Sicurezza informatica per PMI: cosa fare, da dove partire

Molti titolari di piccole imprese pensano che gli attacchi informatici riguardino le grandi aziende. Non è così: le truffe via email, le password rubate e i computer infettati colpiscono soprattutto chi ha meno difese, e spesso senza che nessuno se ne accorga. Questa guida alla sicurezza informatica per PMI (e per partite IVA e liberi professionisti) ti dice quali sono i rischi concreti, da quali azioni partire con poco tempo e poco budget, cosa prevede la normativa NIS2 e quando è il caso di rivolgersi a un professionista.

Informazioni generali sulla sicurezza informatica, non costituiscono parere legale o tecnico. VINDICIS è un software di autovalutazione: non può garantire che non subirai attacchi.

Sicurezza informatica per PMI: i rischi reali

Non servono scenari da film. Nella pratica, per una piccola impresa i problemi sono quattro:

1. Phishing e truffe via email, comprese le false fatture e i cambi di IBAN (vedi la truffa della fattura falsa).
2. Credenziali rubate: password dei dipendenti finite in violazioni di dati o raccolte da malware (password nei data breach: cosa fare).
3. PC infetti, soprattutto da infostealer (PC aziendali infettati).
4. Posta falsificabile: un dominio senza protezioni permette a chiunque di inviare messaggi che sembrano arrivare da te (SPF, DKIM e DMARC).

Il rapporto ENISA sul panorama delle minacce 2025, che analizza 4.875 incidenti tra luglio 2024 e giugno 2025, indica il phishing (comprese le varianti vocali e il malspam) come il principale canale di ingresso, con circa il 60% dei casi osservati. Leggi il rapporto sul sito ENISA. Il dato riguarda un campione di incidenti segnalati, non una stima su tutte le imprese italiane, ma il messaggio è chiaro: le persone e le caselle email sono il bersaglio.

Le 8 azioni da fare per prime

Sono ordinate per rapporto tra efficacia e impegno. Nessuna richiede un reparto IT.

1. Un account per persona, con password uniche

Niente account condivisi per email, gestionale o banca. Usa un gestore di password e password lunghe e diverse: leggi come creare una password sicura.

2. Autenticazione a due fattori su ciò che conta

Prima la posta, poi banca, gestionale, cloud e sito web. Meglio app o passkey che SMS: vedi come attivarla.

3. Aggiornamenti automatici

Sistema operativo, browser, router, gestionale: attiva gli aggiornamenti automatici. Molte intrusioni sfruttano falle già note e corrette.

4. Backup separati e provati

Una copia dei dati scollegata dalla rete, che hai provato a ripristinare almeno una volta. È la difesa principale contro il ransomware.

5. Procedura per i pagamenti

Ogni cambio di IBAN o di coordinate richiesto via email si verifica per telefono, a un numero che hai già. È la regola raccomandata dalla Polizia Postale: la trovi nel dettaglio nella guida alla truffa della fattura falsa.

6. Posta e dominio protetti

Verifica che il dominio abbia SPF, DKIM e DMARC configurati. Puoi farlo con lo strumento gratuito di controllo del dominio. Per verificare le password in uso c'è il controllo password.

7. Formazione breve e ripetuta

Dieci minuti ogni tanto su come riconoscere un messaggio sospetto valgono più di un corso lungo una volta. Condividi casi reali (sono utili anche le guide su smishing e finti operatori della banca).

8. Un controllo periodico di cosa è esposto

Le credenziali aziendali finiscono nelle violazioni senza che nessuno lo comunichi. Un controllo ricorrente degli indirizzi email dell'attività permette di accorgersene e di sistemare.

