La risposta breve
Nel 2025 la spesa italiana in cybersecurity raggiunge i 2,78 miliardi di euro, in crescita del 12% rispetto all’anno precedente secondo la stima dell’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano. È un ritmo molto più alto della spesa digitale complessiva (+1,5%), segno che la sicurezza è diventata una priorità di bilancio. Ma la minaccia corre di più: il Rapporto Clusit 2026 registra 507 incidenti gravi (+42% sul 2024) e colloca l’Italia tra i Paesi più colpiti al mondo.
Per le imprese che costruiscono o acquistano software il messaggio è duplice. Da un lato, aumentare il budget non basta se la spesa non si traduce in controlli verificabili e in sicurezza integrata nel ciclo di sviluppo. Dall’altro, il divario reale non è nelle grandi aziende — che stanno investendo — ma nelle PMI e nella catena di fornitura, dove un anello debole diventa la via d’ingresso verso i clienti più grandi.
I numeri del 2025
La fotografia arriva dai dati presentati in vista di WeSec 2026, il salone della sicurezza in programma a Milano il 22 e 23 settembre, e sintetizza fonti indipendenti: l’Osservatorio del Politecnico di Milano per la spesa, il Clusit per gli incidenti gravi e l’Agenzia per la Cybersicurezza Nazionale (ACN) per l’attività ostile trattata a livello nazionale. Il quadro che ne esce è coerente: si spende di più, ma si viene colpiti di più.
Sul fronte degli investimenti, i 2,78 miliardi di euro del 2025 non sono distribuiti in modo uniforme. La crescita è trainata dai settori più regolati e più esposti:
- Pubblica amministrazione: +28%, spinta dagli obblighi del perimetro e dalla spesa PNRR.
- Finance: +22%, sotto la pressione combinata di DORA e delle aspettative di vigilanza.
- Logistica e trasporti: +18%, dove la convergenza fra IT e sistemi operativi alza la posta.
Sul fronte opposto, l’ACN ha trattato 2.729 eventi ostili nell’anno, con una media mensile salita da 165 a 227 eventi (+38%) e 615 incidenti con impatto confermato (+7%). Oltre un terzo delle grandi imprese (34%) dichiara di aver subito almeno un attacco. In parallelo, il 57% delle organizzazioni ha avviato una revisione strutturale dei propri piani di risposta agli incidenti, e il 70% prevede un ulteriore aumento del budget di sicurezza nel 2026. La direzione è segnata; la domanda è se la spesa si tradurrà in resilienza reale.
Il paradosso: piu' spesa, piu' attacchi
Il dato che più colpisce è il divario tra le due curve. La spesa cresce del 12%; gli incidenti gravi crescono del 42%. Non è una contraddizione, ma il sintomo di un mercato in cui la superficie di attacco si espande più velocemente delle difese. Ogni nuova applicazione esposta, ogni integrazione via API, ogni fornitore con accesso ai sistemi aggiunge una porta potenziale — e la digitalizzazione degli ultimi anni ne ha aperte molte.
C’è anche una questione di dove si spende. Investire in strumenti di protezione perimetrale senza correggere le debolezze del software che gira all’interno del perimetro sposta il rischio, non lo elimina. La quota crescente di incidenti che parte da vulnerabilità applicative, credenziali esposte e configurazioni errate racconta un’altra storia: la difesa efficace comincia dal codice e dall’architettura, non solo dai firewall. Un programma serio di vulnerability assessment e penetration test è il modo più concreto per capire se il budget speso ha davvero ridotto il rischio o solo la sensazione di rischio.
L'AI dai due lati della barricata
L’intelligenza artificiale è il fattore che accelera entrambe le curve. Dal lato dell’attacco, l’AI generativa rende le campagne di phishing più credibili, personalizzate e scalabili, e automatizza fasi che prima richiedevano lavoro manuale: ricognizione, scrittura di esche su misura, generazione di varianti di malware. Il risultato è un volume di minacce più alto a parità di risorse per l’attaccante, con una barriera d’ingresso più bassa.
Dal lato della difesa, la stessa AI è parte del problema quando entra in azienda senza governo. L’adozione non controllata di strumenti generativi — il cosiddetto shadow AI — espone dati sensibili e amplia la superficie di attacco: dipendenti che incollano codice proprietario o documenti riservati in servizi esterni creano fughe di dati invisibili ai controlli tradizionali. Chi integra funzionalità di AI nei propri prodotti deve trattarle come qualsiasi altro componente critico: integrazione GenAI con confini di dati chiari, logging, gestione dei segreti e valutazione dei rischi, non come una scorciatoia da aggiungere a lato. La sicurezza dell’AI non è un capitolo separato: è parte del secure development lifecycle.
Il divario delle PMI e della supply chain
La lettura più utile dei dati 2025 non riguarda chi spende, ma chi non spende abbastanza. Le grandi imprese stanno investendo — sono quelle che alimentano il +12%. Le PMI, che compongono la parte più ampia del tessuto produttivo italiano, restano indietro per budget, competenze e maturità dei processi, proprio mentre diventano bersaglio privilegiato del ransomware e anello vulnerabile delle filiere.
