Nel 2025 la Pubblica Amministrazione italiana ha confermato il primato negativo come settore più colpito dagli attacchi informatici nel Paese. I dati del rapporto Clusit 2025 e le rilevazioni dell’ACN (Agenzia per la Cybersicurezza Nazionale) convergono su un dato inequivocabile: gli enti pubblici italiani subiscono più incidenti, più gravi e con conseguenze più estese rispetto a qualsiasi altro comparto.
Questo articolo analizza le cause strutturali di questa vulnerabilità, i casi più significativi degli ultimi anni, l’impatto della direttiva NIS2 e le azioni necessarie per invertire la tendenza.
I numeri del problema
Secondo il rapporto Clusit 2025, il settore governativo e della pubblica amministrazione concentra oltre il 28% degli incidenti gravi registrati in Italia, con una crescita molto significativa rispetto all’anno precedente. Nel secondo semestre 2025, l’ACN ha rilevato 1.253 eventi cyber, in aumento del 30% rispetto allo stesso periodo del 2024, con la PA tra i settori più colpiti. Le tipologie di attacco più frequenti sono il DDoS, il ransomware, il phishing mirato (spear phishing) e lo sfruttamento di vulnerabilità note non corrette.
Il rapporto Clusit evidenzia un altro aspetto critico: la gravità degli incidenti nella PA è mediamente superiore a quella registrata nel settore privato. Quando un ente pubblico viene compromesso, l’impatto si estende ai cittadini che dipendono da quei servizi, moltiplicando le conseguenze ben oltre il perimetro dell’organizzazione colpita.
Casi recenti: un campionario di vulnerabilità
Gli incidenti che hanno colpito la PA italiana negli ultimi anni non sono episodi isolati, ma manifestazioni ricorrenti degli stessi problemi strutturali.
ASL e strutture sanitarie
Il settore sanitario pubblico è stato colpito ripetutamente. L’attacco alla ASL 1 Abruzzo del maggio 2023, condotto dal gruppo ransomware Monti, ha portato alla pubblicazione di oltre 500 GB di dati sanitari dei pazienti sul dark web: referti, cartelle cliniche, dati genetici. La ASL di Modena, la ULSS Euganea e diverse altre strutture hanno subito attacchi analoghi, con interruzioni dei servizi che in alcuni casi hanno costretto al rinvio di interventi chirurgici e alla gestione manuale delle emergenze.
Comuni e Regioni
Il Comune di Palermo ha subito nel giugno 2022 un attacco ransomware dal gruppo Vice Society che ha paralizzato i servizi digitali per settimane, colpendo circa 5.300 postazioni. La Regione Lazio nell’agosto 2021 ha visto compromessa l’intera infrastruttura IT, con un impatto diretto sul sistema di prenotazione dei vaccini COVID-19 e su tutti i servizi sanitari regionali. Più recentemente, diversi Comuni di medie dimensioni sono stati colpiti da attacchi che hanno reso inaccessibili i servizi anagrafici, tributari e di stato civile.
Infrastrutture centralizzate
Anche le infrastrutture IT che servono molteplici enti non sono immuni. L’attacco ransomware al fornitore di servizi cloud Westpole nel dicembre 2023, che ospitava sistemi di numerose PA italiane tramite PA Digitale, ha dimostrato come la compromissione di un singolo punto della catena di fornitura possa avere effetti a cascata su centinaia di enti, con oltre 1.500 macchine virtuali rese inutilizzabili.
Le cause strutturali
La vulnerabilità della PA italiana non è il risultato di singole negligenze, ma di problemi sistemici che si accumulano da decenni.
Sistemi legacy e debito tecnologico
Una quota significativa dei sistemi informatici della PA italiana si basa su tecnologie obsolete. Applicazioni sviluppate quindici o venti anni fa, mai aggiornate nella loro architettura fondamentale, vengono mantenute in funzione perché la migrazione è costosa e complessa. Questi sistemi legacy presentano vulnerabilità note che non possono essere corrette senza una riscrittura completa, e spesso funzionano su sistemi operativi non più supportati dai produttori.
Budget insufficienti
La spesa per la cybersecurity nella PA italiana è strutturalmente inadeguata. Mentre le aziende private dei settori regolamentati investono una quota consistente del budget IT in sicurezza, nella PA questa percentuale resta molto inferiore. In molti enti locali, non esiste una voce di bilancio dedicata alla sicurezza informatica: le spese vengono assorbite dal generico capitolo IT, già sottodimensionato.
Carenza di competenze (skills gap)
La PA italiana fatica ad attrarre e trattenere professionisti della cybersecurity. I livelli retributivi del settore pubblico non sono competitivi rispetto al mercato privato, dove un esperto di sicurezza informatica percepisce compensi significativamente superiori. I concorsi pubblici, con le loro tempistiche e procedure, non sono adeguati alla velocità con cui evolvono le competenze richieste. Il risultato è che molti enti non hanno nemmeno una figura dedicata alla sicurezza informatica.
Frammentazione organizzativa
L’Italia conta oltre 22.000 enti pubblici, dalla grande amministrazione centrale al piccolo Comune. Questa frammentazione rende impossibile garantire un livello uniforme di protezione. Mentre i grandi enti possono dotarsi di strutture di sicurezza dedicate, i Comuni sotto i 5.000 abitanti (che sono la maggioranza) gestiscono l’IT con risorse minime, spesso affidandosi a fornitori esterni senza le competenze per valutarne l’operato in materia di sicurezza.
