La cybersicurezza nell’Unione europea migliora, ma la minaccia resta “sostanziale”. È il giudizio del rapporto ENISA 2026 sullo stato della cybersicurezza nell’Ue, presentato il 10 novembre dall’Agenzia europea per la cybersicurezza: l’indice europeo di maturità si attesta a 71,53 punti su 100, mentre l’intelligenza artificiale accelera la scoperta e lo sfruttamento delle vulnerabilità.
In sintesi
- Il livello di minaccia informatica per l’Ue resta “sostanziale”.
- L’indice europeo di cybersicurezza 2026 vale 71,53 punti su 100.
- Gestione della catena di fornitura dei soggetti NIS2 a 89,91 punti; CSIRT nazionali a 54,76.
- Per il 70% delle organizzazioni dei settori critici la conformità normativa è il primo motore degli investimenti in sicurezza.
- Carenza di competenze in aumento dell’8% dal 2024; l’IA moltiplica sia gli attacchi sia le difese.
Rapporto ENISA 2026: cosa dice sulla cybersicurezza nell’Ue
Il “2026 Report on the State of Cybersecurity in the Union” è il documento biennale che l’ENISA redige insieme alla Commissione europea e al Gruppo di cooperazione NIS, come previsto dall’articolo 18 della direttiva NIS2. Secondo il comunicato dell’Agenzia, nel complesso la postura di sicurezza dell’Unione è migliorata rispetto all’edizione 2024, ma l’intero ecosistema è “in trasformazione” e il livello di minaccia resta sostanziale.
Il direttore esecutivo Juhan Lepassaar ha sottolineato che i recenti sviluppi dei modelli di IA di frontiera e alcuni incidenti informatici che hanno colpito sistemi di refrigerazione in diversi Paesi europei mostrano lacune operative e la necessità di condividere le informazioni in modo più rapido e coordinato.
L’indice europeo: 71,53 punti su 100
Per misurare la maturità dei Paesi membri l’ENISA utilizza l’EU Cybersecurity Index, che nel 2026 registra una media di 71,53 punti. La maggior parte degli Stati ha raggiunto un livello “maturo” o superiore. Nel dettaglio:
- attuazione delle politiche a livello nazionale: 66,72 punti;
- gestione della catena di fornitura dei soggetti essenziali e importanti: 89,91 punti, il valore più alto;
- maturità dei CSIRT, i gruppi di risposta agli incidenti: 54,76 punti, con forti differenze tra Paesi;
- cybersicurezza nell’istruzione: 73,59 punti nell’università, ma solo 55,44 nelle scuole primarie e secondarie;
- sistemi nazionali di certificazione: 55,56 punti;
- ricerca e sviluppo: 79,24 punti.
Le minacce: ideologia, geopolitica e intelligenza artificiale
Nel 2025 e nel 2026 le intrusioni sono rimaste numerose e varie. Secondo l’ENISA, l’ideologia è il principale motore degli incidenti, la geopolitica continua a orientare l’attività cyber, gli attacchi a scopo economico restano rilevanti e gli hacktivisti dominano per numero di attacchi. L’intelligenza artificiale agisce da moltiplicatore, sia per chi attacca sia per chi difende, e sta “industrializzando” la ricerca delle vulnerabilità: per questo servono capacità più rapide di gestione delle falle. Sul fronte positivo, i Paesi con una politica nazionale di divulgazione coordinata delle vulnerabilità sono passati da 7 a 17 dal 2024.
NIS2 e settori critici: la conformità spinge gli investimenti
Uno dei dati più interessanti per le imprese riguarda i settori critici: per il 70% delle organizzazioni la conformità normativa è il principale motivo degli investimenti in cybersicurezza. La maturità cresce, ma in modo disomogeneo tra settori, e l’IA rischia di ampliare il divario. L’ENISA raccomanda di rafforzare i settori in base alla loro criticità, superare i sistemi obsoleti, gestire meglio i rischi della catena di fornitura e prepararsi alla velocità delle minacce basate sull’IA.
Sul piano normativo l’Unione sta proseguendo nell’attuazione della direttiva NIS2, del Cyber Resilience Act e del Cyber Solidarity Act, mentre crescono gli sforzi per semplificare e coordinare le diverse regole. Sono in campo anche la proposta di Cybersecurity Act 2 e il Piano d’azione Ue su cybersicurezza e IA.
La bussola ENISA: cinque direzioni per il futuro
Il rapporto propone una “bussola strategica” con cinque direzioni: passare a un’attuazione efficace delle regole, rendendo coerente il quadro per chi opera in più Paesi; rafforzare la capacità operativa in caso di crisi; migliorare la preparazione delle infrastrutture critiche; gestire i rischi e le dipendenze lungo le catene di fornitura; investire su consapevolezza, competenze e formazione. Su quest’ultimo punto l’ENISA richiama il dato del World Economic Forum: il divario di competenze cyber è cresciuto dell’8% dal 2024.
Cosa significa per le imprese
Per le aziende italiane il rapporto ENISA conferma tre priorità. La prima è la conformità alla NIS2, che resta il principale motore degli investimenti in sicurezza nei settori critici e coinvolge anche i fornitori, visto il peso dato alla catena di fornitura. La seconda è la gestione delle vulnerabilità, sempre più urgente con l’uso dell’IA da parte degli attaccanti. La terza sono le competenze: in un mercato in cui gli specialisti scarseggiano, formazione del personale e supporto di consulenti di sicurezza informatica qualificati diventano parte della strategia. Per le PMI una leva utile è il Voucher Cloud e Cybersecurity del MIMIT. Altri aggiornamenti nella sezione Innovazione e Digitale di Portale Impresa.
Fonti: ENISA, comunicato stampa del 10 novembre 2026; ENISA, 2026 Report on the State of Cybersecurity in the Union.
