11 Nov Attacchi hacker e governance dei rischi cyber: Il Rapporto sullo Stato della Cybersecurity nell’Unione ENISA 2026

I recenti attacchi informatici che hanno colpito diversi sistemi e infrastrutture in Europa riportano al centro dell’attenzione un tema sempre più rilevante per le imprese: la capacità di prevenire, gestire e affrontare i rischi cyber. In un contesto caratterizzato da minacce in continua evoluzione, crescente interconnessione dei sistemi e dipendenza dalle tecnologie digitali, la cybersecurity non può più essere considerata una questione esclusivamente tecnica. Come emerge anche dal nuovo rapporto ENISA 2026 sullo stato della cybersicurezza nell’Unione europea, la gestione dei rischi informatici richiede un approccio strutturato, capace di integrare sicurezza, continuità operativa e responsabilità della direzione aziendale. La governance dei rischi cyber diventa così un elemento strategico per la resilienza e la competitività delle organizzazioni.

Attacchi hacker ai supermercati europei: quando il rischio cyber diventa un rischio operativo

Gli attacchi informatici che, tra ottobre e novembre di quest’anno, hanno interessato i sistemi di refrigerazione commerciale in diversi Paesi europei rappresentano un esempio concreto di quanto le minacce cyber possano incidere direttamente sulle attività economiche.
Secondo una comunicazione ufficiale pubblicata da ENISA il 4 novembre 2026, dall’11 ottobre diversi sistemi di refrigerazione commerciale e dispositivi analoghi sono stati coinvolti in incidenti di cybersecurity in numerosi Stati membri dell’Unione europea.
Una nuova ondata di incidenti, registrata il 1° e 2 novembre, ha portato la Commissione europea, ENISA, Europol e le reti europee di risposta alle crisi informatiche a richiamare le organizzazioni sulla necessità di adottare tempestivamente misure di mitigazione.
Anche in Italia l’Agenzia per la Cybersicurezza Nazionale (ACN) ha richiamato l’attenzione degli operatori della grande distribuzione, della logistica alimentare e della refrigerazione industriale sui rischi legati alla compromissione dei sistemi tecnologici.
Questi episodi evidenziano un cambiamento fondamentale: un attacco informatico non riguarda necessariamente soltanto la sottrazione di dati o l’indisponibilità di un sistema informativo, ma può compromettere direttamente processi produttivi, impianti, servizi e continuità aziendale.
La crescente interconnessione tra sistemi informatici (IT), tecnologie operative (OT), dispositivi intelligenti e piattaforme di controllo remoto amplia infatti le superfici di attacco e introduce nuove dipendenze tecnologiche.
Il rischio cyber diventa quindi un rischio operativo, economico e reputazionale che deve essere compreso e governato a livello aziendale.

Rapporto ENISA 2026: la cybersecurity europea migliora, ma le minacce restano elevate

Il nuovo 2026 Report on the State of Cybersecurity in the Union, pubblicato da ENISA, analizza lo stato della sicurezza informatica nell’Unione europea, prendendo in considerazione l’evoluzione delle minacce, il livello di maturità degli Stati membri, l’attuazione delle normative, la sicurezza delle infrastrutture critiche e le vulnerabilità delle catene di approvvigionamento.
Il rapporto, elaborato ai sensi dell’articolo 18 della Direttiva NIS2, evidenzia un miglioramento complessivo delle capacità europee di cybersecurity, ma conferma che il livello delle minacce rimane significativo.
L’EU Cybersecurity Index 2026 raggiunge un valore medio di 71,53 punti su 100, indicando una maturità complessivamente elevata degli Stati membri, pur in presenza di importanti differenze tra i sistemi nazionali.
Particolarmente interessanti sono alcuni indicatori:

• 89,91 punti per le pratiche di gestione della sicurezza delle catene di approvvigionamento adottate dalle entità essenziali e importanti.
• 26,30 punti per la partecipazione di tali entità alle attività di condivisione delle informazioni tra pari
• 54,76 punti per il livello di maturità dei gruppi nazionali di risposta agli incidenti informatici (CSIRT).

Si tratta di indicatori di maturità dell’ecosistema europeo, non di una misurazione diretta della sicurezza delle singole imprese.

I risultati evidenziano che, nonostante i progressi nella gestione dei rischi, permangono criticità nella collaborazione, nella condivisione delle informazioni e nella capacità di risposta coordinata agli incidenti.
ENISA richiama inoltre l’attenzione sulla crescente complessità delle minacce informatiche, alimentata anche dalle tensioni geopolitiche, dalle attività di hacktivismo, dai cybercriminali e dal ruolo sempre più rilevante dell’intelligenza artificiale. 
Quest’ultima agisce come moltiplicatore delle capacità offensive e difensive, accelerando, tra l’altro, l’individuazione e lo sfruttamento delle vulnerabilità.
Il messaggio del rapporto è chiaro: il miglioramento delle misure tecnologiche non è sufficiente se non è accompagnato da un rafforzamento della governance e della resilienza operativa.

