Quando le aziende parlano di incidenti di sicurezza, pensano innanzitutto alle sanzioni. Le sanzioni del Regolamento generale sulla protezione dei dati fanno notizia, e sono reali. Nel conto di un incidente che colpisce una media impresa, però, spesso non sono la voce più pesante, e talvolta nemmeno la seconda.
Le voci costose stanno altrove: nell'accertamento, nel ripristino, nel fermo dell'attività e nei clienti che non tornano. Questo articolo mette in ordine le tipologie di costo e indica cifre là dove esistono fonti attendibili. Dove non esistono, lo diciamo esplicitamente, perché importi in euro stimati a caso non aiutano nessuno a prendere una decisione di investimento.
«La maggior parte delle aziende non sottovaluta la sanzione. Sottovaluta le settimane in cui nulla funziona e i clienti che dopo non fanno più richieste.» – Thomas Werner, CCO Eucerta AG e Lead Auditor
Ciò che è documentato: i costi aumentano e i bersagli si sono fatti più piccoli
L' IBM Cost of a Data Breach Report 2026 indica per le violazioni dei dati un costo medio a livello mondiale di 4,99 milioni di dollari USA: il dodici per cento in più rispetto all'anno precedente e un valore record. Il rapporto attribuisce l'aumento, tra l'altro, ai maggiori costi di rilevamento, escalation e interruzione dell'attività. Inoltre segnala una crescita del 56 per cento degli attacchi supportati dall'IA.
Vanno aggiunte due precisazioni. In primo luogo, questa media è determinata dalle grandi organizzazioni e non è trasferibile a un'azienda con 25 collaboratori. In secondo luogo, descrive le violazioni dei dati, non ogni fermo operativo. Per capire in quale direzione si stia muovendo il rischio, resta comunque il riferimento più solido disponibile.
Chi viene effettivamente colpito lo mostra il rapporto del BSI sulla situazione della sicurezza informatica in Germania 2025. Per il periodo di riferimento dal 1° luglio 2024 al 30 giugno 2025 il BSI descrive uno spostamento da attacchi grandi e complessi verso molti attacchi piccoli e semplici da realizzare: circa l'80 per cento degli attacchi segnalati, ad esempio con ransomware, era diretto contro piccole e medie imprese, alle quali spesso mancano i mezzi e le conoscenze per proteggersi autonomamente. Inoltre, nel periodo di riferimento sono state rese note in media 119 nuove vulnerabilità al giorno, circa il 24 per cento in più rispetto al periodo precedente.
Il messaggio che emerge da entrambe le fonti è questo: gli aggressori cercano di preferenza bersagli mal protetti e i costi per incidente crescono.
Le quattro tipologie di costo che si presentano davvero
Invece di un importo complessivo che nessuno può quantificare seriamente per una singola PMI, conviene guardare alla struttura. Quattro blocchi si presentano quasi sempre.
Accertamento e ripristino
Non appena un incidente viene rilevato, inizia il lavoro: isolare i sistemi, individuare la causa, determinare l'estensione, identificare i dati coinvolti. Nella maggior parte delle PMI questo lavoro richiede supporto esterno, perché internamente manca la competenza specialistica. Segue poi il ripristino: reinstallare i sistemi, recuperare i dati, riassegnare gli accessi, chiudere le falle.
Il principale fattore di costo, qui, è la preparazione. Chi dispone di backup aggiornati e testati e sa quali sistemi devono tornare operativi e in quale ordine accorcia notevolmente questa fase. Chi chiarisce entrambe le cose solo durante l'incidente paga ore di ricerca invece che di ripristino.
Fermo dell'attività
Il blocco spesso sottovalutato. Con una rete cifrata non si ferma l'IT, si ferma il business: niente ordini, niente consegne, niente fatturazione. Questa voce ogni azienda può stimarla da sé, e in modo più preciso di qualsiasi studio: prenda il suo fatturato medio giornaliero e lo moltiplichi per il numero di giorni in cui riuscirebbe a lavorare senza i suoi sistemi centrali. Il risultato è il suo personale indice di rischio, e di solito è più convincente di qualunque media internazionale.
Obblighi di notifica e conseguenze giuridiche
Il Regolamento generale sulla protezione dei dati impone, in caso di violazione dei dati personali, una notifica all'autorità di controllo entro 72 ore e, a determinate condizioni, anche la comunicazione alle persone interessate. Allo stesso tempo richiede misure tecniche e organizzative adeguate al rischio. Ne derivano oneri per consulenza legale, comunicazione e richieste di chiarimento, indipendentemente dal fatto che alla fine venga comminata una sanzione.