E la NIS2? Cosa dice l'ACN

La direttiva europea NIS2 è stata recepita in Italia con il decreto legislativo 138 del 4 settembre 2024, in vigore dal 16 ottobre 2024. Secondo l'Agenzia per la cybersicurezza nazionale (ACN), che è l'autorità competente:

• i soggetti si classificano come "essenziali" o "importanti" in base a settore e criticità; la norma copre molti settori e tipi di soggetto;
• le imprese medie e grandi sono incluse; le piccole e micro solo "in alcuni casi";
• gli obblighi comprendono la registrazione sulla piattaforma dell'ACN (ogni anno dal 1° gennaio al 28 febbraio), la gestione del rischio, la sicurezza della catena di fornitura e la notifica degli incidenti significativi a CSIRT Italia, obbligatoria dal gennaio 2026; l'ACN indica ottobre 2026 come termine per adottare le misure di sicurezza.

Questo non vuol dire che la tua piccola impresa sia automaticamente soggetta: dipende da settore, dimensioni e dai rapporti con clienti soggetti alla norma, che potrebbero chiederti requisiti nei contratti. Per capire se e come ti riguarda, verifica sul sito dell'ACN o rivolgiti a un professionista qualificato.

VINDICIS non rende la tua azienda conforme alla NIS2 e non sostituisce un percorso di conformità: è uno strumento di autovalutazione che ti aiuta a tenere buone abitudini di igiene informatica.

Se succede qualcosa: cosa fare nelle prime ore

1. Isola il computer interessato dalla rete (cavo o Wi-Fi) se sospetti un'infezione.
2. Cambia le password da un altro dispositivo pulito, a partire da email e banca.
3. Avvisa la banca se ci sono pagamenti sospetti; segnala alla Polizia Postale (commissariatodips.it; per urgenze 112/113). Per le frodi sui pagamenti la tempestività è decisiva.
4. Valuta gli obblighi privacy: se la violazione riguarda dati personali di clienti o dipendenti, il GDPR prevede la notifica al Garante entro 72 ore quando possibile (art. 33). Parlane subito con un professionista di fiducia.
5. Documenta cosa è successo: date, messaggi, azioni.

Cosa fa e cosa non fa un controllo mensile

Il piano mensile di VINDICIS per attività e professionisti (14,99 € al mese) controlla ogni mese fino a 10 indirizzi email verificati rispetto ai data breach noti e ai registri degli infostealer, valuta SPF, DKIM, DMARC e MTA-STS del dominio, offre il controllo password e il toolkit GDPR. Ogni mese ricevi un report che ti dice quali problemi risultano ancora aperti e, se emerge qualcosa di grave e nuovo, un avviso immediato. Per i dettagli vedi la pagina per PMI e partite IVA.

Non è un antivirus, non monitora i tuoi computer e non offre garanzie di protezione: ti mostra ciò che le fonti pubbliche sanno già dei tuoi indirizzi e del tuo dominio, perché tu possa intervenire. Per un primo controllo puoi partire dalla scansione gratuita.

Domande frequenti

Una piccola impresa è davvero un bersaglio?

Sì, in genere non come obiettivo specifico, ma perché gli attacchi sono automatizzati e colpiscono chi ha difese deboli. Una fattura falsa o una password riusata non guardano alle dimensioni dell'azienda.

Da dove iniziare se ho poco tempo?

Da tre cose: password uniche con gestore, autenticazione a due fattori sulla posta e sulla banca, e una procedura di verifica telefonica per i cambi di IBAN. Poi backup e aggiornamenti.

La NIS2 riguarda anche me se ho pochi dipendenti?

Dipende. L'ACN indica che le piccole e micro imprese sono coinvolte solo in alcuni casi. Verifica sul sito dell'ACN o con un professionista, tenendo conto anche delle richieste dei clienti nei contratti.

Posso controllare gli indirizzi email dei miei dipendenti?

Solo quelli che possiedi o che sei autorizzato a controllare, e ognuno va verificato con un codice inviato a quella casella: chi legge la posta è chi sblocca i dettagli.

Basta un software come VINDICIS per essere sicuri?

No. Nessuno strumento garantisce la sicurezza. VINDICIS aiuta a individuare problemi esposti nelle fonti pubbliche; servono anche aggiornamenti, backup, formazione e procedure.