L’11 settembre 2026 per una parte delle imprese europee un incidente informatico cambia natura. Da oggi i produttori di prodotti con elementi digitali coperti dal Cyber Resilience Act devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che colpiscono la sicurezza dei propri prodotti. L’obbligo di reporting entra in applicazione più di un anno prima del resto del regolamento, che diventerà pienamente applicabile dall’11 dicembre 2027. Il testo del regolamento europeo ha scelto questa sequenza perché una vulnerabilità già sfruttata non può aspettare che il calendario normativo sia completo.
La cybersecurity PMI viene spesso raccontata come protezione dei dati: evitare che qualcuno rubi password, documenti, database clienti. È soltanto una parte. Un attacco può fermare una linea produttiva, rendere inutilizzabile un software venduto ai clienti, bloccare ordini, impedire fatturazione, costringere l’azienda a spegnere sistemi, far perdere un contratto e trasformare una vulnerabilità tecnica in una crisi commerciale. Il costo comincia spesso molto prima che qualcuno calcoli quanti file siano stati sottratti.
Cybersecurity PMI: dall’11 settembre alcuni incidenti devono essere segnalati
L’articolo 14 del Cyber Resilience Act riguarda i fabbricanti di prodotti con elementi digitali che rientrano nel campo del regolamento. Non tutte le PMI europee diventano quindi soggetti obbligati soltanto perché usano computer o vendono online. Il perimetro comprende hardware e software messi sul mercato, con regole specifiche e alcune esclusioni. Il punto per l’imprenditore è capire se l’azienda produce un bene digitale o un prodotto con componenti digitali, non semplicemente se utilizza tecnologia.
Quando l’obbligo si applica, la velocità conta. Per una vulnerabilità attivamente sfruttata o un incidente grave è prevista una prima comunicazione entro 24 ore dalla conoscenza, seguita dalla notifica più completa entro 72 ore. La Commissione europea ha chiarito a luglio le modalità operative e ENISA ha predisposto la Single Reporting Platform, progettata perché il produttore invii una sola segnalazione invece di moltiplicare notifiche verso diverse autorità.
La scadenza dell’11 settembre rende concreto un cambiamento culturale. Un difetto di sicurezza non è più soltanto qualcosa che il reparto tecnico deve correggere prima che il cliente se ne accorga. In alcuni casi diventa un fatto che deve essere classificato, documentato e comunicato entro ore. Per una PMI senza un processo di incident response, 24 ore possono passare quasi interamente nel tentativo di capire chi abbia l’autorità interna per decidere.
Il problema non è soltanto evitare l’attacco. È sapere cosa fare nei primi cento minuti
ENISA ha intervistato le PMI proprio sulla preparazione al Cyber Resilience Act. Il 66% degli intervistati aveva già sentito parlare del regolamento, ma la maturità pratica rimaneva molto diseguale. Le aree più deboli erano incident response e gestione del ciclo di vita del prodotto, soprattutto nelle microimprese. Più del 70% chiedeva modelli pratici per documentazione tecnica e sviluppo sicuro. Il report ENISA pubblicato nel 2026 racconta la distanza tra conoscere una sigla e avere una procedura che funziona alle tre di notte.
Una risposta agli incidenti non comincia con il tecnico che apre il portatile. Comincia da una lista di decisioni preparate prima: chi riceve l’allarme, chi può isolare un sistema, chi parla con il cliente, chi conserva le prove, chi verifica se l’incidente è soggetto a notifica, chi decide se interrompere un servizio e chi può autorizzare una spesa urgente. Se queste responsabilità vengono inventate durante l’attacco, l’azienda perde tempo mentre l’attaccante continua a muoversi.
È qui che la cybersecurity smette di essere un acquisto IT. Firewall, backup, autenticazione multifattore e software di protezione restano essenziali, ma non risolvono il problema organizzativo. Un backup che nessuno ha mai provato a ripristinare è una speranza, non un piano di continuità.
Ransomware: il dato rubato è spesso il secondo problema
L’ENISA Threat Landscape 2025 ha analizzato 4.875 incidenti europei. I DDoS dominavano il numero degli eventi, soprattutto per effetto dell’hacktivism, ma il ransomware rimaneva la minaccia con l’impatto più diretto. Nel sottoinsieme del cybercrime osservato da ENISA, l’81,1% delle attività riguardava ransomware; il manifatturiero era il settore più colpito dalle relative rivendicazioni, con il 14,9%.
Il ransomware moderno non chiede semplicemente denaro per restituire un file. Gli attaccanti possono cifrare sistemi, sottrarre dati, minacciare la pubblicazione, contattare clienti o partner e colpire i backup. L’impresa si trova così davanti a più crisi nello stesso momento: operativa, reputazionale, legale e finanziaria.
