L'AI è già usata per attaccarti. Guida pratica con tool accessibili, costi reali e obblighi NIS2 per PMI italiane senza IT interno.
L'AI cybersecurity per le PMI non è più un'opzione — è la risposta concreta a un rischio concreto. Secondo il Cyber Index PMI 2026, il 24% delle aziende italiane ha già subito almeno un incidente in cui l'intelligenza artificiale è stata usata a supporto dell'attacco. La buona notizia è che gli stessi strumenti che rendono gli attacchi più efficaci sono ora accessibili anche come difesa, a costi compatibili con una PMI senza IT interno.
I numeri parlano da soli: il 47% delle imprese italiane ha registrato un attacco informatico nell'ultimo anno, il Cyber Index PMI si ferma a 55 punti su 100 (sotto la soglia di sufficienza fissata a 60), e solo il 15% delle PMI ha un approccio strutturato alla sicurezza. Il settore manifatturiero è il più colpito in Italia nel 2026, con il 28% degli attacchi totali — un dato che non sorprende, visti gli ambienti OT/IT sempre più connessi e le supply chain esposte.
I criminali informatici usano l'AI da almeno due anni per automatizzare campagne di phishing, generare malware personalizzato e bucare sistemi prima che le difese tradizionali si accorgano di niente. Un attacco classico richiedeva settimane di lavoro manuale; oggi un gruppo criminale con accesso a modelli AI può condurre migliaia di attacchi simultanei su target selezionati con email scritte in italiano perfetto, personalizzate con dati aziendali estratti da LinkedIn o dai siti corporate.
Il rovescio della medaglia: gli stessi strumenti rendono anche la difesa più efficace. L'AI applicata alla cybersecurity analizza milioni di eventi al secondo, identifica anomalie comportamentali invisibili all'occhio umano e risponde agli incidenti in millisecondi, non in ore. Fino a due anni fa queste soluzioni erano accessibili solo a grandi aziende con budget e team dedicati. Nel 2026 i principali vendor hanno rilasciato versioni SMB a prezzi che una PMI da 10 dipendenti può sostenere senza stravolgere il budget.
Il problema più comune non è la mancanza di strumenti — è la mancanza di configurazione. Il 47% delle aziende italiane colpite usava già qualche forma di protezione, ma non era attiva, aggiornata o monitorata.
Quasi una PMI su quattro in Italia ha subito una violazione negli ultimi tre anni, secondo il terzo Rapporto Cyber Index PMI pubblicato da Confindustria in collaborazione con Generali. Le ragioni per cui le PMI sono diventate target primari sono strutturali:
Il tipo di attacco prevalente è il ransomware, seguito da phishing mirato e compromissione di account email. I costi non sono solo il riscatto eventuale: un fermo produzione da ransomware per una PMI manifatturiera da 30 dipendenti costa mediamente tra 50.000 e 200.000 euro considerando produzione persa, recupero dati, consulenza e danni reputazionali.
La direttiva NIS2 è stata recepita in Italia con il Decreto Legislativo n. 138 del 4 settembre 2024, in vigore dal 16 ottobre 2024. L'ACN ha già notificato le prime 20.000 organizzazioni soggette agli obblighi; entro fine 2026 il numero raggiungerà circa 40.000 entità.
Chi rientra nel perimetro: le aziende con almeno 50 dipendenti o 10 milioni di fatturato che operano in uno dei 18 settori strategici — tra cui manifatturiero, logistica, energia, sanità, agroalimentare e servizi digitali. Attenzione: anche le PMI più piccole possono rientrare se sono fornitori diretti di soggetti obbligati.
Le scadenze operative nel 2026:
La responsabilità personale: l'articolo 23 del D.Lgs. 138/2024 stabilisce che l'amministratore delegato risponde personalmente della conformità alle misure di sicurezza. Non è delegabile. Le sanzioni arrivano fino a 7 milioni di euro (o 1,4% del fatturato globale) per i soggetti "importanti".
Per la maggior parte delle PMI manifatturiere obbligate, le misure minime richieste sono pratiche: autenticazione a più fattori, backup verificati e testati, gestione delle vulnerabilità, e un piano di risposta agli incidenti documentato. Nessuno chiede un SOC interno da dieci persone — ma l'improvvisazione non basta più.
Tre categorie di strumenti AI che una PMI può usare senza team IT dedicato.
EDR (Endpoint Detection and Response): analizza in tempo reale il comportamento di computer, server e dispositivi. Invece di basarsi su firme virali note come i vecchi antivirus, un EDR con AI rileva comportamenti anomali — un processo che apre connessioni insolite, un file che si replica, un utente che accede a cartelle che non ha mai aperto. La risposta è automatica: il dispositivo viene isolato prima che l'infezione si propaghi. I migliori EDR attuali riducono i falsi positivi fino al 95% rispetto ai sistemi tradizionali.
SIEM leggeri: aggregano log da tutte le fonti aziendali (email, VPN, cloud, server) e cercano pattern di attacco distribuiti. L'AI distingue il rumore — centinaia di alert irrilevanti — dagli eventi che richiedono attenzione reale. È lo strumento giusto per chi vuole visibilità sull'intera infrastruttura senza assumere un analista.
