Un incidente informatico può interrompere un servizio, fermare una produzione o esporre dati dei clienti. Per questo la sicurezza digitale riguarda il bilancio e la continuità operativa, non solo il reparto tecnico. Non basta però dire che ogni minaccia farà crescere i profitti delle società di cybersecurity: bisogna distinguere il bisogno di protezione dalla qualità di un investimento.
Le minacce non sono tutte uguali
Nel rapporto ENISA sul panorama delle minacce 2025, basato su 4.875 incidenti osservati tra luglio 2024 e giugno 2025, convivono attacchi che mirano a rendere indisponibili i servizi, furto di dati e ransomware. Il rapporto descrive il periodo analizzato, non prevede quanti incidenti ci saranno in futuro. Per un'azienda conta capire quali sistemi sono essenziali e quali danni produrrebbe la loro interruzione.
Una protezione utile parte da inventario dei sistemi, aggiornamenti, copie di sicurezza verificabili, gestione degli accessi e piano di risposta. Anche i fornitori esterni sono parte del rischio: un servizio cloud o un software condiviso può diventare un punto di dipendenza per molte organizzazioni.
Tre norme europee, destinatari diversi
La direttiva NIS2 amplia i settori critici interessati da misure di gestione del rischio e notifica degli incidenti. Riguarda le entità che rientrano nei criteri di settore e dimensione previsti dalla disciplina e dalla sua attuazione nazionale, non indistintamente ogni impresa.
Il regolamento DORA, applicabile dal 17 gennaio 2025, disciplina la resilienza operativa digitale di molte entità finanziarie, inclusi controlli sui fornitori ICT. Il Cyber Resilience Act riguarda invece prodotti hardware e software con elementi digitali: alcuni obblighi di segnalazione si applicano dall'11 settembre 2026, mentre quelli principali dall'11 dicembre 2027. Le date contano perché «è in vigore» non significa che ogni obbligo sia già applicabile.
AI: aiuto e nuovo rischio
Strumenti di AI possono aiutare a classificare eventi e segnalare anomalie, ma richiedono dati affidabili e controllo umano. Possono anche rendere più credibili messaggi fraudolenti o aumentare il volume di tentativi di attacco. La difesa quindi non consiste nell'aggiungere un solo prodotto «intelligente», ma nel verificare processi, persone, accessi e tempi di ripristino.
Il settore è un investimento sicuro?
No. Una società può vendere soluzioni necessarie e avere comunque margini deboli, valutazioni troppo alte o concorrenti migliori. Un ETF tematico riduce il rischio legato a un singolo titolo, ma può concentrare l'investimento in poche grandi società tecnologiche e avere costi più alti di un indice ampio. Inoltre la crescita della spesa in sicurezza non si distribuisce in modo uniforme tra tutti i fornitori.
Per un'impresa la domanda è quali servizi deve proteggere e quanto tempo può restare ferma. Per un investitore è diversa: quale quota dei benefici futuri è già incorporata nel prezzo? Separare le due domande evita di trasformare un'esigenza reale in una promessa di rendimento.
.png){kind=logo}