Il rapporto annuale 2026 dell'ENISA, l'agenzia europea per la cybersicurezza, non si legge più come un bollettino tecnico ma come uno stato del mondo. Gli attacchi ransomware sono costati nel 2025 più di 60 miliardi di dollari alle aziende globali — assicurazioni, riscatti, interruzioni di attività, ricostruzione — il triplo del livello del 2020. Al di là dei numeri, è la natura stessa della minaccia che è cambiata.

Il ransomware è diventato un'industria

Il modello *Ransomware-as-a-Service* (RaaS) — gruppi specializzati che affittano la loro infrastruttura di attacco ad affiliati in cambio di una commissione sui riscatti — si è consolidato. Alcune famiglie (LockBit nelle sue versioni successive, ALPHV/BlackCat, Cl0p, Akira, RansomHub) concentrano la maggior parte degli attacchi. I smantellamenti coordinati condotti da Europol, FBI e NCA britannica (operazioni Cronos, Endgame, Morpheus) hanno temporaneamente perturbato l'ecosistema, senza estinguerlo: un gruppo smantellato viene generalmente sostituito in pochi mesi.

L'obiettivo privilegiato è cambiato. Accanto alle grandi aziende tradizionalmente prese di mira, le collettività locali, gli ospedali e le PMI industriali sono diventate gli anelli deboli. In Francia, l'ANSSI ha registrato più di 300 incidenti maggiori nel 2025 che hanno colpito operatori di importanza vitale o collettività, contro i 187 del 2022.

I dati chiave della cybersecurity 2026

• 60 miliardi $: costo globale annuale dei ransomware nel 2025.
• +220 %: aumento del numero di attacchi contro gli ospedali tra il 2020 e il 2025.
• 300+: incidenti maggiori registrati dall'ANSSI in Francia nel 2025.
• NIS2: direttiva europea pienamente recepita in 26 Stati membri all'inizio del 2026.
• Cyber Resilience Act: entrata in vigore progressiva 2024-2027, sanzioni fino al 2,5 % del fatturato mondiale.
• 2030: orizzonte a partire dal quale un computer quantistico potrebbe rompere RSA-2048 secondo le proiezioni più pessimistiche (vs 2040 nel consenso).
• 3 algoritmi post-quantistici standardizzati dal NIST nel 2024: ML-KEM, ML-DSA, SLH-DSA.

La minaccia quantistica: ancora teorica, già operativa

L'arrivo di un computer quantistico capace di rompere l'attuale crittografia asimmetrica (RSA, ECC) rimane ipotetico all'orizzonte 2030-2040. Ma la minaccia «harvest now, decrypt later» — catturare oggi dati cifrati per decifrarli domani — spinge i governi ad anticipare. Gli Stati Uniti hanno imposto alle loro amministrazioni federali una migrazione completa verso la crittografia post-quantistica entro il 2035. L'Europa, tramite ENISA, ANSSI e BSI tedesco, raccomanda agli operatori critici di costruire la loro *crypto-agility* già dal 2026: capacità di sostituire rapidamente gli algoritmi crittografici senza riscrivere i sistemi.

Il NIST ha standardizzato nell'agosto 2024 tre algoritmi post-quantistici: ML-KEM (scambio di chiavi), ML-DSA e SLH-DSA (firme). I primi deployment operativi (TLS 1.3 ibrido, firme firmware) sono iniziati nel 2025, principalmente presso i grandi attori cloud (Google, AWS, Cloudflare) e le amministrazioni sensibili.

NIS2 e Cyber Resilience Act: l'Europa regolamenta, l'Europa sanziona

La direttiva NIS2, recepita in 26 Stati membri all'inizio del 2026, estende il perimetro delle entità soggette a obblighi di cybersecurity: energia, trasporti, sanità, banche, infrastrutture digitali, ma anche amministrazione pubblica, spazio, gestione dei rifiuti e alcune PMI. Le sanzioni raggiungono i 10 milioni di euro o il 2% del fatturato mondiale.

Il Cyber Resilience Act (CRA), entrato in vigore a fine 2024 con applicazione progressiva fino al 2027, impone per la prima volta obblighi di cybersecurity by design su tutti i prodotti connessi venduti nell'UE — dal router Wi-Fi all'auto connessa. Per gli editori di software e i produttori di hardware, lo sforzo di conformità è massiccio: documentazione tecnica, gestione delle vulnerabilità, aggiornamenti di sicurezza garantiti per la durata di vita del prodotto.

> « La cybersecurity non è più un argomento tecnico. È un argomento di governance aziendale, e sempre più un argomento di governance statale. » — *Vincent Strubel, direttore generale dell'ANSSI, audizione al Senato francese, febbraio 2026.*

Da ricordare

• 60 miliardi $: costo globale annuale dei ransomware.
• Il RaaS struttura ormai l'economia criminale cibernetica.
• NIS2 pienamente recepita all'inizio del 2026 in 26 Stati membri.
• CRA impone la cybersecurity by design su tutti i prodotti connessi.
• Minaccia quantistica: migrazione post-quantistica raccomandata dal 2026 per gli operatori critici.
• Tre algoritmi NIST standardizzati: ML-KEM, ML-DSA, SLH-DSA.