Cybersecurity: la piena attuazione della NIS2 rafforza il monitoraggio degli incidenti e la resilienza del sistema Paese

L’entrata a regime degli obblighi di notifica introdotti dalla direttiva NIS2 ha ampliato la capacità nazionale di rilevare e gestire gli eventi cyber, aumentando la visibilità sulle minacce e rafforzando i meccanismi di prevenzione. È quanto emerge dall’Operational Summary del primo semestre 2026 dell’Agenzia per la cybersicurezza nazionale (ACN), secondo cui il nuovo quadro normativo ha contribuito a consolidare la capacità di risposta del sistema Paese.

Nel periodo gennaio-giugno 2026, lo CSIRT Italia ha gestito 2.171 eventi cyber, con un aumento del 47% rispetto allo stesso periodo dell’anno precedente. Di questi, 1.072 sono stati classificati come incidenti con impatto confermato. Secondo ACN, la crescita dei dati registrati è principalmente riconducibile all’ampliamento del perimetro di osservazione determinato dall’applicazione della direttiva NIS2, più che a un incremento proporzionale degli attacchi.

Nel semestre sono state ricevute 1.160 notifiche, di cui 953 obbligatorie e 207 volontarie, provenienti da 890 soggetti. Tra questi, 690 hanno effettuato una segnalazione per la prima volta, evidenziando il progressivo coinvolgimento delle organizzazioni pubbliche e private nel sistema nazionale di cybersicurezza.

Il quadro delle minacce conferma la rilevanza di fenomeni già consolidati, tra cui phishing, compromissione di caselle di posta elettronica, esposizione di dati, utilizzo abusivo di credenziali valide e sfruttamento di vulnerabilità note. Parallelamente, alcuni fenomeni ad alto impatto hanno registrato una contrazione: gli attacchi ransomware sono diminuiti del 12%, attestandosi a 181 casi, mentre gli attacchi DDoS sono scesi del 32%, per un totale di 407 eventi.

Il principale incremento delle attività DDoS si è verificato nel mese di febbraio, in concomitanza con i Giochi Olimpici Invernali di Milano-Cortina 2026, quando gruppi hacktivisti hanno preso di mira strutture ricettive, amministrazioni pubbliche e operatori dei trasporti. L’impatto complessivo è tuttavia rimasto contenuto: soltanto una quota limitata degli eventi ha determinato indisponibilità temporanee dei servizi, senza evidenze di sottrazione di dati.

Sul fronte della prevenzione, ACN e CSIRT Italia hanno rafforzato le attività di monitoraggio e diffusione delle informazioni di sicurezza. Nel primo semestre sono stati pubblicati 606 alert e bollettini, con un incremento di 275 unità rispetto allo stesso periodo del 2025. Sono inoltre state inviate oltre 43.600 comunicazioni ai soggetti interessati, più del doppio rispetto all’anno precedente, favorendo l’adozione tempestiva di misure correttive.

L’attività di monitoraggio ha dovuto confrontarsi con la crescita delle vulnerabilità informatiche rilevate a livello globale. Nel semestre sono state censite 37.032 nuove CVE, in aumento del 54% rispetto al primo semestre 2025, anche in relazione al crescente impiego di strumenti basati sull’intelligenza artificiale per l’analisi del codice e l’individuazione di vulnerabilità.

L’aumento delle vulnerabilità disponibili pubblicamente ha determinato un incremento della superficie potenzialmente esposta: gli asset e servizi raggiungibili da Internet con configurazioni o versioni software suscettibili di attacco sono saliti a 24.303, con 5.781 unità in più rispetto al periodo precedente. Tuttavia, gli asset effettivamente compromessi sono diminuiti sensibilmente, passando da 4.408 a 1.560, con una riduzione del 64,6%.

Secondo ACN, tale andamento evidenzia l’effetto positivo di un sistema di allertamento più tempestivo: a fronte di una maggiore esposizione potenziale, la capacità di individuare e comunicare rapidamente le criticità avrebbe contribuito a ridurre il tempo disponibile per lo sfruttamento delle vulnerabilità da parte degli attori ostili.

L’analisi dei vettori di compromissione conferma inoltre il ruolo centrale del fattore umano nella sicurezza informatica. Le campagne malevole veicolate tramite posta elettronica rappresentano il 40% degli accessi iniziali, mentre l’utilizzo di credenziali compromesse incide per il 26%. Complessivamente, quasi due terzi degli episodi di compromissione risultano collegati a comportamenti degli utenti o a criticità nella gestione delle identità digitali, come l’apertura di link o allegati malevoli, il riutilizzo delle password e l’assenza di adeguati meccanismi di autenticazione.

I dati del primo semestre 2026 mostrano dunque come l’attuazione della direttiva NIS2 e il rafforzamento delle capacità operative dell’Agenzia per la cybersicurezza nazionale stiano contribuendo a migliorare il livello di resilienza cibernetica del Paese, attraverso una maggiore capacità di individuazione degli incidenti, un sistema di risposta più strutturato e un più efficace supporto ai soggetti pubblici e privati nella gestione del rischio cyber.

Approfondimenti:

• Consulta l’Operational Summary del I°semestre 2026
• Consulta l’Operational summary di Giugno 2026
• Aggiornate le FAQ ACN sulle misure di sicurezza per la supply chain dei soggetti NIS