Studio «PMI Cybersicurezza 2026»: protezione tecnica solida, preparazione organizzativa debole

Il 22 ottobre 2026 è stato pubblicato lo studio «PMI Cybersicurezza 2026», realizzato dalla Mobiliare in collaborazione con l'Ufficio federale della cibersicurezza (UFCS), digitalswitzerland, la HES-SO Valais-Wallis, la HWZ Hochschule für Wirtschaft Zürich e la SATW. Il messaggio centrale, riassunto dall'UFCS: molte piccole imprese svizzere sono protette bene sul piano tecnico, ma restano lacune nella preparazione organizzativa. In altre parole, i backup ci sono, ma spesso nessuno ha mai provato a ripristinarli.

Di seguito le cifre principali dello studio e una lista di controllo pratica per le PMI che vogliono capire dove si trovano.

Lo studio in breve

Su incarico della Mobiliare, YouGov Schweiz ha intervistato tra il 24 giugno e il 10 luglio 2026 507 dirigenti di PMI svizzere con 1-49 collaboratori. Secondo gli autori i risultati sono rappresentativi per circa 614 400 PMI. Lo studio è pubblicato ogni anno dal 2020; il rapporto completo in italiano e una versione web sono disponibili su cyberstudie.ch.

• L'88% delle PMI considera la cybercriminalità un problema serio.
• Il 46% ritiene la cybersicurezza importante o molto importante, contro il 33% del 2025.
• Il 6% ha subito negli ultimi tre anni un ciberattacco con conseguenze gravi: estrapolato, oltre 35 000 PMI in Svizzera. Nelle imprese con almeno dieci collaboratori la quota arriva fino al 16%.
• Circa il 7% è già stato vittima di un'estorsione da parte di cybercriminali, pari a circa 45 000 PMI.
• La cybercriminalità è citata dal 23% tra i maggiori rischi strategici, alla pari con inflazione e aumento dei costi e con la carenza di personale qualificato.

Cosa fanno già bene le PMI

Le misure tecniche di base sono diffuse. Secondo lo studio l'83% delle PMI aggiorna regolarmente il software, molte usano e aggiornano un firewall e il 55% ha introdotto l'autenticazione a due o più fattori. Nove imprese su dieci eseguono backup regolari; solo il 4% non ne fa. Circa tre quarti delle aziende con backup conservano i dati in Svizzera.

Le misure più avanzate sono invece rare: solo il 35% usa una VPN per gli accessi esterni e il 15% separa la rete in segmenti. Anche il monitoraggio del traffico e le soluzioni di protezione basate sull'IA sono poco diffusi.

Dove restano le lacune

Le carenze riguardano soprattutto l'organizzazione:

• solo il 27% delle PMI con backup prova regolarmente a ripristinare i dati;
• solo il 31% forma regolarmente il personale sui rischi informatici;
• circa un terzo tiene un inventario sistematico di sistemi IT, dispositivi, software e servizi cloud;
• il 28% ha un piano di emergenza o di continuità operativa, il 28% un concetto di sicurezza documentato e il 28% valuta la sicurezza informatica dei propri fornitori;
• solo il 15% svolge audit di sicurezza.

Lo studio segnala anche una contraddizione: il 52% delle PMI giudica piuttosto basso il rischio di un attacco con interruzione dell'attività di almeno un giorno nei prossimi due o tre anni. Dalle risposte delle aziende colpite emerge inoltre che il danno più frequente non è quello finanziario, ma il grande lavoro necessario per rimettere in funzione i sistemi, seguito dal carico emotivo. Circa due imprese su cinque prevedono di rafforzare le misure di sicurezza nei prossimi tre anni.

L'intelligenza artificiale nel quadro delle minacce

L'81% delle PMI si aspetta che con l'IA la minaccia informatica continui ad aumentare. Allo stesso tempo, quasi la metà delle imprese intervistate non ha ancora avviato progetti con l'IA. Nel mese della cybersicurezza di ottobre 2026 l'UFCS e l'IFPDT hanno pubblicato raccomandazioni sull'uso dell'IA nel lavoro quotidiano: non inserire nei servizi di IA dati personali, dati dei clienti o segreti aziendali senza anonimizzarli, preferire le versioni business o enterprise agli account privati e verificare se i dati inseriti vengono usati per l'addestramento.

Lista di controllo per una PMI

La lista seguente riprende i settori della checklist dello studio, ridotti ai passi che anche una piccola impresa può fare in poche settimane:

1. Responsabilità: stabilire chi in azienda si occupa della sicurezza informatica e chi decide in caso di incidente, anche se è un compito parziale o affidato a un partner esterno.
2. Inventario: elencare computer, telefoni, sito web, domini, caselle email, servizi cloud e software, con il nome di chi li gestisce.
3. Test di ripristino: almeno una volta per trimestre ripristinare un file, una casella email o il sito da un backup e annotare quanto tempo serve.
4. Accessi: attivare l'autenticazione a più fattori o le passkey per email, cloud e amministrazione del sito; i livelli di sicurezza degli accessi sono descritti nel nostro articolo sui cinque livelli dell'UFCS.
5. Aggiornamenti: includere anche il sito web e il server; un esempio recente sono le vulnerabilità PHP di ottobre 2026.
6. Formazione: una breve sessione all'anno su phishing, fatture false e uso dei servizi di IA.
7. Piano di emergenza: una pagina con contatti (fornitore IT, hosting, assicurazione, banca), primi passi e criteri per segnalare l'incidente all'UFCS.
8. Fornitori: chiedere a chi gestisce sito, hosting e software come esegue backup, aggiornamenti e dove si trovano i dati.

Come lavora ElaraTeq Sagl

ElaraTeq Sagl gestisce siti e applicazioni per PMI ed enti in Ticino con hosting in Svizzera, backup e aggiornamenti regolari. Su richiesta verifichiamo che il ripristino del vostro sito funzioni davvero e documentiamo i passi in caso di guasto. Per una verifica contattateci.

Fonti

• UFCS, «PMI Cyber sicurezza 2026: La cybercriminalità diventa un rischio aziendale per le PMI svizzere», 22 ottobre 2026: bacs.admin.ch
• La Mobiliare e partner, «PMI Cibersicurezza 2026», rapporto PDF: cyberstudie.ch; risultati web e checklist: cyberstudie.ch
• Die Mobiliar, «Cyberstudie 2026» (in tedesco): mobiliar.ch
• inside-it.ch, «Schweizer KMU technisch geschützt vor Cyberangriffen», 22 ottobre 2026: inside-it.ch
• UFCS e IFPDT, «IA nel lavoro quotidiano: cogliere le opportunità, proteggere i dati», 16 ottobre 2026: bacs.admin.ch