Lo studio «Cibersicurezza delle PMI 2026», pubblicato il 22 ottobre 2026, mostra che il 6% delle piccole e medie imprese (PMI) svizzere ha subito un ciberattacco grave negli ultimi tre anni. Condotto dalla Mobiliare con digitalswitzerland, alcune scuole universitarie e l'Ufficio federale della cibersicurezza (UFCS), rileva inoltre che il 7% delle PMI è già stato vittima di estorsione. E l'81% si aspetta minacce più forti con l'intelligenza artificiale (IA).

Che cosa misura lo studio

L'indagine si basa sulle risposte di 507 dirigenti di PMI con da 1 a 49 collaboratori. L'istituto YouGov Svizzera li ha interpellati dal 24 giugno al 10 luglio 2026. Secondo gli autori, i risultati sono rappresentativi di circa 614 400 PMI, in tutte le regioni linguistiche.

Si tratta della settima edizione di una serie annuale avviata nel 2020. La Mobiliare la conduce con digitalswitzerland, la Scuola universitaria professionale della Svizzera occidentale (HES-SO) Valais-Wallis, la Scuola universitaria professionale HWZ di Zurigo e l'Accademia svizzera delle scienze tecniche (SATW). L'UFCS sostiene il progetto.

Le cifre chiave dell'edizione 2026

  • Il 6% delle PMI ha subito un ciberattacco grave in tre anni, ossia oltre 35 000 imprese secondo l'estrapolazione degli autori.
  • Tra le PMI con almeno dieci collaboratori, questa quota raggiunge fino al 16%.
  • Il 7% è già stato vittima di estorsione, ossia circa 45 000 PMI; alcune hanno persino pagato un riscatto.
  • L'88% considera la cibercriminalità un problema serio.
  • Il 45% ritiene la cibersicurezza importante o molto importante, contro il 33% nel 2025.
  • Solo un quarto testa regolarmente il ripristino dei propri backup.

L'estorsione colpisce soprattutto le PMI più grandi, oltre all'industria e all'edilizia, precisa lo studio.

Un aumento da leggere con prudenza

La quota delle PMI colpite cresce rispetto alle due edizioni precedenti. Era del 4% nel 2024 come nel 2025, e sale al 6% nel 2026.

Indicatore202420252026
PMI interpellate526515507
Ciberattacco grave in tre anni4%4%6%
Cibersicurezza ritenuta importante o molto importante–33%45%

Il trattino segnala un dato che le nostre fonti non forniscono. La definizione di attacco grave è ampia. Comprende un danno finanziario o di reputazione, un grosso lavoro di ripristino o un forte carico emotivo. Sono conteggiati solo gli attacchi di cui le imprese sono a conoscenza.

La nostra analisi: con circa 500 rispondenti per edizione, uno scarto di due punti resta modesto. Lo studio non precisa se sia statisticamente significativo. La tendenza più netta riguarda piuttosto l'importanza attribuita al tema, che risale dopo un calo l'anno precedente.

L'IA preoccupa, ma resta poco utilizzata

Quattro PMI su cinque pensano che l'IA aumenterà la minaccia. Gli autori ritengono plausibile che i cibercriminali se ne servano per i loro attacchi.

Il paradosso sta in un'altra cifra: quasi la metà delle PMI non ha ancora avviato alcun progetto di IA. L'IA appare quindi al tempo stesso come un'opportunità economica e come un rischio supplementare.

Lo scarto tra percezione e azione si legge anche nelle risposte. L'80% dei dirigenti dice di conoscere le minacce, e il 66% ritiene che le misure di protezione riducano il pericolo. Ma solo il 36% giudica queste misure semplici da attuare.

Ben protette sul piano tecnico, meno preparate nell'organizzazione

Le PMI svizzere dispongono di buone basi tecniche, secondo lo studio. Oltre l'80% installa gli aggiornamenti, nove su dieci effettuano backup, e l'autenticazione a più fattori è diffusa.