Una fabbrica che non accede al gestionale può non sapere cosa produrre. Un’azienda di servizi che perde l’autenticazione ai sistemi cloud può non riuscire a lavorare. Una software house vulnerabile può diventare il punto di ingresso verso i clienti. Il danno principale non è sempre ciò che l’attaccante porta via. Può essere il tempo durante il quale l’azienda non riesce più a fare ciò per cui viene pagata.
Le PMI hanno meno margine per assorbire una settimana storta
Le grandi imprese possono avere Security Operations Center, team legali interni, assicurazione cyber, fornitori già contrattualizzati e procedure provate. Una PMI può avere un sistemista esterno che segue decine di clienti e un amministratore che conserva le password importanti nella propria testa. La differenza non rende la piccola impresa automaticamente più vulnerabile tecnicamente; rende più difficile assorbire l’imprevisto senza interrompere l’attività.
ENISA continua a ricordare un dato raccolto nel proprio lavoro sulle PMI: il 90% delle imprese intervistate riteneva che un problema di cybersecurity grave avrebbe prodotto conseguenze serie entro una settimana, e il 57% indicava il rischio di arrivare al fallimento o alla chiusura. La rilevazione nasce nel contesto della pandemia e non va letta come una percentuale attuale di aziende destinate a fallire dopo un attacco. Il valore del dato sta nella percezione della fragilità: le imprese piccole sanno di avere meno ridondanza.
Il Rapporto Clusit 2026 aggiunge il contesto italiano: nel 2025 gli attacchi gravi censiti sono aumentati del 49% rispetto all’anno precedente e l’Italia ha rappresentato il 9,6% degli incidenti rilevati a livello mondiale dal rapporto. Anche qui la metodologia riguarda incidenti noti e classificati da Clusit, non tutti gli attacchi avvenuti nel Paese. Serve a misurare la pressione, non a trasformare ogni PMI in una vittima inevitabile.
Il CRA sposta la sicurezza dentro il prodotto
Il Cyber Resilience Act è interessante perché cambia il luogo in cui la sicurezza dovrebbe nascere. Non si limita a chiedere protezione dell’infrastruttura aziendale. Il principio è che i prodotti con elementi digitali vengano progettati, sviluppati e messi sul mercato con un livello di sicurezza adeguato al rischio, senza vulnerabilità note sfruttabili e con configurazioni sicure per impostazione predefinita quando applicabile.
ENISA ha pubblicato a luglio un modello di valutazione della maturità cyber per le PMI proprio per aiutare aziende più piccole a capire dove si trovano. Non è pensato come un certificato magico, ma come uno strumento per vedere lacune in governance, gestione delle vulnerabilità, ciclo di sviluppo, incident response e altre aree che il CRA rende progressivamente più importanti.
Poche settimane dopo è arrivato anche il Secure by Design and Default Playbook, una guida pratica dedicata alle PMI. Il messaggio è semplice: correggere vulnerabilità dopo che il prodotto è sul mercato costa più che inserire controlli durante progettazione e sviluppo. Il principio economico è identico a quello della qualità industriale. Un difetto trovato in fabbrica costa meno dello stesso difetto trovato dal cliente.
La sicurezza può diventare una condizione per vendere
LaSpiegazione ha già raccontato l’effetto indiretto della NIS2 sulle PMI che lavorano nelle supply chain. Una piccola impresa può restare fuori dal perimetro diretto di una normativa e ricevere comunque questionari, audit e clausole di sicurezza dal cliente più grande. Il Cyber Resilience Act aggiunge un’altra pressione: chi vende prodotti digitali nel mercato europeo dovrà progressivamente dimostrare che la sicurezza è parte del prodotto, non una funzione opzionale.
Questo cambia la vendita B2B. Un buyer può chiedere come vengono gestite le vulnerabilità, per quanto tempo il prodotto riceverà aggiornamenti di sicurezza, come vengono notificati gli incidenti e se esiste un processo per correggere rapidamente un problema. Rispondere ‘se ne occupa il nostro informatico’ smette di essere sufficiente.
La cybersecurity diventa così una componente della reputazione commerciale. Un’impresa che sa spiegare come protegge il prodotto può essere più credibile nella gara, nella due diligence o nella scelta del fornitore. Il costo della sicurezza esce dal capitolo IT e comincia a confrontarsi con il costo di perdere un cliente.
Il punto debole più comune continua a essere una persona
Nel Threat Landscape 2025 il phishing risultava il principale punto di accesso iniziale osservato, con il 60% dei casi, seguito dallo sfruttamento di vulnerabilità al 21,3%. È una combinazione utile da ricordare perché smonta due estremi. Non basta formare i dipendenti se il software rimane vulnerabile; non basta aggiornare il software se una persona consegna le credenziali a una pagina falsa.
