Secondo il nuovo report di Zscaler ThreatLabz, l’Italia è quinta al mondo per numero di aziende colpite da ransomware: 193 organizzazioni comparse sui siti dove i criminali pubblicano i dati rubati, il 2,7% del totale, con un aumento del 7% rispetto al periodo precedente. Nello stesso mese per molte imprese arriva anche una scadenza della direttiva NIS2. Vediamo cosa dice il report e cosa conviene fare in una PMI.

Ransomware in Italia nel 2026: i numeri del report

Settori più colpiti: manifatturiero (35,5%) e tecnologia (14,6%). Crescono in modo molto rapido trasporti e logistica (+725%) e servizi di pubblica utilità (+622%).
Reparti presi di mira: amministrazione e finanza (17,7%), vendite (17,4%), operations (16,8%) e risorse umane (14,7%).
Riscatti: tra aprile 2025 e marzo 2026 il totale dei riscatti noti è calato del 16% e i pagamenti del 20%, ma il riscatto medio è salito a circa 432.000 dollari per vittima (+5,3%).

Il dato più utile per una piccola azienda riguarda il modo in cui gli attacchi iniziano: sempre più spesso con una telefonata che finge di arrivare dal supporto IT, un messaggio su Microsoft Teams o una richiesta da un account che sembra conosciuto. Non serve una falla sofisticata se qualcuno, in buona fede, apre la porta.

NIS2: cosa scade a fine ottobre 2026

La direttiva europea NIS2 è stata recepita in Italia con il D.Lgs. 138/2024 e l’autorità competente è l’Agenzia per la Cybersicurezza Nazionale (ACN). Per le organizzazioni già inserite nell’elenco dei soggetti NIS2, entro fine ottobre 2026 devono essere pronte le evidenze delle misure di sicurezza di base. È già operativo anche l’obbligo di notifica degli incidenti significativi:

pre-notifica all’ACN entro 24 ore;
notifica entro 72 ore;
relazione finale entro un mese.

Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, e fino a 7 milioni o all’1,4% per i soggetti importanti. Gli obblighi scattano dalla comunicazione individuale dell’ACN, non dalla legge in sé. Anche se la tua azienda non è nell’elenco, può essere coinvolta come fornitore di un cliente soggetto a NIS2, che ti chiederà garanzie sulla sicurezza.

Cosa fare in una PMI, anche senza NIS2

Backup separati dalla rete: almeno una copia offline o non modificabile, provata con un ripristino vero. Vedi il nostro servizio di recupero dati e backup sicuro.
Autenticazione a due fattori su posta, VPN, gestionali e accessi remoti.
Aggiornamenti costanti di PC e server: il Patch Tuesday di ottobre 2026 ha corretto anche una falla già sfruttata.
Firewall e rete separata: dividere uffici, server, telecamere e ospiti limita i danni. Ne parliamo nella pagina su firewall aziendali e VPN.
Formazione del personale: una regola semplice, come richiamare sempre il supporto su un numero noto, ferma molti attacchi. Proponiamo consulenza e formazione per i dipendenti.
Un piano per l’incidente: chi chiamare, cosa scollegare, chi avvisare, scritto prima di averne bisogno.

Per un quadro più ampio sugli attacchi alle piccole imprese italiane trovi anche la nostra analisi del Rapporto Clusit 2026.

Articolo aggiornato al 22 ottobre 2026. Fonti: LineaEDP, report Zscaler ThreatLabz 2026; Noze, NIS2: le scadenze ACN 2026.