Nei primi sei mesi del 2026 il recente rapporto Clusit ha registrato 45 incidenti noti nel manifatturiero italiano, su 245 incidenti complessivi rilevati nel Paese. La quota del settore raggiunge così il 18,4% del totale, contro il 12,4% dell’intero 2025. Nel mondo, nello stesso semestre, il manifatturiero conta 267 incidenti e rappresenta il 5,4% del totale. Il suo peso relativo in Italia è quindi molto più alto di quello osservato a livello globale.
Il dato italiano non dimostra da solo che le aziende manifatturiere siano più vulnerabili: mostra però quanto il comparto abbia un’incidenza rilevante tra gli episodi osservati nel Paese. Anche la crescita va letta su più piani. Nel 2025 gli incidenti manifatturieri erano aumentati in Italia dell’8,6%, contro il 69,5% a livello globale. Nel primo semestre 2026 i casi italiani sono già 45, rispetto ai 63 dell’intero anno precedente. Se il ritmo restasse costante, la proiezione lineare porterebbe a circa 90 episodi a fine anno. È una stima, non un consuntivo, ma indica che il rallentamento registrato nel 2025 non basta a parlare di inversione.
Il cybercrime punta a fermare la produzione!
In Italia il cybercrime è associato al 98% degli incidenti manifatturieri rilevati nel primo semestre; a livello globale la quota è del 97%. Hacktivism, spionaggio e altre categorie restano marginali. Questa prevalenza suggerisce che molte imprese vengano colpite soprattutto per il valore economico dell’interruzione: bloccare sistemi e processi può fermare linee produttive, ritardare consegne e propagare gli effetti lungo la filiera.
La dipendenza dalla continuità produttiva rende quindi l’indisponibilità una leva economica. Un attacco può puntare a sottrarre informazioni, bloccare sistemi o compromettere la capacità di riprendere le attività nei tempi attesi. Anche quando la produzione non viene fermata, l’incertezza su quali sistemi siano affidabili può rallentare le decisioni e imporre verifiche prima del riavvio. Questo cambia il modo di valutare il rischio. Per un’impresa industriale, la domanda centrale non è soltanto quali dati potrebbero essere esposti, ma quali funzioni verrebbero meno e per quanto tempo se un sistema o una connessione non fosse più disponibile.
La produzione moderna, infatti, dipende da scambi tra sistemi aziendali, macchinari, sensori e servizi di manutenzione remota. Questi collegamenti rendono possibile coordinare le attività e intervenire sugli impianti, ma fanno sì che un problema di sicurezza possa attraversare confini organizzativi e tecnologici. Ma c’è di peggio. La pressione non riguarda soltanto il perimetro della singola azienda: fornitori, partner e operatori che accedono da remoto possono estendere la superficie esposta, per questo la valutazione del rischio deve considerare le dipendenze operative e i collegamenti tra ambienti, oltre ai singoli apparati.
Se è vero che non ogni incidente informatico raggiunge automaticamente le reti di fabbrica, la separazione tra IT e OT non può essere data per scontata quando esistono integrazioni, credenziali condivise o collegamenti di assistenza. Conoscere gli asset, le comunicazioni necessarie e le dipendenze tra processi permette di capire dove un evento può propagarsi e quali attività devono essere protette per prime.
È qui che la cybersecurity incontra la gestione industriale: le scelte tecniche devono tenere conto dei vincoli di produzione e delle conseguenze di un fermo. Segmentare gli ambienti, limitare gli accessi e osservare le comunicazioni anomale serve a ridurre la possibilità che una compromissione si estenda e a circoscrivere l’area da verificare.
Malware e gravità degli incidenti
Nel manifatturiero italiano, il malware è la tecnica associata all’89% degli incidenti osservati nel primo semestre 2026, rispetto al 76% del 2025. La sua prevalenza indica quanto il software malevolo rimanga centrale nelle compromissioni del settore, ma richiede una distinzione: questa classificazione non chiarisce necessariamente come gli attaccanti siano entrati nei sistemi.
Un malware può essere la fase più visibile di un attacco iniziato attraverso credenziali sottratte, un servizio esposto, un’attività di social engineering o lo sfruttamento di una vulnerabilità. Per le imprese, quindi, il dato invita a guardare anche alle condizioni che hanno reso possibile la compromissione. Individuare il software malevolo è fondamentale; ricostruire il percorso dell’attacco permette di capire quali accessi e collegamenti siano stati utilizzati e dove intervenire per evitare che l’episodio si ripeta.
Anche l’aumento della quota di malware va interpretato considerando la qualità delle informazioni disponibili. In Italia, nello stesso periodo, gli incidenti con tecnica non divulgata scendono dal 21% al 7%. Una parte della variazione potrebbe quindi riflettere una maggiore capacità di descrivere e classificare gli eventi, oltre a un’effettiva crescita delle campagne malevole. A livello globale, invece, quasi metà degli incidenti resta priva di informazioni pubbliche sulla tecnica impiegata. Questa differenza limita la possibilità di confrontare direttamente i due scenari e di ricostruire con precisione i meccanismi di compromissione.
