Il settore della cybersicurezza in Italia vive una fase di espansione, trainata dall’obbligo normativo e dalla crescente complessità delle minacce informatiche, ma resta frenato da due fattori chiave: la scarsità di personale qualificato e i costi elevati dei servizi.
Cybersecurity, mercato italiano del testing in crescita ma pesano costi e carenza di personale
È quanto emerge dall’indagine conoscitiva della Banca d’Italia sul mercato dei servizi di testing di cybersicurezza, pubblicata nella collana Mercati, infrastrutture, sistemi di pagamento e dedicata a un comparto sempre più centrale per la stabilità del sistema finanziario e per l’autonomia tecnologica nazionale.
Secondo lo studio, condotto su un campione di 180 imprese con sede legale in Italia, il 93% offre servizi di testing e quasi il 70% dichiara di fornire o voler fornire test avanzati di cybersicurezza, i cosiddetti Threat-Led Penetration Testing (TLPT). Si tratta di simulazioni di attacco cibernetico guidate dall’intelligence, obbligatorie dal gennaio 2025 per alcune istituzioni finanziarie critiche in virtù del Regolamento europeo DORA (Digital Operational Resilience Act).
Il mercato, pur dinamico, è fortemente concentrato, un quarto delle società ha erogato circa tre quarti dei servizi TLPT nel 2023. Inoltre, non esiste ancora uno standard uniforme, molte imprese utilizzano il framework europeo TIBER-EU o la sua declinazione italiana TIBER-IT, ma quasi un terzo adotta metodologie proprietarie, segno di un’offerta non completamente omogenea .
Dal punto di vista geografico, la maggior parte degli operatori è concentrata nel Nord Italia, in particolare nel Nord Ovest, dove ha sede oltre la metà delle imprese. La quasi totalità del fatturato viene realizzata sul mercato interno, con una marginale presenza all’estero, solo il 9% delle società genera oltre la metà dei ricavi fuori dall’Unione europea .
Il quadro normativo internazionale contribuisce a spingere la domanda. Oltre al DORA, la nuova direttiva NIS2, recepita in Italia con il d.lgs. 138/2024, amplia l’ambito delle misure minime di sicurezza e introduce obblighi anche per i fornitori di servizi IT critici. La strategia nazionale di cybersicurezza 2022-2026, guidata dall’Agenzia per la Cybersicurezza Nazionale (ACN), individua nel rafforzamento delle competenze uno degli assi portanti, con misure dedicate al colmare il gap di professionalità che ancora limita lo sviluppo del settore.
Il mercato italiano mostra segnali di vitalità, tra il 2022 e il 2023 il fatturato dei servizi di testing è cresciuto sensibilmente, con il 40% delle imprese che ha registrato un incremento tra il 5% e il 29% e il restante terzo oltre il 30%. L’intelligenza artificiale è già integrata nei processi, l’80% degli operatori utilizza soluzioni AI, soprattutto per la threat intelligence, a dimostrazione di una crescente sofisticazione tecnologica .
Ma le sfide restano rilevanti. Oltre il 44% delle società dichiara di avere più dell’80% del personale certificato in materia di cybersicurezza, ma l’offerta di professionisti non è sufficiente a soddisfare la domanda crescente. Il costo elevato dei servizi di TLPT, che possono impegnare fino a 80 giorni-uomo per un singolo red teaming, è un altro ostacolo per una piena diffusione.
Secondo l’Osservatorio Cybersecurity e Data Protection del Politecnico di Milano, il mercato italiano della cybersicurezza ha raggiunto i 2,1 miliardi di euro nel 2023, con una crescita del 16% rispetto all’anno precedente. Le banche e il settore finanziario restano i principali investitori, ma i margini più ampi si trovano ancora nelle PMI, dove spesso manca una strategia strutturata di difesa digitale.