Per la commisurazione di una sanzione è rilevante, tra l'altro, quali misure tecniche e organizzative l'azienda avesse adottato. È esattamente su questo punto che un sistema di gestione documentato ripaga due volte: riduce la probabilità che l'evento si verifichi e, nel caso concreto, dimostra la diligenza adottata.
Perdita di fiducia
Il blocco più difficile da quantificare e quello con l'effetto più duraturo. I clienti che vengono a conoscenza di un incidente fanno domande, rinnovano più tardi o cambiano fornitore. Nel caso dei clienti business si aggiunge il fatto che l'incidente finisce nella loro valutazione dei fornitori.
`[DA VERIFICARE: qui un'affermazione documentata sarebbe efficace. Proposta: aggiungere una fonte sull'abbandono dei clienti dopo incidenti di sicurezza oppure, se disponibile, un'osservazione anonimizzata tratta dagli audit Eucerta. Senza riscontro il paragrafo resta qualitativo, così com'è ora.]`
Che cosa cambia la ISO 27001 in questo conto
La ISO 27001 agisce su due fronti, ed è onesto tenerli distinti.
In chiave preventiva: un sistema di gestione della sicurezza delle informazioni obbliga a compiere i passi che nella quotidianità restano indietro. Si stabilisce quali informazioni e quali sistemi meritino effettivamente protezione, si valutano i rischi in modo tracciabile e si decide in modo motivato sulle misure. Le 93 misure dell'Allegato A vengono esaminate una per una, ciascuna con una decisione motivata, compresa la decisione di non adottare una misura. Gestione degli accessi, aggiornamenti, formazione e rapporti con i fornitori non sono raccomandazioni, ma componenti del sistema. Ciò coincide con quanto il BSI indica come leva decisiva: una gestione coerente delle proprie superfici di attacco.
In chiave di contenimento del danno: quando l'incidente accade, è la preparazione a determinare i costi. Un SGSI richiede procedure definite per gli incidenti di sicurezza, responsabili nominati, ripristino verificato e canali di comunicazione documentati. Al posto dell'improvvisazione nelle prime ore c'è una sequenza. Questo riduce i tempi di fermo e quindi il blocco più costoso del conto.
Va detto altrettanto chiaramente ciò che la ISO 27001 non fa: non è una garanzia contro gli attacchi, e un certificato che esiste solo sulla carta non protegge nessuno. Ciò che viene verificato non è quindi il raccoglitore, ma l'efficacia: maggiori informazioni sulla nostra pagina dedicata alla ISO 27001.
Come si presenta il lato dell'investimento
Il conto opposto, in Eucerta, è trasparente: 179 euro al mese per la prima norma, 149 euro per ogni norma aggiuntiva, durata 36 mesi, prezzo fisso per aziende fino a 30 collaboratori. Verifica e registrazione sono incluse, il certificato è valido tre anni dalla data dell'audit e tra un audit e l'altro il sistema resta aggiornato nella piattaforma. È possibile rifare i calcoli nel calcolatore dei costi.
Spesso è utile la combinazione con la ISO 9001, perché entrambe le norme condividono la stessa struttura di base e contesto, leadership, audit interni e riesame della direzione si svolgono una sola volta: il principio è descritto nella nostra pagina sul sistema di gestione integrato. Chi gestisce già il proprio SGSI e ha bisogno solo dell'attestazione trova le condizioni nella certificazione express.
Conclusione
La risposta onesta alla domanda del titolo è: dipende dal suo fatturato giornaliero, dai suoi backup e dalla sua preparazione, ed è proprio per questo che può fare il conto da sé, meglio di quanto qualsiasi studio possa farlo al posto suo.
Ciò che è documentato: i costi per incidente aumentano e circa l'80 per cento degli attacchi segnalati colpisce piccole e medie imprese. Ciò che ne deriva non è il panico, ma una priorità. Un sistema di gestione per la sicurezza delle informazioni è la risposta strutturata a entrambi i dati, e ha un costo pianificabile, cosa che un incidente non ha mai.
Il suo prossimo passo: calcoli il suo numero – fatturato giornaliero per giorni di fermo – e lo confronti nel calcolatore dei costi con il prezzo della sua certificazione.
Approfondimenti:
