Quanto costa un attacco informatico a una PMI italiana

Parliamo di numeri concreti. Perché la cybersecurity smette di essere un costo astratto quando si traduce in euro persi.

Costi diretti: quello che si vede subito

Il fermo operativo è il più impattante. Un’azienda manifatturiera che non accede ai sistemi di produzione per 5 giorni perde fatturato, accumula ritardi, rischia penali contrattuali. Secondo il rapporto Clusit, il costo medio di un attacco ransomware per una PMI italiana supera i 200.000 euro considerando solo fermo e ripristino.

A questo si aggiungono: ripristino dei sistemi (ore/uomo specializzate, eventuale sostituzione hardware), incident response e forensic analysis, costi legali per le notifiche obbligatorie (GDPR 72h, NIS2 24h), e negoziazione con gli attaccanti (anche senza pagare il riscatto, la gestione ha costi).

Costi indiretti: quello che fa più male nel tempo

Spesso superiori ai diretti ma meno visibili. Perdita fiducia clienti — soprattutto in settori B2B dove la reputazione è tutto. Contratti non rinnovati, opportunità perse. Dati nel dark web — dati esfiltrati venduti o pubblicati, con conseguenze legali e reputazionali a lungo termine. Aumento premi assicurativi — le polizze cyber costano di più dopo un sinistro. Sanzioni GDPR (fino al 4% del fatturato) e NIS2 (fino al 2%) che si sommano al danno già subito.

Il confronto che conta: prevenzione vs danno

Un programma di cybersecurity gestito completo per una PMI con 50 postazioni costa tipicamente tra i 2.000 e i 5.000 euro al mese (protezione endpoint, firewall gestito, backup, vulnerability management, formazione). Il costo di un singolo attacco ransomware riuscito supera facilmente 200.000 euro. La prevenzione costa una frazione del danno — ma va implementata prima.

Le misure minime immediate

Protezione endpoint avanzata su tutti i dispositivi (non basta l’antivirus). Backup 3-2-1 con copia offsite e test di ripristino. MFA su email, VPN e accessi admin. Firewall di nuova generazione con IPS e content filtering. Formazione anti-phishing per tutti. Vulnerability assessment periodici. Queste misure sono sia best practice che requisiti NIS2.