Quanto costa un attacco informatico ad una PMI italiana? Dati 2026

Quanto costa un attacco informatico a una PMI italiana nel 2026?

La risposta diretta, sulla base delle rilevazioni più recenti: in media oltre 95.000 euro, con punte che superano i 300.000 nei casi più gravi secondo i dati del Rapporto Clusit. Ed è una media che nasconde la vera natura del problema: per una grande impresa un attacco è una voce di bilancio, per una piccola o media impresa può essere una questione di sopravvivenza.

Il contesto rende la domanda più urgente che mai: il 2025 è stato l’anno peggiore mai registrato dal monitoraggio Clusit, e l’Italia ne è uscita come il Paese più colpito d’Europa. In questo articolo analizziamo i costi aggiornati al 2026, voce per voce, con i numeri di Clusit, IBM e Cyber Index PMI — e con il confronto che ogni titolare dovrebbe fare: quanto costa l’attacco contro quanto costa prevenirlo.

1. Quanto costa un attacco nel 2026: i numeri a confronto
2. Lo scenario: perché il rischio è ai massimi storici
3. I costi diretti: fermo, ripristino, riscatto
4. I costi indiretti: reputazione, clienti, sanzioni
5. Perché le PMI italiane sono il bersaglio preferito
6. L’altro conto: quanto costa la prevenzione

Quanto costa un attacco nel 2026: i numeri a confronto

Le stime sul costo di un attacco variano sensibilmente a seconda di chi viene misurato — ed è il primo punto da capire per leggere correttamente i numeri che circolano. Le tre fonti principali fotografano perimetri diversi:

La distanza tra i valori non è una contraddizione ma una fotografia in scala: il campione IBM è composto prevalentemente da organizzazioni con più dati, più sistemi e più fatturato esposto. Per una PMI il danno assoluto è più contenuto — ma va rapportato a bilanci dove 95.000 euro imprevisti possono azzerare l’utile di un anno, e a strutture senza team dedicati a gestire l’emergenza.

Il Cyber Index PMI aggiunge il dato di frequenza che completa il quadro: una PMI italiana su quattro ha subito almeno un attacco negli ultimi tre anni, il triplo delle rilevazioni precedenti, mentre solo il 13% delle PMI dichiara di percepire concretamente il rischio.

Lo scenario: perché il rischio è ai massimi storici

Il Rapporto Clusit 2026, che analizza i dati del 2025, descrive l’anno peggiore mai registrato dall’inizio del monitoraggio: 5.265 incidenti gravi nel mondo, in crescita del 49%. E l’Italia è al centro del bersaglio, con numeri fuori scala rispetto al peso economico del Paese:

Due dati parlano direttamente alle PMI. Il primo: il manifatturiero — l’ossatura del tessuto produttivo italiano — concentra da solo il 16% degli attacchi mondiali al settore, con i trasporti e la logistica in crescita di oltre il 130%: i criminali colpiscono dove il fermo operativo fa più male e il riscatto viene pagato più in fretta. Il secondo: la motivazione resta economica in 6 casi su 10 (cybercrime al 61% in Italia), e la crescita degli attacchi dimostrativi di matrice attivista, pur concentrata su enti pubblici, aumenta il rumore di fondo in cui gli attacchi a scopo di estorsione prosperano.

I costi diretti: fermo, ripristino, riscatto

La voce più pesante del conto è quasi sempre il fermo operativo. Il ransomware — che colpisce quasi nove PMI italiane vittime di attacchi su dieci, secondo il Cyber Index PMI — cifra i dati e blocca gestionali, produzione, fatturazione, magazzino: l’azienda si ferma per giorni, a volte settimane, tra fatturato perso, ritardi accumulati e penali contrattuali. Un caso reale documentato rende l’idea meglio delle medie: un’azienda e-commerce lombarda di medie dimensioni, colpita da ransomware, ha subito 14 giorni di blocco con 70.000 euro di fatturato perso e oltre 40.000 euro di spese tecniche per il recupero — più di 110.000 euro di danno complessivo, per un singolo attacco.

Attorno al fermo si accumulano le altre voci: il ripristino dei sistemi (ore di specialisti, eventuale hardware da sostituire, licenze), il recupero dei dati dai backup — quando esistono e quando non sono stati cifrati anche loro, il motivo per cui il backup va progettato e testato, non solo fatto — la risposta all’incidente con analisi forense, e l’eventuale riscatto. Su quest’ultimo punto, le rilevazioni IBM registrano che la maggioranza delle vittime ormai sceglie di non pagare: decisione corretta, che però non azzera il danno, perché anche la gestione di un’estorsione non pagata ha costi tecnici e legali. E c’è il fattore tempo, il più sottovalutato: a livello internazionale, il recupero completo dopo una violazione richiede in media più di 100 giorni — per una PMI, un trimestre intero passato a rincorrere l’emergenza invece di lavorare.

