sono in calo. Nel primo semestre 2026 ACN ha registrato 181 casi di ransomware (-12%) e 407 attacchi DDoS (-32% su base annua). I sistemi potenzialmente compromessi sono scesi a 1.560, il 64,6% in meno rispetto ai 4.408 del periodo precedente.
Perché le notifiche di incidenti sono cresciute del 310%?
La crescita del 310% (1.160 notifiche, di cui 953 obbligatorie e 207 volontarie, da 890 soggetti di cui 690 alla prima segnalazione) deriva dagli obblighi di notifica introdotti dalla direttiva NIS2. Come ha spiegato ACN, l'aumento riflette una maggiore capacità di rilevamento, non una crescita equivalente degli attacchi.
Cosa devono fare le imprese che sviluppano software?
Poiché circa due terzi delle compromissioni derivano da credenziali e comportamenti degli utenti, la priorità è rafforzare autenticazione, gestione delle identità e patch delle vulnerabilità note, oltre a progettare la sicurezza dentro il software. Chi rientra nel perimetro NIS2 deve inoltre predisporre i processi di notifica degli incidenti.
Fonti
Il Sole 24 Ore — Ciardi (ACN): sul rischio cyber più segnalazioni, notifiche a +310%
Key4biz — ACN: 2.171 eventi nei primi 6 mesi del 2026, più notifiche con la NIS2, ma calano DDoS e ransomware
Cybersecurity 360 — ACN: nel primo semestre 2026 resta elevata la pressione delle minacce cyber
Agenzia per la Cybersicurezza Nazionale — Cyber Threat Reports (Operational Summary)