InsideMagazine aveva raccontato già anni fa la crescita degli attacchi di phishing contro le aziende. I numeri di quella ricerca appartengono al 2020 e non vanno riutilizzati per descrivere il 2026. Il meccanismo, però, resta attuale: l’attaccante cerca il punto nel quale tecnologia e comportamento umano si incontrano, perché spesso è meno costoso convincere una persona ad aprire una porta che forzarla.
Formazione, autenticazione multifattore, segmentazione, patching e backup non sono quindi iniziative concorrenti. Sono strati. La resilienza nasce quando il fallimento di uno strato non porta direttamente alla perdita dell’intera azienda.
Una PMI non deve diventare una banca per essere più sicura
Il rischio di ogni nuova normativa cyber è produrre un effetto burocratico: documenti scritti per dimostrare conformità e poca sicurezza reale. ENISA sembra averlo capito quando le PMI intervistate hanno chiesto soprattutto template, esempi e strumenti pratici. Una piccola azienda non può replicare la struttura di una multinazionale, ma può sapere quali sistemi sono critici, quali dati non può perdere, chi ha privilegi amministrativi e quanto tempo impiegherebbe a ripartire.
Può provare un ripristino da backup invece di limitarsi a controllare che il backup sia verde. Può togliere gli account di chi non lavora più in azienda. Può usare autenticazione multifattore sugli accessi più importanti. Può mantenere un elenco dei fornitori dai quali dipendono i sistemi critici. Può scrivere una pagina con nomi e numeri da chiamare durante un incidente.
Sono attività meno spettacolari di un nuovo software di sicurezza, ma hanno un vantaggio: riducono il tempo necessario a capire cosa fare quando qualcosa succede. Nella cybersecurity il tempo è una risorsa economica.
Il costo vero di un attacco è la perdita di opzioni
Quando un’impresa scopre un incidente, ogni minuto restringe le possibilità. Se non possiede log adeguati, non sa cosa sia successo. Se non ha backup testati, non sa quanto tempo serva per ripartire. Se non conosce gli obblighi di notifica, rischia di perdere una scadenza. Se non ha preparato la comunicazione, lascia che clienti e dipendenti apprendano la crisi da fonti esterne.
Un buon programma di cybersecurity serve a conservare opzioni. Isolare un sistema senza spegnere tutto. Ripristinare dati senza trattare con un estorsore. Informare un cliente con fatti verificati. Correggere una vulnerabilità prima che diventi una crisi di mercato. Continuare a produrre mentre una parte dell’infrastruttura viene analizzata.
L’11 settembre 2026 segna l’inizio di un obbligo specifico per una categoria precisa di produttori digitali. Per tutte le altre PMI può essere comunque una data utile: ricorda che l’Europa sta trattando la sicurezza informatica come una caratteristica del prodotto e della continuità aziendale, non come un problema da consegnare all’IT quando compare un allarme.
Il dato rubato si può valutare, notificare e talvolta ricostruire. Il cliente perso, la fabbrica ferma e la reputazione compromessa sono molto più difficili da ripristinare. È per questo che un attacco può costare molto più dei dati.
Domande frequenti
Cosa cambia l’11 settembre 2026 con il Cyber Resilience Act?
Entrano in applicazione gli obblighi di segnalazione previsti dall’articolo 14 per vulnerabilità attivamente sfruttate e incidenti gravi che riguardano prodotti con elementi digitali coperti dal regolamento. Il resto del CRA sarà pienamente applicabile dall’11 dicembre 2027.
Tutte le PMI devono fare le segnalazioni CRA?
No. L’obbligo riguarda i fabbricanti di prodotti con elementi digitali rientranti nel campo del Cyber Resilience Act. Una PMI che utilizza semplicemente software o servizi digitali non diventa automaticamente soggetto obbligato per questo motivo.
Entro quanto tempo va segnalato un incidente?
Per i casi coperti dal CRA è prevista una prima comunicazione entro 24 ore dalla conoscenza e una notifica più completa entro 72 ore. Esistono poi relazioni finali con tempistiche diverse in base al tipo di evento.
Qual è la minaccia cyber più pericolosa per una PMI?
Non esiste una sola minaccia. ENISA considera il ransomware tra quelle a maggiore impatto, mentre phishing e sfruttamento di vulnerabilità restano due principali vie di accesso. Il rischio effettivo dipende da settore, sistemi, processi e dipendenze dell’impresa.
Quali sono i primi controlli pratici per una PMI?
Identificare sistemi e dati critici, usare autenticazione multifattore, aggiornare software e dispositivi, testare i backup, limitare i privilegi amministrativi, formare le persone e preparare una procedura di risposta agli incidenti con responsabilità e contatti chiari.