Il ritardo riguarda l'organizzazione. Solo un terzo circa delle PMI forma regolarmente il proprio personale o tiene un inventario dei propri sistemi informatici. I piani d'emergenza, gli audit di sicurezza e il controllo della sicurezza dei fornitori restano nettamente meno diffusi.

«Non basta salvare i dati. Le PMI devono verificare regolarmente se sono in grado di riprendere rapidamente la loro attività dopo un ciberattacco», sottolinea Anu Anthamatten, capoprogetto presso digitalswitzerland.

Il rischio legato ai fornitori non ha nulla di teorico. A fine settembre 2026, un attacco contro un fornitore di software ha permesso di rubare dati della cassa pensioni di Zurigo. Due casse pensioni bernesi hanno a loro volta perso dati tramite un fornitore esterno.

Quanto costa un attacco

Un ciberattacco costa anzitutto tempo ed energie, più che denaro. Tra le 44 PMI colpite del campione, il grosso lavoro di ripristino e il carico emotivo sono in testa, con 16 menzioni ciascuno. Seguono il danno finanziario, con 10 menzioni, poi le relazioni commerciali indebolite, la reputazione e la perdita di dati dei clienti.

Non esiste un attacco tipo. Il phishing, il furto di password, i software dannosi e gli attacchi contro reti e server giocano ciascuno un ruolo in circa un terzo degli incidenti. Le conseguenze sono nettamente più pesanti nelle imprese con almeno dieci collaboratori.

«La cibercriminalità è diventata un vero rischio d'impresa per le PMI svizzere», riassume Jesús Pampín, responsabile del centro di competenza per i ciber-rischi della Mobiliare. Per lui, la ciberprotezione conta quanto la protezione contro gli incendi o i pericoli naturali. «Un'assicurazione cyber può attenuare i rischi, ma non sostituisce la responsabilità personale.»

Che cosa può fare una PMI

Gli autori vedono un segnale positivo: sempre più PMI designano un responsabile della cibersicurezza. Il tema diventa una questione di direzione, e non più soltanto del servizio informatico. Circa due PMI su cinque prevedono nuove misure di sicurezza nei prossimi tre anni.

«La cibersicurezza non comincia dal firewall, ma da una strategia digitale chiara», ritiene Marc K. Peter, professore alla HES-SO Valais-Wallis e capo del progetto. Secondo lo studio, le PMI più avanzate nel digitale giudicano la propria resilienza nettamente più elevata.

Le indicazioni tratte dallo studio si riassumono in alcuni gesti, che completano le basi della cibersicurezza per le PMI:

  • nominare una persona responsabile a livello di direzione;
  • testare il ripristino dei backup, non soltanto effettuarli;
  • formare regolarmente il personale, in particolare sul phishing;
  • preparare un piano d'emergenza e tenere l'inventario dei sistemi;
  • verificare la sicurezza informatica dei fornitori.

In caso di incidente, l'UFCS riceve le segnalazioni volontarie e gestisce una linea di picchetto 24 ore su 24. Secondo lo studio, il 40% delle PMI sarebbe disposto a segnalargli un incidente. Il suo Cybersecurity Hub, concepito anzitutto per le infrastrutture critiche, resta aperto alle PMI, ma solo il 7% circa lo utilizza. Altre risorse si trovano nella nostra rubrica proteggere la propria impresa.

«Informazione, prevenzione e cooperazione sono pilastri di un panorama cyber resiliente», ricorda Romain Geiser, capoprogramma presso l'UFCS.

Che cosa non si sa ancora

Gli estratti consultati non quantificano con precisione la quota delle PMI dotate di un piano d'emergenza, di un audit o di un controllo dei fornitori. Non indicano neppure l'importo dei riscatti pagati né il numero di imprese che hanno pagato. I risultati completi sono disponibili dal 22 ottobre 2026 sul sito dello studio, in quattro lingue.

Fonti