Anomaly detection sul traffico di rete: monitora chi si connette a cosa, quando, e da dove. Particolarmente utile nel manifatturiero per proteggere ambienti OT/IT connessi, dove i sistemi industriali comunicano con l'esterno in modo che un firewall tradizionale non riesce a interpretare.
| Livello | Tool principale | Costo mensile (10 dispositivi) | Minacce coperte |
|---|---|---|---|
| Base | Microsoft Defender for Business | ~30 €/mese | Malware noto, phishing, vulnerability scanning |
| Intermedio | SentinelOne Singularity SMB | 80–120 €/mese | Malware zero-day, ransomware, comportamenti anomali degli endpoint |
| Avanzato | CrowdStrike Falcon Go + Microsoft Sentinel | 300–500 €/mese | Attacchi APT, anomalie di rete, threat intelligence real-time |
Il livello base con Microsoft Defender for Business è già incluso in Microsoft 365 Business Premium (~22 €/utente/mese). Se la tua azienda usa già questa suite, non stai pagando nulla in più per un EDR con AI — il problema è che spesso non è attivato o configurato correttamente.
Il livello intermedio con SentinelOne è la scelta più equilibrata per PMI da 15 a 50 dipendenti: gestione centralizzata da un'unica console, risposta automatica agli incidenti, e un'interfaccia che non richiede un analista per interpretare gli alert. Il costo per CrowdStrike Falcon parte da circa $59.99 per dispositivo all'anno per il piano base.
Il livello avanzato da 300–500 €/mese è indicato per chi rientra nel perimetro NIS2 o gestisce dati particolarmente sensibili: proprietà intellettuale, dati clienti, infrastrutture critiche. Microsoft Sentinel applica un modello pay-per-GB (~2,46 $/GB ingestito) che scala in base alla dimensione dell'azienda.
Un'azienda della provincia di Brescia che produce componenti per il settore automotive. Nel 2025 un attacco ransomware ha criptato quattro server e bloccato la produzione per nove giorni. Il costo totale — fermo produzione, recupero dati, consulenza di emergenza — è stato di circa 85.000 euro. Non aveva backup recenti verificati. Il backup c'era, ma l'ultimo test risaliva a undici mesi prima.
Dopo l'incidente, l'azienda ha implementato SentinelOne su tutti i dispositivi, configurato backup automatici giornalieri con test mensili verificati, e attivato un sistema di monitoraggio remoto tramite agenti AI personalizzati, simili a quelli che Rayo configura su misura per le PMI manifatturiere, che integrano gli alert di sicurezza con il workflow operativo. Quando si verifica un evento critico, il sistema isola automaticamente il dispositivo e notifica il referente aziendale con un riepilogo chiaro — non un dump tecnico da decifrare alle 23.
Costo mensile: 120 euro. Rispetto al costo di un singolo incidente, il calcolo è immediato.
Il primo passo non è comprare software — è capire cosa proteggi e dove sono i rischi maggiori. Un audit di sicurezza iniziale che mappi dispositivi, accessi, backup e vulnerabilità esterne richiede 2-3 giorni e costa mediamente tra 1.500 e 3.000 euro. Non è un costo aggiuntivo: è la base per non spendere senza criterio.
Il secondo passo è scegliere il livello di protezione corretto in base a tre domande: sei nel perimetro NIS2? Che tipo di dati gestisci? Quanto ti costa un fermo operativo di 48 ore?
Il terzo passo è non gestire tutto da soli. Il monitoraggio degli alert, la risposta agli incidenti e la manutenzione della configurazione richiedono continuità che una persona sola non può garantire. Automatizzare la prima linea di risposta — triaging degli alert, isolamento automatico, notifiche strutturate ai referenti — è esattamente il tipo di lavoro che un agente AI gestisce bene, riducendo la dipendenza da un operatore umano disponibile a qualsiasi ora.
Cos'è la AI cybersecurity per PMI e a cosa serve concretamente? È l'applicazione di intelligenza artificiale agli strumenti di sicurezza informatica: EDR che proteggono i dispositivi rilevando comportamenti anomali, SIEM che aggregano e filtrano migliaia di log aziendali, sistemi di anomaly detection sul traffico di rete. Non sostituisce le pratiche di base (backup, aggiornamenti, password robuste), ma le rende molto più efficaci intercettando attacchi che i sistemi tradizionali non vedono.
La mia PMI è obbligata dalla NIS2? Se hai più di 50 dipendenti o superi i 10 milioni di fatturato e operi in un settore strategico — manifatturiero, logistica, energia, agroalimentare tra gli altri — probabilmente sì. Anche le PMI più piccole possono rientrare come fornitori di soggetti obbligati. La scadenza per le misure tecniche di sicurezza è il 31 ottobre 2026. L'ACN ha già notificato 20.000 organizzazioni e sta accelerando.
Quanto costa una protezione seria senza un team IT? Con 80–200 €/mese una PMI da 10–30 dipendenti ottiene una copertura intermedia con EDR AI-based e monitoraggio centralizzato. Il livello avanzato con threat intelligence real-time si colloca tra 300 e 500 €/mese per la stessa dimensione. Microsoft Defender for Business è già incluso in molti abbonamenti Microsoft 365 Business Premium — spesso è una questione di attivarlo e configurarlo correttamente.
L'AI può difendere da tutti gli attacchi informatici? No. L'AI riduce drasticamente i tempi di rilevamento e risposta e copre categorie di attacchi che i sistemi tradizionali non intercettano, come zero-day e comportamenti anomali. Ma un dipendente che clicca su un link di phishing molto sofisticato, o una password compromessa riutilizzata su più sistemi, rimane un rischio che nessuno strumento elimina completamente. La formazione del personale e le policy di accesso sono complementari, non alternative.
Cosa succede concretamente se subisco un attacco senza misure NIS2? Le sanzioni formali arrivano fino a 7 milioni di euro per i soggetti importanti, con responsabilità personale dell'amministratore delegato. Ma il danno più immediato è operativo: un fermo da ransomware per una PMI manifatturiera da 30-50 dipendenti costa tra 50.000 e 200.000 euro considerando produzione persa, recupero dati e consulenza. Le PMI senza backup verificati rischiano la perdita permanente di dati critici.