Approfondimento editoriale su fonte istituzionale: nessun attore singolomedium
Il numero è salito del 47%, la minaccia no: cosa dice davvero il semestre dell'ACN
Nel primo semestre 2026 il CSIRT Italia ha gestito 2.171 eventi cyber, il 47% in più rispetto ai 1.474 dello stesso periodo del 2025. È il tipo di numero che finisce nei titoli con la parola «allarme» accanto. L'Agenzia per la cybersicurezza nazionale, però, spiega nel proprio documento che quella crescita non misura un aumento della minaccia: misura l'allargamento del perimetro di osservazione dovuto alla piena attuazione della NIS2. A confermarlo ci sono i numeri che scendono nella stessa rilevazione: ransomware a 181 casi (-12%), DDoS a 407 eventi (-32%), eventi senza impatto confermato in calo del 6%. Un semestre in cui l'Italia ha visto di più, non necessariamente subìto di più.
Un aumento che non è un peggioramento
C'è una trappola statistica che si ripresenta ogni volta che un Paese comincia a contare qualcosa sul serio: i numeri salgono, e tutti li leggono come se il fenomeno fosse cresciuto. È successo con le denunce di reati che prima non si denunciavano, con le diagnosi di malattie che prima non si diagnosticavano. Il primo semestre 2026 della cybersicurezza italiana è un caso da manuale.
Il CSIRT Italia, la struttura tecnico-operativa dell'ACN che riceve le notifiche di incidente previste dalla legge, ha gestito 2.171 eventi cyber fra gennaio e giugno 2026, contro i 1.474 del primo semestre 2025: un +47%. Di questi, 1.072 sono stati classificati come incidenti con impatto confermato.
Il documento dell'Agenzia è esplicito nel dire come vada letto quel salto. La crescita è attribuita in via prevalente alle oltre mille notifiche arrivate per effetto della NIS2, non a un peggioramento reale della situazione. Testualmente, il dato non va interpretato come un aumento della minaccia o degli impatti subiti, ma come il risultato di una maggiore capacità di intercettare e gestire fenomeni che prima potevano non emergere con la stessa tempestività o granularità.
Chi ha scritto al CSIRT, e per la prima volta
Il dettaglio che racconta meglio di ogni altro cosa è cambiato non è il totale, sono i mittenti. Le 1.160 notifiche arrivano da 890 soggetti, dei quali 690 hanno segnalato per la prima volta.
Quasi otto su dieci non avevano mai scritto prima. Non perché non avessero mai avuto un incidente — perché non erano tenuti a raccontarlo, o non sapevano di poterlo fare, o non sapevano a chi. La NIS2 ha allargato l'elenco dei soggetti obbligati e ha dato loro un indirizzo. Il resto è aritmetica.
La distinzione fra le 953 notifiche obbligatorie e le 207 volontarie merita una riga in più. Le prime sono un adempimento; le seconde sono organizzazioni che hanno scelto di raccontare qualcosa che nessuno le costringeva a raccontare. In un sistema di segnalazione, la quota volontaria è l'indicatore di fiducia: dice se l'autorità è percepita come un posto dove si va per essere aiutati o come un posto dove si va per essere sanzionati.
I numeri che scendono
Se il totale fosse davvero il termometro della minaccia, allora dentro quel totale dovrebbe salire tutto. Non succede.
Il ransomware scende a 181 casi, in calo del 12%. Il DDoS scende a 407 eventi, in calo del 32%. Gli eventi senza impatto confermato sono 1.099, sostanzialmente allineati ai 1.164 del primo semestre 2025, con una flessione del 6%. I settori più colpiti nel periodo risultano manifatturiero, retail e tecnologico.
Due fatti puntuali aiutano a dare forma al semestre. Il picco più alto di attività DDoS si registra a febbraio, in coincidenza con i Giochi olimpici invernali di Milano-Cortina 2026: un evento internazionale attira campagne dimostrative come un lampione attira insetti, ed è un fenomeno noto e previsto. Fra maggio e giugno, invece, l'andamento è influenzato da una ripresa di campagne DDoS di matrice hacktivista — quasi sempre senza impatti significativi — e da alcuni incidenti che hanno riguardato fornitori di servizi informatici, con effetti propagati lungo la catena di fornitura fino a organizzazioni di settori diversi.
Quest'ultimo punto è l'unico del rapporto che vale come segnale d'allarme, e non riguarda i totali: riguarda la forma degli incidenti. Un attacco che colpisce un fornitore e si propaga a valle produce un numero contenuto di eventi e un numero elevato di organizzazioni coinvolte. È esattamente il tipo di fenomeno che una statistica per eventi tende a sottorappresentare.
Cosa portarsi via
Se gestite un'organizzazione soggetta a NIS2: siete probabilmente parte dei 690. La notifica non è un modulo da temere, è il canale che rende quel 47% un dato utile invece che un buco nero. Un incidente non notificato non è un incidente evitato, è solo un incidente invisibile.
Se leggete titoli sulla cybersicurezza italiana: diffidate delle percentuali senza il denominatore. Quando cambia il perimetro di rilevazione, confrontare due anni è come confrontare due censimenti fatti con confini diversi. L'ACN lo scrive nel proprio documento — è il pezzo di informazione che si perde più facilmente nel passaggio dal rapporto alla notizia.
Se vi occupate di rischio di fornitura: la parte del semestre che segnala un cambiamento vero è quella su maggio e giugno. Il fornitore informatico come punto di propagazione non è un'ipotesi da scenario, è una voce dentro una rilevazione ufficiale del primo semestre 2026.
Una nota di trasparenza: le cifre qui riportate provengono dall'Operational Summary dell'ACN relativo al primo semestre 2026 e dal comunicato dell'Agenzia che lo accompagna. Il portale dell'ACN pubblica i dati mensili e semestrali in forma di documento scaricabile: dove la nostra sintesi e il documento originale dovessero divergere, vale il documento.
