Le imprese italiane diventano più consapevoli del rischio cyber, ma la capacità di difesa procede più lentamente della crescita delle minacce. È il quadro che emerge dalla terza edizione del Cyber Index PMI 2025, il rapporto presentato a Roma da Generali e Confindustria e realizzato con il contributo scientifico dell’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano su un campione di quasi 1.600 piccole e medie imprese.
Nel 2025 l’indice medio raggiunge 55 punti su 100, in crescita rispetto ai 52 del 2024 e ai 51 del 2023. Il miglioramento segnala una maggiore attenzione delle imprese al tema della sicurezza informatica, ma non basta a parlare di un sistema realmente solido. La maggioranza delle aziende resta infatti bloccata nelle fasce intermedie: il 70% delle Pmi si colloca tra i livelli “informate” e “consapevoli”, mentre le imprese considerate mature arrivano al 16%, superando per la prima volta quelle più impreparate, scese al 14%. Il dato resta comunque sotto la soglia di sufficienza fissata a 60 punti e conferma un divario ancora ampio nella maturità cyber delle imprese italiane: accanto a un nucleo di aziende più strutturate permane una vasta platea di Pmi che fatica a tradurre la consapevolezza del rischio in misure operative di protezione.
Il problema è che, nel frattempo, il numero degli attacchi cresce molto più rapidamente della capacità di difesa delle imprese.
Attacchi in aumento: quasi una Pmi su quattro colpita
Il rischio cyber è ormai una realtà concreta per il sistema produttivo. Quasi una Pmi su quattro (24%) dichiara di aver subito almeno un attacco informatico negli ultimi tre anni, mentre una quota rilevante di imprese non possiede ancora le competenze necessarie per gestire le attività di sicurezza informatica più elementari.
Nel complesso gli incidenti informatici continuano a crescere. Nel primo semestre del 2025 sono stati registrati 1.549 episodi, con un aumento del 53% rispetto allo stesso periodo dell’anno precedente, seguiti da 1.253 nel secondo semestre, in crescita del 30%.
L’esposizione delle imprese è amplificata dalla crescente digitalizzazione dei processi produttivi: quasi tutte le Pmi utilizzano strumenti digitali e cresce l’adozione di tecnologie avanzate come Internet of Things e intelligenza artificiale, che ampliano ulteriormente la superficie di attacco.
Il nodo delle competenze digitali
Il rapporto evidenzia soprattutto un deficit strutturale di competenze, che rende fragile il sistema di difesa delle piccole e medie imprese. In molti casi le aziende non sono ancora in grado di gestire nemmeno le attività di sicurezza informatica più ordinarie.
Proprio su questo punto si concentra l’analisi del rapporto presentato da Alessandro Piva, direttore dell’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano. “Il Cyber Index PMI sale a 55 punti, segno di una maggiore attenzione delle imprese al tema della sicurezza informatica, ma la consapevolezza non sempre si traduce in strumenti e competenze adeguate per affrontare le minacce”.
Il miglioramento riguarda soprattutto l’approccio strategico alla sicurezza digitale, mentre restano più deboli le capacità operative e tecnologiche delle imprese. Secondo il rapporto, il progresso più significativo si registra proprio nella dimensione strategica – con maggiore attenzione alla governance del rischio e alla pianificazione degli investimenti – mentre molte Pmi faticano ancora a individuare in modo strutturato le minacce e a trasformare le strategie in misure operative di protezione.
Investimenti in crescita ma ancora insufficienti
Gli investimenti nella sicurezza informatica stanno aumentando, ma restano contenuti rispetto all’intensità delle minacce. Il budget IT cresce mediamente del 3,3% nelle piccole imprese e del 5,2% nelle medie, con circa l’11% delle risorse destinato alla cybersecurity. Le misure concrete di difesa restano tuttavia disomogenee. L’autenticazione a più fattori è stata introdotta solo da circa metà delle Pmi, mentre le procedure strutturate di identificazione e correzione delle vulnerabilità sono ancora poco diffuse.
Sul fronte della rilevazione degli attacchi la situazione appare ancora più fragile: solo una minoranza delle imprese dispone di strumenti in grado di individuare tempestivamente un’intrusione, mentre molte aziende non hanno ancora predisposto piani di continuità operativa in caso di attacco.