Qui il rischio non è isolato. Con la NIS2 e i suoi obblighi sulla sicurezza della catena di approvvigionamento, un’azienda grande e conforme deve valutare e presidiare i rischi dei propri fornitori: una PMI poco protetta diventa la via d’ingresso verso clienti molto più grandi e regolati. L’effetto a cascata è concreto: sempre più fornitori di software ricevono questionari di sicurezza, clausole contrattuali stringenti e richieste di evidenze (SBOM, tempi di patch, gestione delle vulnerabilità) dai committenti nel perimetro. Chi sviluppa software su commessa per settori regolati non può più trattare la sicurezza come un’opzione: è diventata un requisito d’ingresso alle gare.
Cosa significa per chi sviluppa e acquista software
Per le imprese che costruiscono o acquistano software in Italia e in Europa, la crescita della spesa cyber cambia le regole di ingaggio. Aumentare il budget è necessario ma non sufficiente: conta dove va la spesa e se produce controlli dimostrabili. Alcune priorità pratiche che emergono dai dati:
1. Spostare la sicurezza a sinistra
Integrare i controlli nel ciclo di sviluppo — analisi delle dipendenze, gestione dei segreti, revisione del codice, test automatici di sicurezza — costa molto meno che rincorrere le vulnerabilità in produzione. La quota di incidenti che parte dal software rende il secure development lifecycle l’investimento a più alto ritorno.
2. Misurare la riduzione del rischio, non la spesa
Un budget in crescita non è un risultato. Test indipendenti, esercitazioni di risposta e metriche di superficie di attacco dicono se i soldi spesi hanno abbassato il rischio reale. È anche la prova che clienti e auditor chiedono sempre più spesso.
3. Presidiare la catena di fornitura in entrambe le direzioni
Chi acquista deve mappare i fornitori con accesso a sistemi e dati e inserire requisiti di sicurezza nei contratti. Chi fornisce deve preparare in anticipo un pacchetto di evidenze — policy, SBOM, tempi di patch, certificazioni — per accorciare i tempi di risposta e non restare escluso dalle gare.
4. Governare l’AI prima che la governi il rischio
Definire quali strumenti generativi sono ammessi, con quali dati e con quali confini è un intervento a basso costo e ad alto impatto. Lo shadow AI si combatte con policy chiare e alternative approvate, non con i divieti.
Il segnale di fondo del 2025 è positivo: l’Italia ha smesso di considerare la cybersecurity un costo opzionale. Ma la distanza tra spesa e resilienza si chiude solo quando la sicurezza smette di essere un prodotto da comprare e diventa un modo di progettare, sviluppare e mantenere il software.
Domande frequenti
Quanto vale la spesa in cybersecurity in Italia nel 2025?
Secondo l’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano, nel 2025 la spesa italiana in sicurezza informatica ha raggiunto 2,78 miliardi di euro, +12% sull’anno precedente — molto più della spesa digitale complessiva (+1,5%). La crescita è trainata da pubblica amministrazione (+28%), finance (+22%) e logistica e trasporti (+18%).
Perche' l'Italia e' tra i Paesi piu' colpiti dagli attacchi?
Perché il volume degli attacchi cresce più in fretta della difesa. Il Rapporto Clusit 2026 registra 507 incidenti gravi nel 2025 contro i 357 del 2024 (+42%). L’ACN ha trattato 2.729 eventi ostili, con media mensile da 165 a 227 (+38%) e 615 incidenti con impatto confermato (+7%). Oltre un terzo delle grandi imprese (34%) ha subito almeno un attacco.
Che ruolo ha l'AI in questa crescita degli attacchi?
L’AI generativa rende il phishing più credibile, personalizzato e scalabile e automatizza fasi prima manuali, abbassando la barriera d’ingresso per gli attaccanti. Sul fronte difensivo, l’adozione non governata di strumenti AI (shadow AI) espone dati sensibili e amplia la superficie di attacco. La sicurezza dell’AI va trattata come parte del ciclo di sviluppo, non come un capitolo separato.
Cosa significa la crescita della spesa cyber per chi sviluppa software?
Che la sicurezza diventa un requisito d’ingresso, non un extra. Spinti da NIS2 e dagli obblighi di supply chain, i clienti regolati chiedono prove concrete: gestione delle vulnerabilità, SBOM, tempi di patch, secure development lifecycle. Chi integra la sicurezza fin dalla progettazione e la verifica con test indipendenti si posiziona meglio nelle gare; chi la tratta come un costo aggiuntivo viene escluso dalle forniture verso settori critici.
Fonti
Askanews — Cybersecurity, +12% gli investimenti in Italia nel 2025
Teleborsa — Cybersecurity: +12% gli investimenti in Italia nel 2025
Primaonline — Crescono gli investimenti in cybersicurezza in Italia, Paese tra i più colpiti al mondo
Business International — Cybersecurity: in Italia il mercato cresce più della spesa industriale