Sicurezza informatica per le PMI: i controlli di base, cosa fare se succede e cosa vale a ottobre 2026

Pubblicato il 4 novembre 2026di Tauro Lab9 min di lettura

In breve Per la sicurezza informatica di una PMI bastano poche protezioni fatte bene: verifica a due passaggi sulla posta, password diverse in un gestore, un backup staccato dalla rete e provato, aggiornamenti attivi, attenzione ai messaggi urgenti. Serve anche sapere prima chi chiamare, perché con dati di clienti la notifica al Garante va fatta entro 72 ore. E dal 2026 i clienti soggetti a NIS2 chiedono garanzie anche ai fornitori piccoli.

Un incidente informatico in una piccola impresa raramente è spettacolare: la stessa password su posta e gestionale, un allegato aperto il venerdì alle 17, la password del wi-fi nel gruppo WhatsApp dell'ufficio, un backup che nessuno ha mai riaperto. La sicurezza informatica per le PMI parte da qui, senza un reparto dedicato. Trovi cinque controlli da fare oggi, cosa fare se succede e cosa è cambiato nelle regole nel 2026.

Una premessa onesta: noi scriviamo software, non facciamo i sistemisti e non verifichiamo reti e computer. Questo è un elenco di cosa controllare da solo e di cosa chiedere al tecnico che ti segue.

Sicurezza informatica nelle PMI: cosa si rischia davvero

I danni tipici sono tre. I dati si bloccano e qualcuno chiede un riscatto: è il ransomware. Qualcuno entra nella posta e scrive ai tuoi clienti a nome tuo, magari con un IBAN nuovo. Oppure dati di clienti, dipendenti e fornitori finiscono dove non dovrebbero. Essere piccoli non protegge: molti attacchi non scelgono la vittima, mandano lo stesso messaggio a migliaia di indirizzi e aspettano.

I numeri lo confermano. Secondo il Rapporto Clusit 2026, presentato a marzo 2026, nel 2025 gli incidenti gravi noti nel mondo sono stati 5.265 (+49% sul 2024) e in Italia 507 (+42%, erano 357), il 9,6% del totale. Nel nostro Paese phishing e ingegneria sociale hanno causato il 12,4% degli incidenti, in crescita del 66%, con messaggi scritti con l'IA sempre più credibili.

Cinque controlli da fare oggi, cinque minuti ciascuno

Verifica a due passaggi sulla posta. Apri le impostazioni di sicurezza dell'account email dell'azienda e controlla che sia attiva. La posta è la chiave di casa: chi ci entra può chiedere il recupero della password di quasi tutti gli altri servizi.
Chi ha ancora accesso. Scrivi su un foglio chi può entrare in posta, gestionale, banca, hosting del sito e social. Se c'è il nome di qualcuno che non lavora più con te, o un account «ufficio» che conoscono tutti, hai trovato il primo lavoro da fare.
Ripristina un file dal backup. Uno a caso, adesso. Guarda quanto ci vuole e se si apre. Una copia che nessuno ha mai riaperto è una speranza, non un backup.
La password del router. Se è ancora quella scritta sotto l'apparecchio o quella del fornitore, cambiala e chiedi al tecnico di aggiornare il firmware.
Il foglio «se succede». Nome e numero del tecnico, del consulente privacy e dell'assicurazione se l'hai, e dove stanno le credenziali di emergenza. Stampato, non solo sul computer che potrebbe essere bloccato.

Backup: se fai una cosa sola, fai questa

Un buon backup ti fa ripartire dopo un ransomware, un disco rotto o un file cancellato per errore. È buono se rispetta questi punti:

più copie: la regola del 3-2-1 dice tre copie, su due supporti diversi, una fuori dall'ufficio;
almeno una copia staccata dalla rete, perché un disco sempre collegato viene cifrato insieme al resto;
automatico, perché i backup che dipendono dalla memoria di qualcuno prima o poi saltano;
provato, come al punto tre qui sopra, con una data fissa nel calendario.

Se i dati stanno in un programma online, la domanda va al fornitore: ogni quanto fa i backup, dove li tiene, in quanto tempo ripristina tutto. Se non sa rispondere, hai già un'informazione.

Password, accessi e aggiornamenti

una password diversa per ogni servizio, lunga, salvata in un gestore di password: non nel browser del computer condiviso, non in un file chiamato «password»;
verifica a due passaggi su posta, banca, gestionale, dominio e hosting del sito;
un account per persona, così sai chi ha fatto cosa, e permessi diversi per ruoli diversi: chi risponde al telefono non apre la fatturazione. Se il tuo gestionale non lo permette è un limite serio: un gestionale costruito sui tuoi processi lo prevede dall'inizio;
accessi tolti il giorno stesso in cui qualcuno lascia l'azienda, collaboratori e fornitori compresi;
aggiornamenti automatici su computer, telefoni, browser, router e sito. Un computer che non riceve più aggiornamenti dal produttore va sostituito o tenuto lontano dai dati. Sul sito conta ogni plugin: ne parliamo nel confronto tra WordPress e sviluppo su misura.

Phishing: la mail con il nuovo IBAN

Il phishing è un messaggio, email, SMS o WhatsApp, che finge di arrivare da qualcuno di fidato per farti cliccare, pagare o inserire una password. Un caso di fantasia: un'impresa edile riceve una mail, in apparenza dal fornitore di materiali, con un nuovo IBAN per la prossima fattura. Il testo è perfetto, il logo è giusto. Una telefonata al numero di sempre basta a scoprire la truffa. Prima di agire controlla:

l'urgenza («paga entro oggi», «account in chiusura»);
l'indirizzo vero del mittente, non il nome che compare: spesso cambia una lettera;
dove porta un link, passandoci sopra senza cliccare;
gli allegati che non aspettavi, anche da un mittente conosciuto.