Cyber risk, una sfida per l’intero sistema economico
La cybersicurezza non riguarda più soltanto la tecnologia ma la stabilità del sistema produttivo. “La sfida cyber è oggi una delle più urgenti per il sistema delle imprese italiane”, ha spiegato Massimo Monacelli, General Manager di Generali Italia, sottolineando come il Cyber Index nasca proprio con l’obiettivo di “offrire alle imprese uno strumento per comprendere il proprio livello di esposizione ai rischi informatici. Essere il primo assicuratore in Italia significa andare oltre l’offerta di soluzioni assicurative. Significa essere al fianco del Paese e delle imprese per affrontare i momenti di trasformazione più complessi”.
Anche Barbara Lucini, Responsabile Country Sustainability & Social Responsibility di Generali Italia, ha sottolineato il ruolo centrale delle Pmi nel sistema economico. “Le piccole e medie imprese rappresentano una componente essenziale del tessuto economico e sociale del Paese: sostenerne la capacità di affrontare le sfide legate alla trasformazione tecnologica significa rafforzare la solidità e la continuità del sistema produttivo nel lungo periodo”. “In questo contesto – ha aggiunto Lucini – Generali interpreta il proprio ruolo di Partner del Paese come un impegno concreto ad affiancare le imprese non solo attraverso soluzioni assicurative, ma anche favorendo consapevolezza, prevenzione e capacità di risposta di fronte alle minacce digitali”.
“L’Italia è uno dei bersagli principali degli attacchi informatici, con il 9,6% degli incidenti registrati a livello mondiale”, ha osservato Fausto Bianchi, presidente di Piccola Industria Confindustria, ricordando come la crescente interconnessione dei sistemi digitali renda le imprese sempre più esposte. “In un mondo sempre più connesso nessuno può considerarsi davvero al riparo”.
Bianchi ha inoltre ricordato come la sicurezza informatica stia diventando sempre più un requisito di accesso alle catene del valore: “Oggi chi non garantisce standard minimi di sicurezza informatica rischia di essere escluso dalle filiere produttive”. Per il presidente di Piccola Industria Confindustria il rafforzamento della sicurezza digitale richiede anche politiche industriali mirate. “Serve una strategia che metta al centro strumenti di medio periodo per accompagnare le imprese nel rafforzamento delle proprie difese”. In questo percorso, ha aggiunto, anche il settore assicurativo può svolgere un ruolo importante “non solo nella copertura dei rischi ma anche nella diffusione di una maggiore consapevolezza nelle imprese”.
Cybersicurezza tra filiere, sovranità digitale e competitività
Nella tavola rotonda conclusiva è emerso con chiarezza come la cybersicurezza stia diventando sempre più un fattore strategico per la competitività industriale e la stabilità delle filiere produttive.
“Il cyber risk non è più soltanto un problema informatico ma unvero e proprio rischio industriale“, ha osservato Pietro Labriola, ad di Tim e delegato del Presidente di Confindustria per la Transizione Digitale. Nel suo intervento Labriola ha richiamato anche il tema della sovranità tecnologica: “non esiste una soluzione completamente priva di rischio, ma è fondamentale essere consapevoli di dove sono i dati, chi li gestisce e quali regole li governano”.
Il tema ha una dimensione sempre più sistemica anche per le istituzioni. “La cybersicurezza è ormai una priorità strategica nazionale”, ha spiegato Bruno Frattasi, direttore generale dell’Agenzia per la Cybersicurezza Nazionale. “Rafforzare la sicurezza delle Pmi significa rafforzare la resilienza dell’intero sistema economico e delle filiere produttive”.
Un punto ribadito anche da Remo Marini, Group Chief Security Officer di Generali che ha richiamato l’attenzione sulla vulnerabilità della catena dei fornitori: “molto spesso gli attacchi non colpiscono direttamente le grandi aziende ma passano attraverso i fornitori più piccoli, che rappresentano l’anello più debole della filiera”. E poi c’è l’IA. “Con la diffusione dell’intelligenza artificiale – spiega Marini – gli attacchi informatici diventano sempre più sofisticati, automatizzati e difficili da individuare. Rafforzare la cultura cyber tra le Pmi significa quindi proteggere la crescita e la resilienza dell’intero sistema economico”.
In un’economia sempre più digitale, la capacità delle imprese di proteggere dati, infrastrutture e processi produttivi diventa infatti un fattore decisivo per restare dentro le filiere globali e per rafforzare la resilienza dell’intero sistema economico. E la cybersecurity diventa così un elemento strutturale della competitività industriale.