Cos’è la Cyber Risk Governance e perché riguarda direttamente gli amministratori

Per lungo tempo la cybersecurity è stata considerata una responsabilità prevalentemente tecnica, affidata ai reparti IT o a fornitori specializzati. Oggi questo approccio non è più adeguato.

Un incidente informatico può interrompere l’accesso ai sistemi gestionali, bloccare la produzione, compromettere servizi erogati ai clienti, rendere indisponibili informazioni essenziali o generare responsabilità contrattuali e normative. Le conseguenze possono quindi estendersi ben oltre l’ambito tecnologico e coinvolgere l’intera organizzazione.

La Cyber Risk Governance è l’insieme dei processi, delle responsabilità e dei meccanismi decisionali attraverso i quali un’organizzazione indirizza, controlla e monitora la gestione dei rischi informatici, integrandoli nella più ampia governance aziendale.

Significa, in concreto, assicurare che la direzione sia in grado di conoscere i principali rischi cyber, valutarne l’impatto sul business, stabilire le priorità, definire il livello di rischio accettabile e verificare l’efficacia delle misure adottate.

Non si tratta di trasformare gli amministratori in specialisti informatici, ma di fornire loro informazioni e strumenti adeguati per assumere decisioni consapevoli.La governance deve chiarire quali processi siano critici, quali sistemi e fornitori risultino indispensabili, chi sia responsabile dei rischi e quali conseguenze possa produrre l’indisponibilità dei servizi.

La sicurezza informatica può essere gestita operativamente da specialisti, ma le decisioni strategiche sul rischio devono coinvolgere il vertice aziendale.

Cyber Risk Assessment: il primo passo per governare i rischi informatici

Un’efficace governance dei rischi cyber deve partire da una valutazione strutturata del rischio informatico, o Cyber Risk Assessment.
L’obiettivo non è semplicemente individuare le vulnerabilità tecniche, ma comprendere quali eventi possano compromettere gli obiettivi aziendali e con quali conseguenze.
L’analisi dovrebbe prendere in considerazione i processi critici, le informazioni, le infrastrutture IT e OT, i sistemi cloud, le applicazioni, i dispositivi connessi e le dipendenze dai fornitori esterni.
Per ciascuno scenario occorre valutare la probabilità di accadimento, il possibile impatto e l’efficacia dei controlli già presenti.
I risultati dovrebbero essere documentati in un registro dei rischi cyber, che consenta di assegnare responsabilità specifiche (Risk Owner), definire le azioni di trattamento, stabilire le priorità e monitorare nel tempo il rischio residuo.

La valutazione dovrebbe inoltre essere integrata con una Business Impact Analysis (BIA), per identificare le attività critiche e determinare le conseguenze di una loro interruzione.
Su questa base è possibile definire strategie di continuità operativa e disaster recovery, con obiettivi di ripristino, procedure di gestione degli incidenti ed esercitazioni periodiche.
Un’organizzazione che conosce i propri rischi può decidere in modo più efficace dove investire, quali vulnerabilità affrontare prioritariamente e quali misure siano realmente necessarie per proteggere la continuità delle attività.

Sicurezza dei fornitori ICT: un rischio che non può essere ignorato

Uno degli aspetti maggiormente evidenziati dal rapporto ENISA 2026 riguarda la crescente importanza delle dipendenze tecnologiche e dei rischi lungo la catena di approvvigionamento. Le imprese utilizzano sempre più frequentemente servizi cloud, software gestionali, piattaforme SaaS, infrastrutture esternalizzate e sistemi di accesso e manutenzione remota. Queste soluzioni possono migliorare l’efficienza, ma introducono dipendenze che devono essere adeguatamente valutate.
La compromissione di un fornitore ICT, infatti, può determinare conseguenze anche per le organizzazioni clienti, indipendentemente dal livello di sicurezza dei loro sistemi interni.
La gestione del rischio cyber richiede quindi una valutazione della sicurezza dei fornitori, delle condizioni contrattuali, delle modalità di accesso ai sistemi, della gestione degli incidenti e delle garanzie di continuità del servizio.
Particolare attenzione deve essere riservata agli accessi privilegiati e ai collegamenti da remoto, soprattutto quando coinvolgono sistemi industriali, dispositivi connessi o infrastrutture operative.
Esternalizzare un servizio tecnologico non significa eliminare il rischio aziendale associato a quel servizio.

NIS2, DORA e GDPR: la cybersecurity entra nella governance aziendale

L’evoluzione della normativa europea conferma la crescente centralità della governance nella gestione dei rischi informatici.
La Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, rappresenta un cambiamento significativo nell’attribuzione delle responsabilità di cybersecurity.
In particolare, l’articolo 23 del decreto prevede che gli organi di amministrazione e direttivi dei soggetti essenziali e importanti approvino le modalità di implementazione delle misure di gestione dei rischi informatici e ne sovrintendano l’attuazione. Gli stessi organi sono inoltre tenuti a seguire una formazione in materia di sicurezza informatica e a promuovere la formazione dei dipendenti, oltre a ricevere informazioni periodiche o tempestive sugli incidenti e sulle relative notifiche.
L’articolo 24 disciplina le misure tecniche, operative e organizzative di gestione del rischio, comprendendo, tra l’altro, analisi dei rischi, continuità operativa, gestione degli incidenti e sicurezza della catena di approvvigionamento.

