La cybersecurity ha smesso di essere confinata all’ufficio IT.
Per le PMI del nostro Paese sta diventando più una questione di continuità aziendale, reputazione, accesso alle filiere e capacità di restare operative anche in caso di attacco.
È questo il dato più interessante che è emerso la scorsa primavera dal Rapporto Cyber Index PMI 2025, promosso da Generali e Confindustria, con il supporto scientifico degli Osservatori Digital Innovation del Politecnico di Milano e la partnership istituzionale dell’Agenzia per la Cybersicurezza Nazionale.
Il segnale positivo c’è: il Cyber Index PMI raggiunge quota 55 su 100, in crescita rispetto ai 52 punti del 2024 e ai 51 del 2023. La direzione quindi è quella giusta: le imprese stanno prendendo maggiore coscienza del problema, anche spinte da normative, richieste di clienti e partner, maggiore esposizione digitale e aumento degli attacchi.
La consapevolezza però purtroppo non coincide ancora con una reale capacità di difesa.
Un sistema più consapevole, ma ancora diviso
Il rapporto divide le imprese in quattro profili di maturità:
principianti, informate, consapevoli e mature.
Nel 2025, le aziende considerate mature arrivano al 16% del campione e superano per la prima volta le principianti, ferme al 14%. È un passaggio simbolicamente importante, perché indica che una parte del tessuto imprenditoriale ha iniziato a strutturare un approccio più solido alla sicurezza digitale.
Ma la parte più ampia delle PMI resta nel mezzo.
Il 38% è classificato come impresa informata e il 32% come consapevole. Questo significa che il 70% delle PMI italiane ha una conoscenza del tema ma non sempre dispone di strumenti, processi e competenze sufficienti per trasformarla in protezione efficace.
Molte aziende hanno capito che il rischio cyber esiste, ma non sempre lo hanno tradotto in procedure, responsabilità, investimenti e piani di risposta. E questo genera una zona grigia molto delicata: imprese che sanno di essere esposte, ma non sono ancora pronte a gestire un evento critico.
Il rischio non è teorico se una PMI su quattro ha subito un attacco
Il dato più forte riguarda l’esperienza diretta degli attacchi. Quasi una PMI italiana su quattro dichiara di aver subito almeno un attacco informatico negli ultimi tre anni. Non si tratta quindi di una possibilità remota, né di un problema che riguarda soltanto grandi gruppi, banche, pubbliche amministrazioni o infrastrutture critiche.
Il rischio è già entrato nel perimetro operativo delle piccole e medie imprese. E quando colpisce, può avere conseguenze concrete: il 2,5% delle PMI ha subito impatti operativi o finanziari a seguito di un incidente, mentre il 6% ha dovuto mettere in campo azioni importanti di risposta.
Per il mondo della logistica, della produzione e dell’intralogistica, questo passaggio è fondamentale. Un attacco non significa solo dati compromessi; può voler dire sistemi gestionali bloccati, ordini fermi, magazzini non sincronizzati, mezzi non tracciati, comunicazioni interrotte, consegne rallentate, fornitori scollegati dalla catena.
La sicurezza digitale diventa quindi una condizione per garantire continuità fisica ai processi.
Le filiere sono sempre più esposte
Il rapporto evidenzia anche quanto le PMI siano ormai integrate in ecosistemi complessi. L’81% delle piccole e medie imprese opera in filiere caratterizzate dalla presenza di grandi organizzazioni, infrastrutture critiche, pubblica amministrazione, multinazionali o relazioni internazionali.
Le PMI non sono più soggetti isolati: sono fornitori, subfornitori, partner tecnici, operatori di servizio, anelli di catene produttive e logistiche molto più ampie.
Il 49% ha clienti o fornitori all’estero, il 46% lavora come fornitore di grandi imprese, il 33% collabora con la Pubblica Amministrazione e il 29% è collegato a filiere che coinvolgono infrastrutture critiche.
Quindi una vulnerabilità informatica in una piccola impresa può diventare un problema per tutta la catena. Ed è anche per questo che le grandi organizzazioni iniziano a chiedere ai propri fornitori standard minimi di sicurezza. La cybersecurity sta diventando un requisito di accesso al mercato, non solo una scelta interna.
Più strumenti, poca capacità di risposta
Un segnale positivo arriva dalla maggiore attenzione agli asset digitali. Nel 2025 il 70% delle PMI dispone di un inventario degli asset informatici, contro il 48% dell’anno precedente. Cresce anche l’attività di auditing sulla sicurezza informatica, svolta dal 44% delle imprese.
Sono dati importanti perché non si può proteggere ciò che non si conosce. Sapere quali sistemi, software, dispositivi, dati e accessi sono presenti in azienda è il primo passo per gestire il rischio.
Ma restano fragilità evidenti. Una PMI su tre non ha competenze digitali adeguate per portare avanti anche attività tradizionali di IT security. Solo l’11% ha predisposto attività sistematiche di identificazione e correzione delle vulnerabilità. Appena il 30% adotta misure come cifratura dei dati e segmentazione della rete. Una PMI su quattro dispone di soluzioni in grado di rilevare tempestivamente un’intrusione in corso.
Il dato forse più preoccupante riguarda la continuità operativa: il 36% delle PMI non ha preso in considerazione l’ipotesi di un’interruzione delle attività dovuta a un incidente cyber. Questo significa che molte imprese non hanno ancora un piano chiaro per ripartire dopo un blocco.
Investimenti e partner esterni: la maturità deve essere anche in questi fattori
La crescita della consapevolezza si riflette anche sui budget. Nel 2025 il budget IT delle piccole imprese è cresciuto del 3,3%, quello delle medie imprese del 5,2%. In media, l’11% del budget IT viene destinato alla cybersecurity.
Non sempre, però, le PMI hanno competenze interne sufficienti per scegliere, integrare e gestire le soluzioni più adatte. Per questo cresce il ricorso a partner esterni: la quota di imprese che si affida a fornitori specializzati passa dal 25% del 2024 al 29% del 2025.
Anche i finanziamenti pubblici si confermano un acceleratore, ma ancora poco utilizzato. Solo il 12% delle PMI vi ha avuto accesso, ma tra queste il 42% raggiunge il profilo “maturo”. Il problema, quindi, non è solo economico. È anche informativo: il 39% delle imprese non conosce o non sfrutta queste opportunità.
Il vero cambio di prospettiva è questo: la cybersecurity non è più un costo accessorio, ma una componente della sostenibilità digitale dell’impresa. La digitalizzazione procede. Ora deve crescere con la stessa velocità anche la capacità di proteggerla.
