Cybersecurity PMI: l’AI pretende MSP e difesa continua

Le PMI temono gli attacchi basati sull’intelligenza artificiale e scoprono i limiti della cybersecurity interna. La survey WatchGuard e i dati Clusit 2026 mostrano perché sicurezza gestita, MSP, monitoraggio 24/7 e AI difensiva diventano infrastruttura essenziale.

La cybersecurity delle PMI ha superato il punto in cui poteva essere trattata come un problema tecnico da affidare al reparto IT  perché il mondo intorno alle imprese è cambiato più velocemente del previsto

La nuova ricerca globale di WatchGuard fotografa questo passaggio : il 91% delle organizzazioni intervistate è preoccupato per gli attacchi informatici basati sull’intelligenza artificiale, il 75% ha subito almeno un incidente cyber nell’ultimo anno, il 54% dichiara di non avere la capacità di garantire monitoraggio e risposta 24 ore su 24, 7 giorni su 7, mentre il 67% ha bisogno di ulteriore supporto per rispondere ai crescenti obblighi di conformità normativa. La ricerca è stata condotta su 842 professionisti IT e cybersecurity in organizzazioni tra 2 e 2.499 dipendenti, quindi proprio dentro quel tessuto di piccole e medie imprese che costituisce l’ossatura produttiva di molti Paesi, Italia compresa.

Il dato più interessante, però, non è soltanto la paura dell’AI. Sarebbe troppo facile fermarsi lì, nella rappresentazione dell’intelligenza artificiale come nuovo mostro digitale capace di scrivere email di phishing perfette, creare malware più rapidamente, automatizzare la ricerca di vulnerabilità e imitare voci, identità, relazioni. La vera notizia è un’altra: le PMI stanno scoprendo che la cybersecurity non è più un prodotto da comprare, ma una capacità da mantenere viva.

Cybersecurity PMI: perché il modello interno non basta più

Per anni molte aziende hanno costruito la propria sicurezza informatica come si costruiva un impianto elettrico in un vecchio capannone: qualche componente robusto, qualche protezione nei punti più esposti, un tecnico fidato, un fornitore chiamato quando qualcosa si rompeva. Firewall, antivirus, backup, qualche policy, magari una piattaforma EDR nei casi più maturi. Il modello funzionava finché gli attacchi avevano tempi compatibili con la reazione umana e finché la complessità dell’ambiente digitale restava sotto controllo. Oggi quel mondo non esiste più.

Gli attaccanti non aspettano l’orario d’ufficio. Non rispettano ferie, weekend, ponti, fusi orari. Non entrano più soltanto dalla porta principale della rete aziendale, ma dalla supply chain, dagli account cloud, dalle credenziali rubate, dalle vulnerabilità non corrette, dai sistemi esposti, dalle API, dai dispositivi remoti, dalle identità digitali che ormai sono diventate la vera superficie d’attacco dell’impresa.

WatchGuard sintetizza il problema con una frase del CEO Joe Smolarski che coglie bene il punto: non si tratta più di un gap di competenze, ma di capacità operativa. Le organizzazioni capiscono i rischi, ma non hanno la struttura per monitorare, rilevare e rispondere alla velocità richiesta oggi.

Questa distinzione è decisiva. Perché se il problema fosse solo la competenza, basterebbe formare meglio le persone. Se fosse solo la tecnologia, basterebbe acquistare nuovi strumenti. Se fosse solo la consapevolezza, basterebbe fare cultura. Invece il punto è più profondo: una PMI può anche avere buoni professionisti, strumenti adeguati e una direzione consapevole, ma non può trasformarsi da sola in un Security Operations Center permanente, capace di analizzare segnali, correlare eventi, contenere attacchi, gestire incidenti, documentare la compliance, aggiornare policy, interpretare minacce e garantire continuità operativa.

La cybersecurity è diventata una funzione industriale continua. Non un progetto. Non una campagna. Non un acquisto annuale. Una capacità sempre accesa.

È lo stesso passaggio che abbiamo raccontato parlando della transizione dalla cybersecurity reattiva alla gestione del rischio, perché il punto non è più aspettare che l’attacco arrivi, ma capire quali parti dell’organizzazione sono davvero esposte, quali sistemi sono critici, quali vulnerabilità hanno un impatto di business e quali interventi riducono realmente la probabilità che un incidente diventi crisi.

Attacchi AI alle PMI: il tempo della difesa si è accorciato

L’intelligenza artificiale non introduce soltanto nuovi strumenti nelle mani degli attaccanti. Introduce una nuova velocità. Questo è l’aspetto più sottovalutato.

L’AI rende più economica la personalizzazione degli attacchi, più credibili le comunicazioni fraudolente, più rapida la scrittura di codice malevolo, più ampia la scansione delle vulnerabilità, più scalabile la manipolazione psicologica. Ma, soprattutto, riduce la distanza tra intenzione e azione. Dove prima servivano tempo, competenze e lavoro manuale, oggi possono intervenire automazione, modelli generativi, agenti software e catene di attacco sempre più efficienti.

Non siamo più nel campo della fantascienza cyber. Abbiamo già visto come il malware possa diventare più veloce da scrivere, più usa e getta, più difficile da riconoscere, come raccontato nell’analisi su Sloply e il malware agentico. Il problema non è soltanto che il codice malevolo diventi più sofisticato. Il problema è che diventa più rapido, più economico, più replicabile, quindi più adatto a colpire anche aziende che fino a ieri si consideravano fuori dal radar.

Il Rapporto Clusit 2026 conferma che il contesto generale è già entrato in una fase di accelerazione. Nel 2025 sono stati registrati 5.265 incidenti cyber noti a livello globale, contro i 3.541 del 2024, con un incremento del 48,7%, il più alto mai rilevato. La media mensile è passata dai 171 incidenti del 2021 ai 439 del 2025. In cinque anni, il salto non è più una crescita lineare: è un cambio di scala.

Non aumenta soltanto il numero degli incidenti. Aumenta la loro gravità. Clusit introduce nel rapporto 2026 una nuova categoria di severità, “Extreme”, per rappresentare quegli incidenti che non sono semplicemente gravi, ma sistemici, capaci di produrre effetti particolarmente ampi e devastanti. Nel 2025, gli incidenti “High” crescono del 66% rispetto all’anno precedente e rappresentano il 55% del totale; gli incidenti “Critical” crescono del 46%, mentre la somma di “Critical” ed “Extreme” arriva a circa un terzo del campione.

Questo dato dovrebbe essere letto dalle PMI con grande attenzione. Non perché tutte le piccole imprese siano destinate a subire attacchi “Extreme”, ma perché il sistema in cui operano è diventato più instabile, più interconnesso, più fragile. Una piccola azienda può essere colpita direttamente, ma può anche essere coinvolta come fornitore, come nodo di una filiera, come accesso laterale verso un cliente più grande, come custode inconsapevole di dati, credenziali, procedure o servizi digitali. Nell’economia digitale, nessuna impresa è piccola quanto crede.

Cybersecurity in Italia: le PMI non sono spettatrici del rischio

Il dato italiano rende il quadro ancora più concreto. Secondo Clusit, tra il 2021 e il 2025 sono stati censiti 1.432 incidenti noti di particolare gravità che hanno preso di mira realtà italiane. Di questi, 507, circa il 35% del totale, sono avvenuti nel solo 2025. L’aumento rispetto al 2024 è del 42%, poco sotto il tasso globale, ma…