Quando una PMI scopre un lunedì mattina che i suoi backup sono stati crittografati durante il fine settimana, la questione non è più se la cybersicurezza sia un tema prioritario. Il ransomware ha colpito, il team IT improvvisa, e la direzione si rende conto che il piano di ripristino era annotato su un post-it. Questo scenario si verifica sempre più spesso, anche in strutture che pensavano di aver coperto le basi.
Le notizie cyber del 2026 non si limitano a un elenco di vulnerabilità corrette o di gruppi di hacker smantellati. Mettono in luce scostamenti concreti tra ciò che le normative richiedono, ciò che gli strumenti promettono e ciò che i team sul campo possono realmente assorbire.
NIS2 in Francia: un obbligo che non esiste ancora sulla carta
Si parla di NIS2 in tutti i webinar da due anni. I consulenti vendono audit di conformità, gli editori espongono badge “NIS2 ready” sulle loro soluzioni. Sul campo, la realtà giuridica è ben diversa.
La direttiva europea NIS2 (UE 2022/2555) doveva essere trasposta in diritto nazionale entro il 17 ottobre 2024. Tuttavia, al 11 settembre 2026, nessuna legge francese di trasposizione è stata promulgata. Il progetto di legge Resilienza è ancora in fase di esame parlamentare, senza un calendario fermo per la pubblicazione dei decreti attuativi.
La conseguenza diretta per le aziende francesi: gli obblighi NIS2 non sono giuridicamente opponibili finché la legge e i suoi decreti non sono pubblicati. Si possono seguire le notizie su Cyber Vista per misurare il divario tra gli annunci normativi e la loro traduzione operativa.
Questo non significa che si debba aspettare. Le aziende che lavorano già con partner europei soggetti a NIS2 nel loro paese (Germania, Belgio, Paesi Bassi) subiscono una pressione contrattuale reale. I loro clienti e committenti richiedono garanzie di conformità, legge francese o meno.
DORA e settore finanziario: la regolamentazione che si applica davvero dal 2025
Mentre NIS2 stenta in Francia, un altro testo europeo produce già i suoi effetti. Il regolamento DORA (UE 2022/2554) è direttamente applicabile dal 17 gennaio 2025, senza necessità di trasposizione. Riguarda banche, assicuratori, gestori di attivi, fornitori di pagamento e i loro fornitori TIC critici.
Sul campo, DORA impone requisiti precisi di resilienza operativa digitale. I team IT degli istituti finanziari devono mappare le loro dipendenze dai fornitori terzi, testare regolarmente le loro capacità di ripristino e documentare ogni incidente significativo.
Per le fintech e i fornitori di cloud che servono il settore finanziario, il cambiamento è tangibile. Un fornitore di servizi di hosting che non può dimostrare la sua conformità a DORA rischia di perdere i contratti bancari. I feedback variano sulla reale carica di conformità a seconda delle dimensioni della struttura, ma il quadro giuridico non lascia spazio a dubbi.
Ransomware nel 2026: il furto di dati sostituisce la crittografia pura
Il rapporto mondiale 2026 sulla risposta agli incidenti della Unit 42 di Palo Alto Networks documenta un’evoluzione notevole. La crittografia dei dati appare nel 78% dei casi di estorsione registrati nel 2025, in calo rispetto ai livelli superiori al 90% tra il 2021 e il 2024.
Questo calo della crittografia non significa che la minaccia si stia attenuando. Il furto puro di dati si impone come metodo di estorsione a tutti gli effetti. Gli aggressori esfiltrano i file sensibili e minacciano di pubblicarli, senza preoccuparsi di crittografare nulla. La pressione si esercita sulla reputazione e sulla conformità normativa della vittima, non sulla indisponibilità dei suoi sistemi.
Per i team di difesa, questo cambiamento modifica le dinamiche operative:
- La rilevazione delle esfiltrazioni di dati (movimenti laterali, trasferimenti voluminosi verso l’esterno) diventa più critica rispetto alla sola protezione anti-ransomware classica
- I piani di ripristino dopo incidente devono integrare un aspetto di comunicazione di crisi e notifica normativa, non solo il ripristino dei backup
- La segmentazione della rete e il controllo degli accessi privilegiati limitano la superficie di esfiltrazione molto più efficacemente delle soluzioni di decrittazione a posteriori
Ciò che cambia nella postura di sicurezza quotidiana
Non ci si può più limitare a verificare che i backup funzionino. Monitorare i flussi in uscita dalla rete diventa una priorità operativa. Un picco di trasferimento verso un server esterno alle 3 del mattino dovrebbe attivare un allerta, non un log che nessuno consulta prima di lunedì.
IA offensiva e phishing mirato: la minaccia che avanza più rapidamente
Il phishing personalizzato tramite IA generativa e i deepfake vocali figurano tra i vettori d’attacco che progrediscono più rapidamente.
Sul campo, si osserva che gli attacchi di phishing generati da IA sono grammaticalmente impeccabili e contestualizzati. Un’email fraudolenta può riprendere il nome di un progetto interno, lo stile di scrittura di un collega, o addirittura imitare la voce di un dirigente durante una telefonata. Bastano pochi secondi di registrazione vocale per addestrare un modello credibile.
Di fronte a questa crescente potenza, le formazioni classiche di sensibilizzazione al phishing mostrano i loro limiti. Chiedere ai collaboratori di individuare errori di ortografia non funziona più quando l’IA non ne fa.
- Le simulazioni di phishing devono includere scenari generati da IA, con pretesti contestuali realistici
- La verifica dell’identità tramite un secondo canale (richiamo telefonico, conferma su messaggistica interna) rimane la difesa più affidabile contro i deepfake vocali
- Gli strumenti di rilevamento comportamentale sulle messaggerie (analisi dei pattern di invio, degli allegati insoliti) completano utilmente i filtri anti-spam tradizionali
Cybersecurity delle PMI: un divario che si approfondisce con le grandi aziende
Le grandi aziende investono in SOC, reclutano analisti, distribuiscono soluzioni EDR su ogni postazione. Le PMI, invece, spesso operano con un fornitore informatico generalista che gestisce sia la stampante di rete che la politica delle password.
La maggior parte delle PMI francesi non ha né un CISO dedicato né un piano di risposta agli incidenti formalizzato. Quando un ransomware colpisce, la prima reazione è chiamare il fornitore abituale, che non ha sempre le competenze forensi necessarie.
I dispositivi di supporto esistono (Cybermalveillance.gouv.fr, diagnosi regionali), ma la loro adozione rimane lenta. Il principale freno non è il budget software, ma il tempo umano. In una struttura di 30 persone, nessuno ha tre giorni da dedicare a un audit di maturità cyber.
Il divario normativo attorno a NIS2 non aiuta. Senza un obbligo legale chiaro, la cybersicurezza continua a essere percepita come un centro di costo, non come una condizione di sopravvivenza operativa. Gli incidenti recenti, come le fughe di dati che hanno colpito quasi la metà dei francesi secondo Cybermalveillance.gouv.fr, dovrebbero però bastare a cambiare questa percezione.
