Resilienza Cyber in Italia: il Report ACN 2026 Promuove l’Effetto NIS2
Il primo semestre 2026 segna una fase di consolidamento del sistema nazionale di cybersicurezza.
È quanto emerge dall’Operational Summary dell’Agenzia per la Cybersicurezza Nazionale, che evidenzia come l’entrata a regime degli obblighi di notifica previsti dalla direttiva NIS2 abbia ampliato la capacità dello Stato di osservare, rilevare e gestire gli eventi cibernetici, rafforzando la resilienza del sistema Paese.
I Numeri del Semestre: Più Segnalazioni, Meno Attacchi Critici
Nel periodo gennaio-giugno 2026 ACN, attraverso lo CSIRT Italia, ha gestito 2.171 eventi cyber, con un incremento del 47% rispetto allo stesso periodo del 2025.
Di questi, 1.072 sono risultati incidenti con impatto confermato.
L’aumento è riconducibile principalmente all’estensione del perimetro di osservazione determinato dalla direttiva NIS2 e non a un incremento proporzionale della minaccia.
Nel semestre lo CSIRT Italia ha ricevuto 1.160 notifiche, di cui 953 obbligatorie e 207 volontarie, provenienti da 890 soggetti, dei quali 690 hanno effettuato una segnalazione per la prima volta.
Un dato che testimonia il significativo ampliamento della platea di organizzazioni che interagiscono stabilmente con l’Agenzia e contribuiscono alla conoscenza del quadro nazionale della minaccia.
Il contesto operativo conferma la persistenza di fenomeni quali phishing, compromissione di caselle di posta elettronica, esposizione di dati, abuso di credenziali valide e sfruttamento di vulnerabilità note.
Al tempo stesso si registra una diminuzione di alcune delle minacce più impattanti: gli attacchi ransomware sono scesi a 181 casi, con una riduzione del 12%, mentre gli attacchi DDoS sono diminuiti del 32%, passando a 407 eventi.
Trend delle Minacce: Calano Ransomware e DDoS (Nonostante le Olimpiadi)
Il maggiore picco di attività DDoS è stato registrato nel mese di febbraio, in concomitanza con i Giochi Olimpici Invernali di Milano-Cortina 2026, quando gruppi hacktivisti sostenuti da Stati hanno preso di mira strutture ricettive dei comprensori olimpici, amministrazioni pubbliche e operatori dei trasporti.
L’impatto è risultato complessivamente limitato: solo il 6% degli eventi di febbraio ha determinato indisponibilità, peraltro temporanea, dei siti colpiti, senza furti di dati.
Parallelamente è proseguito il rafforzamento delle attività di prevenzione e monitoraggio svolte da ACN attraverso lo CSIRT Italia.
Nel primo semestre sono stati pubblicati 606 alert e bollettini di sicurezza, 275 in più rispetto allo stesso periodo del 2025, a conferma del significativo incremento dell’attività informativa e preventiva rivolta ai soggetti pubblici e privati.
Prevenzione Proattiva: l’Impatto dell’Intelligenza Artificiale
L’attività di monitoraggio proattivo ha risentito del forte aumento delle vulnerabilità informatiche pubblicate a livello globale. Le nuove CVE censite nel semestre sono state 37.032, con una crescita del 54% rispetto al primo semestre 2025, un fenomeno verosimilmente favorito anche dal crescente impiego di modelli di intelligenza artificiale nelle attività di analisi del codice e individuazione delle vulnerabilità.
L’aumento delle vulnerabilità note si è tradotto in un corrispondente ampliamento della superficie di rischio rilevabile. Gli asset e servizi che espongono potenziali rischi, sistemi raggiungibili da Internet che, per versione del software installato o per modalità di configurazione risultano attaccabili, sono saliti a 24.303, in aumento di 5.781 unità.
Il Fattore Umano Resta l’Anello Debole
Contestualmente, ACN ha intensificato le attività di allertamento, inviando oltre 43.600 comunicazioni ai soggetti interessati, più del doppio rispetto al corrispondente periodo del 2025, favorendo l’adozione tempestiva delle necessarie misure di mitigazione.
Gli asset potenzialmente compromessi — sistemi per i quali è stato rilevato un comportamento associabile ad un’effettiva attività malevola in corso — scendono invece a 1.560, da 4.408 del corrispondente periodo 2025, con una flessione del 64,6%.
L’andamento dei due indicatori consente una lettura in termini di efficacia dell’allertamento preventivo: a fronte di una superficie esposta in crescita, un’attività di segnalazione più capillare e tempestiva sembra aver ridotto la finestra di sfruttamento disponibile agli attori ostili, contenendo il numero di sistemi effettivamente compromessi.
L’analisi dei vettori di compromissione conferma inoltre che la componente umana continua a rappresentare uno dei principali fattori di rischio.
Le campagne malevole veicolate tramite posta elettronica costituiscono il 40% degli accessi iniziali, mentre l’utilizzo di credenziali valide compromesse rappresenta il 26% dei casi.
Conclusioni
Nel complesso, quasi due terzi delle compromissioni derivano da comportamenti degli utenti o da carenze nella gestione delle identità digitali, piuttosto che dallo sfruttamento diretto di vulnerabilità software: apertura di allegati o link malevoli, inserimento di credenziali su portali fraudolenti, riutilizzo di password su servizi diversi, mancato ricorso a meccanismi di autenticazione robusta, gestione non tempestiva di account compromessi.
I dati analizzati evidenziano come il rafforzamento del quadro normativo introdotto dalla direttiva NIS2 e delle capacità operative dell’Agenzia per la cybersicurezza nazionale stia contribuendo a migliorare la resilienza cibernetica nazionale, aumentando la tempestività nell’individuazione degli incidenti, la capacità di risposta e il supporto fornito ai soggetti pubblici e privati nella gestione del rischio cyber.
