Le piccole e medie imprese italiane si avvicinano alle grandi organizzazioni nella maturità della cybersecurity: le prime raggiungono un livello medio di circa il 46,5%, le seconde si attestano intorno al 50%. Il divario risulta più contenuto rispetto al passato, secondo l’EY Cyber Barometer, il report realizzato nell’ambito di EY Hub Risk che analizza la maturità digitale di oltre 300 società italiane nel 2025.
Sul piano complessivo, il comunicato riporta un livello di maturità della cybersecurity di circa il 55%, rispetto al 46% della precedente edizione. La diffusione dei controlli di sicurezza cresce, con un consolidamento ancora parziale dei modelli strutturati e misurabili e del loro inserimento nelle decisioni aziendali.
Indice degli argomenti
PMI più vicine alle grandi imprese
Le realtà maggiori mantengono un vantaggio negli ambiti più complessi: la prevenzione, l’individuazione e la gestione degli incidenti informatici, il monitoraggio e la resilienza operativa, intesa come capacità di garantire la continuità dei servizi anche in presenza di eventi avversi.
Le aziende con fatturato superiore a 50 milioni di euro e oltre 250 dipendenti mostrano una maggiore capacità di dotarsi di presìdi specializzati, metriche di monitoraggio e modelli di governance stabili. Nelle organizzazioni medio-piccole risultano più frequenti approcci parziali o frammentati e una forte dipendenza da singole figure chiave, con effetti sulla gestione strutturata dei rischi cyber nel medio-lungo periodo.
La distanza tra settori digitali e manifattura
Le differenze settoriali restano più marcate. I comparti nativi digitali e quelli ICT, registrano livelli di maturità compresi tra il 65% e il 67%. Per i settori tradizionali e manifatturieri i valori si collocano tra il 35% e il 50%.
Il report rileva una crescente polarizzazione, legata anche alla diversa esposizione al rischio e al grado di digitalizzazione dei processi. Nello specifico ambito della gestione degli incidenti, il comunicato indica valori del 70% per la fabbricazione dei beni di consumo e i settori digitali. Riporta inoltre il 69,2% per i gestori di servizi TIC, ossia tecnologie dell’informazione e della comunicazione, e il 66,6% per i fornitori di servizi digitali, comparti con maggiore esperienza nella gestione coordinata di eventi cyber complessi.
Gestione degli incidenti e continuità operativa
La gestione degli incidenti informatici raggiunge livelli avanzati soltanto nel 7% delle aziende del campione. Circa il 53% si colloca su livelli intermedi: le misure sono generalmente presenti, ma la loro integrazione nei processi resta incompleta.
Il 62,5% delle organizzazioni rispondenti dispone di un inventario dei servizi critici e dei relativi asset IT: un elenco strutturato dei sistemi, delle applicazioni e delle risorse tecnologiche più importanti per il funzionamento del business. Anche in questo caso, l’integrazione nei processi aziendali risulta ancora parziale.
Per il 21,8% del campione, i piani a supporto della continuità operativa e della gestione delle crisi esistono, ma trovano un’applicazione limitata.
«L’EY Cyber Barometer evidenzia come la cybersecurity nelle organizzazioni italiane abbia ormai superato una fase iniziale, raggiungendo livelli di diffusione ampi e un posizionamento medio intermedio – spiega Francesco Suffredini, Partner e Technology Risk Italian Leader di EY – Allo stesso tempo, i dati evidenziano un disallineamento significativo tra la crescente esposizione ai rischi cyber e il livello di maturità dei presìdi adottati: se il 53% delle aziende si colloca su livelli intermedi nella gestione degli incidenti, solo il 7% raggiunge livelli avanzati».
«Questo gap – prosegue – è particolarmente evidente nei domini a maggiore impatto sistemico come la gestione degli incidenti, la continuità operativa e la sicurezza della supply chain. Il vero elemento distintivo diventa quindi la capacità delle organizzazioni di evolvere verso modelli di sicurezza industrializzati, basati su metriche, governance strutturate e integrazione nei processi decisionali, in grado di sostenere una gestione proattiva del rischio».
Intelligenza artificiale e coinvolgimento del vertice aziendale
«Il rapporto affronta anche il ruolo dell’intelligenza artificiale nella gestione dei rischi e il coinvolgimento del management nelle decisioni sulla sicurezza. L’EY Cyber Barometer restituisce l’immagine di un sistema in piena evoluzione, in cui la cybersecurity ha raggiunto una diffusione significativa nel tessuto imprenditoriale italiano, sebbene ancora prevalentemente concentrato su livelli intermedi – spiega Davide Benevolo, Partner e Technology Risk Quality Leader di EY Europe West – I dati evidenziano come la sfida non sia più l’adozione dei controlli di base, bensì la loro integrazione in modelli di governance misurabili, orientati al rischio e capaci di sostenere la continuità operativa e la resilienza del business».
«In questo contesto – continua – la crescente adozione dell’Intelligenza Artificiale rappresenta una duplice sfida per le organizzazioni: da un lato introduce nuovi profili di rischio, legati a governance, sicurezza, compliance e affidabilità dei modelli; dall’altro offre un’opportunità strategica per rafforzare le capacità di identificazione, monitoraggio e gestione dei rischi, rendendo i processi di controllo sempre più predittivi, tempestivi e data-driven».
«La capacità di governare questa trasformazione sarà un elemento distintivo per la resilienza e la competitività delle imprese – conclude Benevolo – Cresce, di conseguenza, l’attenzione del top management verso i temi cyber e di risk management, con un coinvolgimento sempre più diretto del vertice aziendale nelle decisioni di governance, accountability e gestione integrata del rischio, nella consapevolezza che la fiducia nelle tecnologie emergenti dipende dalla capacità di governarne efficacemente rischi e opportunità».
Partecipa alla community