ENISA Risk Landscape 2026: priorità per le PMI

In breve

• ENISA (l'agenzia europea per la cybersecurity) ha pubblicato il Risk Landscape 2026: la fotografia delle minacce informatiche in Europa.
• Tre minacce dominano: ransomware, attacchi alla supply chain e phishing/social engineering (spesso amplificato dall'AI).
• Le PMI sono colpite più spesso delle grandi aziende perché sono viste come "porta di ingresso" verso clienti più grandi.
• La buona notizia: l'80% degli incidenti è bloccabile con cinque misure base, tutte alla portata di una piccola/media impresa.
• Conviene partire da MFA, backup testati, formazione anti-phishing e gestione delle patch. Senza spendere centinaia di migliaia di euro.

Cosa dice ENISA per il 2026

Ogni anno ENISA pubblica il Threat Landscape, un report che mette in fila le principali minacce osservate nel continente. Per il 2026 il quadro è chiaro: gli attacchi non sono più "eventi rari", sono parte normale del rischio operativo di ogni azienda.

Le minacce principali individuate:

• Ransomware: quasi il 30% degli incidenti gravi. Bloccano produzione, gestionali, posta. Richiesta di riscatto in cripto.
• Supply chain: l'attaccante non punta voi, punta un vostro fornitore IT più debole per arrivare ai vostri sistemi.
• Phishing avanzato: email e SMS sempre più credibili, scritti con AI generativa, indistinguibili dai messaggi veri.
• DDoS verso PA e infrastrutture critiche.
• Furto di dati e credenziali rivenduti nel dark web.

Fonte: ENISA Threat Landscape.

Perché le PMI italiane sono nel mirino

C'è un equivoco diffuso: "siamo piccoli, chi vuoi che ci attacchi?". Sbagliato. Le PMI italiane sono bersagli ideali per due motivi:

1. Difese più deboli rispetto a grandi gruppi, ma dati comunque preziosi (clienti, brevetti, contratti).
2. Accesso indiretto a target più grandi: se siete fornitori di una multinazionale o della PA, l'attaccante vi usa come ponte.

ENISA segnala in particolare un aumento di attacchi su:

• studi professionali (commercialisti, avvocati, notai),
• aziende manifatturiere con macchinari connessi (OT/IoT),
• società di trasporti e logistica,
• fornitori IT/MSP per PMI.

Le 5 misure che bloccano l'80% degli attacchi

Non servono SOC da milioni di euro. ENISA stessa lo dice: la maggior parte degli incidenti gravi si previene con misure base, applicate bene:

1. MFA (autenticazione a due fattori) su tutti gli accessi: posta, gestionali, VPN. Costo: praticamente zero.
2. Backup testati: non basta averli, vanno provati ogni mese. Almeno una copia offline o immutabile.
3. Patch management: aggiornare sistemi operativi, applicativi e firmware entro 30 giorni dalle release critiche.
4. Formazione anti-phishing: 30 minuti a trimestre per tutto il personale. Simulazioni periodiche.
5. EDR (Endpoint Detection & Response): l'antivirus moderno che vede comportamenti anomali, non solo virus noti.

Sono cinque cose. Si fanno in 3-6 mesi anche in un'azienda da 30 persone.

L'AI come arma a doppio taglio

ENISA dedica una sezione importante all'AI generativa:

• Lato attaccanti: phishing più convincenti, deepfake audio/video per truffe del CEO, codice malware generato in pochi minuti.
• Lato difensori: rilevamento anomalie più veloce, automazione delle risposte, analisi log su volumi prima impossibili.

Il messaggio: non potete vietare l'AI. Dovete imparare a usarla per difendervi prima che lo facciano contro di voi.

Cosa fare nei prossimi 90 giorni

Tre azioni concrete per una PMI:

• Mese 1: assessment di sicurezza (1-2 giornate con un consulente). Capite dove siete deboli.
• Mese 2: attivate MFA ovunque, sistemate i backup, fate la prima sessione di formazione anti-phishing.
• Mese 3: scegliete un EDR e definite chi chiamate quando succede qualcosa (il vostro "numero da SOS sicurezza").

Budget tipico per una PMI da 30-100 dipendenti: 15-40 mila euro all'anno tra strumenti, formazione e consulenza esterna. Una frazione del costo di un singolo incidente serio.

Approfondimenti

• ENISA — Threat Landscape
• ACN — Misure minime per le PMI
• CIS Controls v8.1

In sintesi

ENISA non vi sta chiedendo di diventare esperti di cybersecurity. Vi sta chiedendo di mettere in pratica cinque misure base che oggi non sono più "best practice", sono il minimo sindacale per restare in piedi quando arriva un attacco.