Nel settore finanziario, il Regolamento DORA (UE) 2022/2554 prevede un quadro specifico di governance e controllo del rischio ICT, ponendo la resilienza operativa digitale al centro delle responsabilità degli organi di gestione. A questi strumenti normativi si affianca il GDPR, che impone, nell’ambito del trattamento dei dati personali, l’adozione di misure di sicurezza adeguate al rischio e la gestione delle eventuali violazioni dei dati personali. Anche il Cyber Resilience Act (Regolamento UE 2024/2847) contribuisce a rafforzare il quadro europeo attraverso requisiti di cybersecurity applicabili ai prodotti con elementi digitali e specifici obblighi per gli operatori economici interessati, secondo le rispettive decorrenze.
Pur con ambiti di applicazione differenti, queste normative convergono verso un principio comune: la sicurezza deve essere gestita attraverso responsabilità chiare, processi strutturati, misure proporzionate e verifiche periodiche.
Tuttavia, la gestione dei rischi cyber non dovrebbe essere considerata esclusivamente un obbligo di conformità normativa. Anche le organizzazioni che non rientrano direttamente nel perimetro NIS2 o DORA possono subire conseguenze rilevanti da un incidente informatico e dovrebbero adottare un modello di gestione del rischio adeguato alle proprie caratteristiche.

Dalla conformità alla resilienza: cosa devono fare concretamente le imprese

Tra le principali raccomandazioni del rapporto ENISA 2026 emerge la necessità di passare dall’adozione delle norme alla loro effettiva attuazione.
Questo significa superare un approccio alla cybersecurity basato esclusivamente sulla predisposizione di policy, procedure e documentazione formale.
Un’organizzazione può disporre di regolamenti interni e strumenti di sicurezza avanzati, ma rimanere vulnerabile se non conosce le proprie dipendenze tecnologiche, non ha identificato i processi critici o non ha mai verificato la capacità di rispondere a un incidente. 
Per rafforzare la governance, le imprese dovrebbero innanzitutto definire un modello organizzativo con ruoli e responsabilità chiari, integrando il Cyber Risk Assessment nei processi aziendali di gestione dei rischi.
È poi necessario predisporre piani di trattamento dei rischi, procedure di gestione degli incidenti e strategie di continuità operativa, verificandone periodicamente l’efficacia.
La direzione dovrebbe ricevere informazioni sintetiche e misurabili attraverso indicatori di rischio e di controllo, come i rischi critici non trattati, le vulnerabilità non risolte, il livello di preparazione dei fornitori e i risultati delle esercitazioni di ripristino.
Infine, è fondamentale investire nella formazione e nella consapevolezza, coinvolgendo non soltanto il personale tecnico, ma anche il management e i responsabili dei processi aziendali.
Il risultato deve essere un processo di miglioramento continuo, capace di adattarsi all’evoluzione delle tecnologie, delle minacce e del contesto organizzativo.

La cybersecurity non è soltanto un costo IT, ma una scelta strategica

I recenti attacchi informatici e le evidenze del rapporto ENISA 2026 dimostrano che la cybersecurity deve essere affrontata come una componente essenziale della gestione aziendale.La digitalizzazione dei processi e la crescente interconnessione tra sistemi, fornitori e infrastrutture rendono sempre più difficile separare i rischi tecnologici da quelli economici e operativi. La gestione del rischio cyber deve pertanto essere integrata nei sistemi di governance, al pari dei rischi finanziari, legali, organizzativi e reputazionali.
L’obiettivo non è eliminare completamente la possibilità di subire un attacco, ma ridurne la probabilità, limitarne gli effetti e garantire la capacità dell’organizzazione di reagire e ripristinare tempestivamente le proprie attività.

La vera sfida non consiste soltanto nel proteggere i sistemi informatici, ma nel costruire organizzazioni capaci di conoscere, governare e affrontare i rischi digitali.
Per questo, il Cyber Risk Assessment e l’adozione di un modello strutturato di Cyber Risk Governance non rappresentano soltanto strumenti di compliance, ma investimenti nella continuità operativa, nella competitività e nella fiducia di clienti e stakeholder.

La domanda che ogni imprenditore e amministratore dovrebbe porsi oggi non è soltanto «Quanto siamo protetti?», ma soprattutto «Sappiamo quali rischi cyber stiamo correndo e siamo preparati a gestirne le conseguenze?».

Per informazioni

Per ulteriori approfondimenti sulle tematiche trattate o per ricevere supporto specialistico nella valutazione e gestione dei rischi cyber, è possibile contattare il nostro team di consulenti scrivendo all’indirizzo e-mail info@tutelaprivacy.com o chiamandoci al numero (+39) 011 5534737.