La risposta breve
Secondo l'EY Cyber Barometer, la maturità media della cybersecurity nelle imprese italiane è di circa il 55%, contro il 46% dell'edizione precedente. Le PMI sono al 46,5%, le grandi imprese al 50%. Ma solo il 7% delle aziende gestisce gli incidenti cyber a un livello avanzato.
I presìdi, insomma, ci sono; manca la regia. Per un'impresa che sviluppa o commissiona software la domanda pratica è se i propri sistemi reggerebbero a un attacco reale. Un penetration test e audit di sicurezza lo misura sui fatti, mentre un'infrastruttura cloud e DevOps con backup, log e ripristino automatizzati è ciò che trasforma un piano di continuità da documento a procedura.
Quanto sono mature le imprese italiane sulla cybersecurity?
L'indagine di EY misura la maturità della sicurezza informatica su un campione di oltre 300 aziende italiane, con dati riferiti al 2025. Il valore medio si attesta intorno al 55%, nove punti in più rispetto alla rilevazione precedente. È un progresso netto, spinto anche dalla pressione normativa degli ultimi due anni e dagli attacchi che hanno colpito filiere e fornitori.
| Indicatore | Valore |
|---|---|
| Maturità media cybersecurity | circa 55% (era 46%) |
| PMI | circa 46,5% |
| Grandi imprese (oltre 50 mln di fatturato, 250+ dipendenti) | circa 50% |
| Settori digital native e ICT | 65–67% |
| Settori tradizionali e manifatturiero | 35–50% |
| Imprese con inventario dei servizi critici | 62,5% |
| Gestione incidenti a livello intermedio | 53% |
| Gestione incidenti a livello avanzato | 7% |
Il quadro che ne esce è quello di presìdi ormai diffusi ma non ancora consolidati. Per Davide Benevolo, partner e Technology Risk Quality Leader di EY Europe West, i controlli restano prevalentemente su livelli intermedi. Il salto richiesto ora non riguarda l'adozione, ma l'integrazione in un sistema di governo del rischio che si possa misurare. Lo studio cita anche l'intelligenza artificiale come doppio fattore: nuovi rischi di governance e compliance da un lato, strumenti di gestione predittiva del rischio dall'altro.
Le PMI hanno davvero raggiunto le grandi imprese?
Sul dato medio sì, quasi: 46,5% contro circa il 50%. Una distanza di tre punti e mezzo è molto meno di quanto ci si aspetterebbe guardando a budget e organici. La differenza, però, si vede nella qualità. Le grandi imprese hanno più capacità di adottare controlli specialistici e strutture di governance stabili. Nelle aziende più piccole, osserva EY, prevalgono approcci parziali e frammentati, spesso legati alla disponibilità di singole persone.
È un rischio che conosciamo bene dai progetti con clienti europei. La sicurezza di una PMI coincide spesso con un sistemista o un fornitore esterno: se quella persona è in ferie o cambia lavoro, password, configurazioni e procedure di ripristino diventano introvabili. Il punteggio sulla carta è buono, la resilienza reale no.
Pesa anche il settore. Con una maturità tra il 35% e il 50%, manifattura e comparti tradizionali restano indietro rispetto a digital native e ICT, che arrivano al 65–67%. Sono proprio le imprese dove sistemi di fabbrica, gestionali e accessi dei fornitori si incrociano di più.
Perché la gestione degli incidenti resta il punto debole?
È il dato più netto del rapporto. Circa il 53% delle imprese gestisce gli incidenti cyber a un livello intermedio e solo il 7% a un livello avanzato. Oltre la metà, in altre parole, non ha un modello integrato di risposta: chi decide, chi avvisa clienti e autorità, come si isola un sistema compromesso. Nella gestione coordinata degli eventi spiccano i fornitori di servizi ICT (69,2%) e di servizi digitali (66,6%), cioè chi la sicurezza la vende come parte del servizio.
Sulla continuità operativa il quadro è simile. Il 62,5% delle aziende ha un inventario dei servizi critici, primo passo necessario. Ma, secondo la sintesi di Innovation Post, meno del 5% ha piani di continuità pienamente testati. Un piano mai provato è una supposizione: si scopre se funziona solo il giorno in cui serve.
Per molte imprese il tema non è più facoltativo. Con il recepimento della direttiva NIS2 in Italia, un numero ampio di aziende rientra tra i soggetti vigilati dall'Agenzia per la Cybersicurezza Nazionale, con obblighi di gestione del rischio e di notifica degli incidenti. Ne abbiamo scritto in NIS2: la scadenza per le misure di sicurezza.
Cosa possono fare le imprese adesso
Per una PMI che vuole spostarsi dal livello intermedio a quello avanzato, alcune azioni concrete:
- Scrivete e provate il piano di risposta. Ruoli, contatti, criteri di escalation e una simulazione almeno annuale. Il 7% avanzato si distingue proprio qui.
- Testate il ripristino, non solo il backup. Misurate quanto tempo serve davvero per rimettere in piedi gestionale, e-commerce e sistemi di produzione.
- Togliete la sicurezza dalla testa di una sola persona. Documentazione, gestione centralizzata delle credenziali e accessi revocabili riducono la dipendenza dai singoli.
- Verificate il software che sviluppate o acquistate. Penetration test periodici e revisione del codice rilevano le vulnerabilità prima degli attaccanti.
- Governate l'IA. Censite gli strumenti e gli agenti di IA in uso, i dati che toccano e chi li controlla, prima che diventino un punto cieco.
Domande frequenti
Che cos'è l'EY Cyber Barometer?
È l'indagine di EY, condotta nell'ambito dell'EY Hub Risk, che misura la maturità della cybersecurity delle imprese italiane. L'edizione presentata l'8 ottobre 2026 analizza oltre 300 aziende sui dati 2025.
Qual è il livello di maturità cyber delle imprese italiane?
Secondo l'EY Cyber Barometer la maturità media è di circa il 55%, in crescita rispetto al 46% della precedente edizione. I presìdi sono diffusi, ma non ancora integrati in modelli di governance strutturati e misurabili.
Le PMI sono meno protette delle grandi imprese?
Il divario si sta riducendo: le PMI raggiungono una maturità media di circa il 46,5%, le grandi imprese (oltre 50 milioni di fatturato e 250 dipendenti) circa il 50%. Le grandi restano più forti su controlli specialistici e governance stabile.
Quali settori sono più maturi?
I settori digital native e ICT si collocano tra il 65% e il 67%, mentre i comparti tradizionali e manifatturieri restano tra il 35% e il 50%.
Quante aziende gestiscono gli incidenti in modo avanzato?
Solo il 7% raggiunge un livello avanzato di gestione degli incidenti cyber; circa il 53% si ferma a un livello intermedio, spesso senza un modello integrato di risposta.
Fonti
EY — Cybersecurity: maturità in aumento tra le aziende italiane, si riduce il divario tra PMI e grandi imprese, 8 ottobre 2026
ItaliaOggi — Cybersecurity, le Pmi riducono il divario con le grandi imprese, 8 ottobre 2026
Innovation Post — Cybersecurity, cresce la maturità delle aziende ma non la preparazione, 8 ottobre 2026