Cultura della sicurezza
In troppi enti la sicurezza informatica è percepita come un vincolo burocratico, non come una necessità operativa. La formazione del personale sulla sicurezza, quando esiste, si limita spesso a un corso annuale obbligatorio con verifica finale a risposta multipla. Le policy di sicurezza vengono redatte per adempimento normativo ma raramente vengono applicate nella pratica quotidiana.
L’impatto della direttiva NIS2
La direttiva europea NIS2 (Direttiva UE 2022/2555), recepita in Italia con il D.Lgs. 138/2024 ed entrata in vigore il 16 ottobre 2024, rappresenta un punto di svolta normativo per la cybersecurity nella PA. La direttiva estende significativamente il perimetro dei soggetti obbligati a rispettare requisiti stringenti di sicurezza informatica, includendo esplicitamente le pubbliche amministrazioni centrali e, per la prima volta, quelle locali sopra determinate soglie dimensionali.
Gli obblighi principali introdotti dalla NIS2 per la PA includono:
- Governance della sicurezza: i vertici dell’ente devono approvare e supervisionare le misure di gestione del rischio cyber. La responsabilità non può essere delegata interamente alla struttura tecnica.
- Gestione del rischio: obbligo di adottare misure tecniche, operative e organizzative adeguate e proporzionate ai rischi. Questo include la gestione degli incidenti, la continuità operativa, la sicurezza della catena di fornitura e la gestione delle vulnerabilità.
- Notifica degli incidenti: obbligo di pre-notifica al CSIRT Italia entro 24 ore dall’identificazione di un incidente significativo, seguita da una notifica completa con valutazione iniziale entro 72 ore e da una relazione finale entro un mese.
- Sanzioni: la NIS2 introduce sanzioni significative per il mancato adempimento, con importi fino a 10 milioni di euro o il 2% del fatturato mondiale annuo, applicabili anche ai dirigenti responsabili.
La NIS2 ha il potenziale per cambiare radicalmente l’approccio della PA alla cybersecurity, trasformandola da adempimento opzionale a obbligo con conseguenze concrete in caso di inadempienza. Tuttavia, senza le risorse finanziarie e umane per implementare i requisiti, il rischio è che diventi un ulteriore carico burocratico senza effetti reali sulla postura di sicurezza.
Il ruolo dell’ACN
L’Agenzia per la Cybersicurezza Nazionale, istituita con il D.L. 82/2021 (convertito in Legge 109/2021), ha assunto progressivamente un ruolo centrale nella protezione della PA. Le sue funzioni principali in questo ambito comprendono:
- La gestione del CSIRT Italia, il team di risposta agli incidenti che supporta le PA colpite da attacchi.
- L’emanazione di linee guida e misure minime di sicurezza specifiche per la PA.
- Il coordinamento della strategia nazionale di cybersicurezza e del relativo piano di implementazione.
- La gestione dei fondi PNRR destinati alla cybersecurity della PA (Investimento 1.5), con oltre 300 milioni di euro dedicati al rafforzamento della resilienza cyber degli enti pubblici, nell’ambito di un investimento complessivo di 623 milioni di euro per la cybersicurezza nazionale.
- L’attività di vigilanza e il potere sanzionatorio in qualità di Autorità nazionale competente NIS.
Il lavoro dell’ACN è fondamentale, ma l’Agenzia non può compensare da sola le carenze strutturali di un ecosistema composto da migliaia di enti con livelli di maturità radicalmente diversi.
Cosa deve cambiare
Invertire la tendenza richiede interventi su più livelli, con una visione di lungo periodo.
- Consolidamento infrastrutturale: la migrazione verso il Polo Strategico Nazionale e i data center qualificati deve accelerare. I piccoli enti non hanno le risorse per gestire infrastrutture IT sicure in autonomia: la centralizzazione è l’unica soluzione scalabile.
- Investimento strutturale in competenze: servono percorsi di reclutamento specifici per professionisti della cybersecurity nella PA, con livelli retributivi competitivi. La formazione continua del personale esistente deve diventare una priorità effettiva, non formale.
- Budget dedicati e vincolati: ogni ente dovrebbe essere obbligato a destinare una percentuale minima del budget IT alla sicurezza. I fondi PNRR sono un’opportunità importante, ma sono a termine: serve una programmazione che garantisca la sostenibilità degli investimenti nel lungo periodo.
- Sicurezza della catena di fornitura: la PA deve dotarsi di strumenti e competenze per valutare la postura di sicurezza dei propri fornitori IT. L’incidente Westpole ha dimostrato che la sicurezza dell’ente dipende anche dalla sicurezza di chi gli fornisce servizi.
- Collaborazione e condivisione delle informazioni: la creazione di ISAC (Information Sharing and Analysis Center) settoriali per la PA, dove gli enti possano condividere in tempo reale indicatori di compromissione e best practice, è una necessità non più rimandabile.
La cybersecurity della PA non è un problema tecnico di competenza dei soli uffici IT. È un problema di protezione dei diritti dei cittadini, di continuità dei servizi essenziali e di sicurezza nazionale. Affrontarlo richiede la stessa serietà e le stesse risorse che si dedicano alla sicurezza fisica delle infrastrutture critiche. Finché questa consapevolezza non si tradurrà in azioni concrete e strutturali, la PA italiana continuerà a essere il bersaglio preferito degli attaccanti.