Ogni cambio di IBAN si verifica per telefono, a un numero che hai già. E chi ha cliccato deve poterlo dire subito, senza paura: se nessuno ammette l'errore, il danno cresce.

Cosa fare se succede

Scollega dalla rete il computer coinvolto: cavo staccato o wi-fi spento. Non cancellare niente.
Cambia le password dei servizi toccati da un altro dispositivo, pulito.
Chiama il tecnico del foglio «se succede».
Segna cosa è successo e quando: orari, messaggi, schermate.
Non pagare riscatti senza aver sentito un esperto: pagare non assicura di riavere i dati.
Ripristina dal backup solo dopo aver capito come sono entrati.

Se sono coinvolti dati di persone entra in gioco il GDPR: la violazione va notificata al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne vieni a conoscenza, salvo che sia improbabile un rischio per le persone (art. 33). Si fa solo online, dal portale del Garante, dove c'è anche uno strumento di autovalutazione per capire se la notifica serve. Ogni violazione, notificata o no, va comunque annotata in un registro interno. A Bruxelles si discute di cambiare soglie e tempi con la proposta «Digital Omnibus» della Commissione (novembre 2025), ma a fine ottobre 2026 è ancora una proposta: valgono le 72 ore.

NIS2 nel 2026: perché riguarda anche chi è piccolo

La NIS2 è la direttiva europea sulla sicurezza di reti e sistemi, in Italia il D.Lgs. 138/2024. Riguarda in via diretta imprese medie e grandi di settori indicati dalla norma, che si registrano sul portale dell'Agenzia per la cybersicurezza nazionale tra il 1° gennaio e il 28 febbraio di ogni anno. Per i soggetti inseriti nell'elenco nel 2025 l'obbligo di notificare gli incidenti significativi è partito a gennaio 2026 (pre-notifica entro 24 ore, notifica entro le 72 successive) e le misure di sicurezza di base vanno adottate entro ottobre 2026.

Qui entri tu. Tra quelle misure c'è la sicurezza della catena di fornitura: secondo le FAQ dell'ACN, i soggetti NIS devono valutare il rischio dei fornitori, dare loro requisiti di sicurezza e verificarli, e i contratti stipulati, rinnovati o prorogati da quella scadenza in avanti devono contenere quei requisiti. Se un tuo cliente grande ti manda un questionario sulla sicurezza o una clausola nuova da firmare, è questo. I cinque controlli qui sopra sono il minimo per rispondere senza arrossire.

Un'altra data del 2026: dall'11 settembre il Cyber Resilience Act obbliga chi produce software o dispositivi connessi venduti nell'Unione europea a segnalare le vulnerabilità sfruttate e gli incidenti gravi; il grosso degli obblighi arriva l'11 dicembre 2027. Se vendi software o oggetti connessi, parlane con un consulente.

Sito, gestionale, automazioni: le domande per il fornitore

Sono domande legittime, e puoi farle anche a noi:

dove stanno i dati, chi può accedervi e come si toglie un accesso;
chi fa gli aggiornamenti dopo la consegna, e se è scritto nel contratto;
se lo sviluppo tiene conto della OWASP Top 10, l'elenco dei rischi più critici per le applicazioni web, rinnovato a fine 2025: la novità al terzo posto sono i problemi nella catena del software, cioè librerie e plugin di terzi non controllati;
come esporti i tuoi dati se cambi fornitore.

Le stesse domande valgono per un chatbot o un'automazione che toccano i dati dei clienti. Per approfondire c'è la guida dell'agenzia europea ENISA per le piccole imprese, in inglese.

Il minimo per questa settimana

Fai i cinque controlli, segna sul calendario la prossima prova del backup e scrivi il foglio «se succede». Sono poche ore e cambiano molto il peso di un incidente.

Reti e computer non sono il nostro mestiere: serve un tecnico di fiducia. Se invece i dati dell'azienda sono sparsi tra fogli, email e programmi che non si parlano, con accessi che nessuno controlla, possiamo guardarli insieme: nella pagina dei gestionali costruiti sui processi dell'azienda spieghiamo come lavoriamo, e puoi scriverci per un primo parere.

Domande frequenti

Basta un antivirus?

No. Ferma i programmi dannosi che riconosce, ma non impedisce a una persona di inserire la password in una pagina falsa, non recupera i dati persi e non chiude un account condiviso. Serve insieme a backup, aggiornamenti e accessi curati.

I dati online sono più al sicuro che sul mio computer?

Dipende. Un servizio serio ha strutture che una piccola impresa non può permettersi, ma gli accessi restano tuoi: con una password debole e senza verifica a due passaggi la porta resta aperta. Chiedi al fornitore dove sono i dati e come fa i backup.

Come capisco se un incidente è una violazione dei dati personali?

Lo è quando dati di persone vengono persi, rubati, modificati o letti da chi non doveva: un portatile con l'elenco clienti rubato, una mail con dati mandata alla persona sbagliata, un ransomware sulle pratiche. Non tutte vanno notificate, dipende dal rischio per le persone, e il Garante mette a disposizione uno strumento di autovalutazione. Le 72 ore partono da quando lo scopri.

Un cliente mi chiede di firmare una clausola sulla sicurezza informatica: è normale?

Sì, e nel 2026 capiterà più spesso. Le imprese soggette a NIS2 devono dare requisiti di sicurezza ai fornitori e verificarli, e i contratti nuovi o rinnovati devono contenerli. Leggila con il tuo tecnico e con un consulente prima di firmare: di solito chiede cose ragionevoli, verifica a due passaggi, backup, aggiornamenti e un contatto da avvisare.

Fonti

Scritto dal team di Tauro Lab, web agency e software house di Torino. Chi siamo