I costi indiretti: reputazione, clienti, sanzioni

I costi indiretti arrivano dopo, durano di più e spesso superano quelli diretti. Il primo è la perdita di fiducia: clienti che se ne vanno, trattative che si raffreddano, e — nel B2B — il danno più sottovalutato: le aziende clienti che chiedono garanzie sulla vostra sicurezza prima di rinnovare contratti e qualifiche da fornitore. Con la NIS2 questo meccanismo è diventato strutturale: i soggetti in perimetro devono governare il rischio della propria catena di fornitura, e un fornitore che ha subito una violazione parte svantaggiato in ogni valutazione, come abbiamo visto nell’approfondimento su chi è tenuto a conformarsi alla NIS 2.

Il secondo capitolo sono le sanzioni e gli obblighi legali: il GDPR impone la notifica delle violazioni al Garante entro 72 ore e prevede sanzioni fino al 4% del fatturato annuo; per le aziende nel perimetro NIS2 si aggiungono la notifica al CSIRT entro 24 ore e un regime sanzionatorio dedicato. E ci sono gli effetti di lungo periodo: i dati esfiltrati che riemergono nel dark web a distanza di mesi, e l’erosione dei margini — quasi la metà delle organizzazioni colpite pianifica aumenti di prezzo per assorbire il danno, scaricandolo su clienti nel frattempo diventati più diffidenti.

Il conto completo, voce per voce:

Perché le PMI italiane sono il bersaglio preferito

La convinzione più pericolosa è “siamo troppo piccoli per interessare a qualcuno”. I numeri dicono l’opposto: oltre il 60% delle PMI italiane ha registrato almeno un tentativo di attacco nell’ultimo anno rilevato. Il motivo è economico: con gli strumenti automatizzati di oggi — potenziati dall’AI generativa, che il Rapporto Clusit 2026 indica come moltiplicatore della capacità offensiva — i criminali colpiscono centinaia di aziende contemporaneamente a costo quasi nullo, e si concentrano su chi si rivela vulnerabile. Una PMI con difese deboli è un bersaglio più redditizio di una multinazionale blindata: meno bottino, ma quasi nessuna resistenza.

Le porte d’ingresso sono note. Il phishing resta la prima causa di violazione in Italia, reso più insidioso da messaggi generati dall’AI, credibili e personalizzati su scala industriale. Secondo ENISA, il 60% delle violazioni parte da un errore umano: un clic su un link, una password debole, un allegato aperto di fretta. E poi ci sono le vulnerabilità tecniche mai corrette — software non aggiornati, accessi remoti esposti, sistemi configurati male — che gli strumenti automatici degli attaccanti trovano in minuti. È la combinazione perfetta: dati appetibili, difese sottili e nessuno incaricato di controllare.

L’altro conto: quanto costa la prevenzione

Ed eccoci al confronto che ogni titolare di PMI dovrebbe fare nel 2026: da una parte il costo medio di un attacco — 95.000 euro, senza contare i mesi di strascichi — dall’altra il costo di sapere in anticipo dove si è vulnerabili, che vale una frazione di quella cifra. La prevenzione non è un investimento “a fondo perduto contro un’ipotesi”: con una PMI su quattro già colpita e gli attacchi in crescita del 42% in un anno, è la gestione di un rischio statisticamente concreto, alla pari dell’assicurazione sull’incendio del capannone.

Il percorso ragionevole per una PMI segue le priorità del rischio: capire dove si è esposti con una verifica tecnica, correggere le vulnerabilità più gravi, mettere in sicurezza backup e accessi, definire un piano minimo di risposta agli incidenti — anche una pagina, purché esista prima di servire — e formare le persone, perché è lì che il 60% degli attacchi trova la porta aperta. Nessuno di questi passi richiede budget da multinazionale: richiede metodo e costanza, le stesse qualità con cui una PMI gestisce ogni altro rischio d’impresa.

In conclusione

Quanto costa un attacco informatico a una PMI italiana nel 2026?

In media più di 95.000 euro, nei casi gravi oltre 300.000, più i costi che non si vedono subito: i clienti persi, le qualifiche da fornitore compromesse, le sanzioni, i mesi di lavoro per ricostruire la fiducia. Il contesto non concede sconti: attacchi al massimo storico, Italia prima in Europa, manifatturiero nel mirino. Ma il numero che conta davvero è un altro: la differenza tra quel conto e il costo della prevenzione, che resta di un ordine di grandezza inferiore.

Le PMI che investono in sicurezza non spendono per evitare un’ipotesi remota: gestiscono un rischio che ha già colpito una loro concorrente su quattro.