ENISA Threat Landscape 2026: il rischio informatico si sposta sulla filiera

L'Agenzia dell'Unione europea per la cybersicurezza (ENISA) ha pubblicato il 22 settembre il Threat Landscape 2026, il report annuale che analizza l'andamento delle minacce informatiche osservate nell'Unione. Il documento si basa sull'analisi di 8.257 incidenti registrati tra il 1° gennaio e il 31 dicembre 2025 e riguarda direttamente le imprese e gli enti rientranti nel perimetro della direttiva NIS2, oltre ai consulenti e ai responsabili IT che ne seguono gli adempimenti.

Il dato più rilevante per chi gestisce la conformità NIS2 riguarda la distribuzione settoriale: la pubblica amministrazione risulta il comparto più colpito, con il 31,8% degli eventi complessivi, davanti a servizi alle imprese (8,5%), trasporti (8%), manifatturiero (6,9%) e settore finanziario (5,6%). Tra le tecniche osservate, gli attacchi DDoS rappresentano il 51,3% degli eventi registrati e gli accessi non autorizzati il 39,5%, mentre il ransomware resta, secondo ENISA, la minaccia con l'impatto più immediato sulla continuità operativa.

Le vulnerabilità e il fattore tempo

Nel 2025 sono state pubblicate oltre 48.000 nuove vulnerabilità (CVE), in crescita del 22% rispetto all'anno precedente. Negli incidenti di accesso non autorizzato per i quali è stato possibile individuare il vettore iniziale, il 60,4% ha coinvolto lo sfruttamento di una vulnerabilità nota, a conferma dell'importanza di una gestione tempestiva delle patch per i soggetti obbligati dalla NIS2.

La supply chain come punto debole

Il capitolo più utile per le imprese riguarda le dipendenze digitali: il report conferma che le dipendenze informatiche ampliano la superficie di attacco e richiedono un nuovo livello di attenzione per prevenire e mitigare l'impatto degli incidenti informatici. Il rapporto richiama in particolare compromissioni di software, repository, librerie e pacchetti di sviluppo, elementi spesso considerati parte ordinaria dell'attività tecnologica ma che di fatto ampliano il perimetro di rischio anche quando infrastrutture e personale appartengono a fornitori terzi.

Il manifatturiero è l'esempio più evidente di questa dinamica: il settore pesa per il 6,9% degli eventi complessivi ma raccoglie il 25,2% delle rivendicazioni ransomware europee, la quota più alta tra tutti i comparti, davanti ai servizi alle imprese (18,7%).

Cosa cambia per le imprese

Il report non introduce nuovi obblighi né modifica le scadenze previste dalla NIS2 o dal GDPR. Per i soggetti tenuti alla valutazione periodica del rischio, il documento fornisce però un quadro aggiornato da integrare nei risk assessment: questionari ai fornitori, clausole contrattuali e registri dei fornitori restano strumenti utili solo se preceduti da un'analisi reale delle dipendenze critiche dell'organizzazione, non il contrario.