Sul fronte della gravità, la diminuzione degli incidenti italiani classificati come Critical, dal 13% al 7%, rappresenta un segnale favorevole. Tuttavia, nello stesso periodo gli eventi High aumentano dall’81% al 91%. Nel complesso, le due categorie arrivano a comprendere il 98% dei casi osservati: il campione mostra quindi una minore quota di episodi critici, accompagnata da una concentrazione ancora più elevata di incidenti con conseguenze rilevanti.
Per un’impresa manifatturiera questa lettura ha un significato operativo preciso. Anche un incidente classificato High può compromettere funzioni necessarie alla produzione e richiedere attività di contenimento, verifica e ripristino. La severity descrive la gravità dell’evento; per decidere come affrontarlo, l’azienda deve collegarla ai propri processi e alle dipendenze tra sistemi.
Diventa quindi essenziale valutare quanto tempo una funzione possa restare indisponibile, quali attività ne dipendano e quali condizioni siano necessarie per riprenderla in sicurezza. È su queste risposte che si costruiscono le priorità di protezione e i piani di continuità. I dati sulla gravità rafforzano così l’esigenza di affiancare alla prevenzione una capacità di risposta capace di circoscrivere la compromissione e ridurre la durata dell’interruzione.
Dalla protezione al concetto di resilienza operativa
Per le imprese manifatturiere, costruire resilienza significa prepararsi a mantenere le attività essenziali e a ripristinare quelle compromesse in condizioni controllate. La sicurezza deve quindi partire dalla conoscenza dei processi produttivi: quali sistemi sostengono una linea, quali collegamenti ne consentono il funzionamento e quali conseguenze avrebbe la loro indisponibilità.
L’inventario degli asset è un primo passo, ma acquista utilità quando viene collegato alle dipendenze operative. Un sistema può sembrare secondario nella mappa tecnologica e risultare indispensabile per pianificare la produzione, gestire un magazzino o accedere alle informazioni necessarie a un impianto. Comprendere queste relazioni permette di stabilire priorità di protezione e ripristino coerenti con l’attività aziendale. Consente anche di valutare dove un’interruzione potrebbe estendersi ad altri reparti o influire sugli impegni verso clienti e fornitori.
La segmentazione degli ambienti contribuisce a circoscrivere questo rischio. Separare reti con funzioni diverse e consentire soltanto le comunicazioni necessarie può limitare la propagazione di una compromissione. Per essere efficace, però, la segmentazione deve riflettere il funzionamento reale della fabbrica: occorre conoscere i flussi tra sistemi, verificare le integrazioni e considerare le esigenze di assistenza. Anche gli accessi remoti devono essere governati in base alle attività da svolgere, con autorizzazioni appropriate e possibilità di ricostruire gli interventi effettuati.
Il monitoraggio completa questa conoscenza attraverso l’osservazione dei comportamenti. Individuare una comunicazione insolita, un accesso inatteso o una modifica non prevista permette di avviare verifiche prima che l’evento coinvolga ulteriori sistemi. L’utilità di un segnale dipende però dalla capacità di interpretarlo nel contesto produttivo e di tradurlo in una decisione. Per questo i responsabili della sicurezza devono poter collaborare con chi conosce gli impianti e i vincoli delle attività industriali:
una collaborazione che diventa decisiva durante un incidente. Definire in anticipo responsabilità, criteri di intervento e modalità di comunicazione aiuta a prendere decisioni tempestive, valutandone gli effetti operativi. I piani di risposta devono quindi essere costruiti insieme alle funzioni produttive e verificati attraverso esercitazioni che mettano alla prova scenari plausibili.
Anche il ripristino richiede preparazione. Disporre di copie dei dati è essenziale, ma la ripartenza può dipendere dalla disponibilità di configurazioni, applicazioni e competenze necessarie a ricostruire il funzionamento dei sistemi. Occorre quindi conoscere l’ordine in cui riattivare le funzioni, verificare le dipendenze e accertare che la causa della compromissione sia stata rimossa. Le prove di recupero permettono di valutare se i tempi previsti siano compatibili con le esigenze della produzione e dove servano interventi aggiuntivi.
Il quadro Clusit quindi rafforza l’esigenza di affrontare la cybersecurity come parte della gestione industriale. Il peso degli incidenti nel manifatturiero italiano e la loro gravità richiedono che le decisioni di sicurezza tengano conto della disponibilità degli impianti e della continuità dei processi. La resilienza prende forma quando l’azienda conosce le proprie dipendenze, sa contenere un evento e dispone di un percorso verificato per riprendere le attività.
Fonti:
clusit.it
zerounoweb.it
