La nuova CIO Survey PA 2026 di NetConsulting cube conferma una tendenza che chi lavora nella sicurezza informatica italiana osserva da tempo: la pubblica amministrazione resta il settore più colpito dagli eventi cyber nel Paese. Ma c’è un dato, tra tutti, che merita di essere letto con attenzione: il 27% degli attacchi informatici colpisce la disponibilità dei dati, ancor più che la loro riservatezza. Il che significa, tradotto in termini concreti, servizi digitali offline, pratiche bloccate, cittadini che non riescono ad accedere a ciò a cui hanno diritto.
In un contesto in cui gli attacchi DDoS alla PA sono passati da 104 a 964 in un solo anno, in aumento di quasi dieci volte, e in cui solo il 48,5% degli enti è pienamente allineato alla direttiva NIS2, il tema della disponibilità dei dati smette di essere una questione tecnica e diventa un problema di continuità dei servizi pubblici.
Il punto critico, però, non è soltanto il numero degli attacchi. È quello che accade dopo. Il nostro Annual Data Report 2026 mostra un chiaro trend di maturità: 9 organizzazioni su 10 tra aziende commerciali e imprese con più di 1.000 dipendenti) eseguono attivamente restore di massa, a dimostrazione del fatto che il ripristino è sempre più una capacità operativa praticata, piuttosto che una salvaguardia teorica. Tuttavia, le PMI (con meno di 1.000 dipendenti) mostrano un profilo di ripristino molto diverso, con il 73% che non esegue alcun ripristino.
Ciò evidenzia una chiara opportunità per rafforzare la preparazione al ripristino attraverso test più frequenti e flussi di lavoro guidati. Nella PA in particolare, questa lacuna ha un impatto diretto sui cittadini: ogni ora di downtime è un servizio sospeso, una scadenza mancata, una fiducia istituzionale erosa.
La domanda che ogni CIO pubblico dovrebbe porsi oggi non è “siamo protetti dagli attacchi?” ma “in quanto tempo siamo in grado di ripristinare l’operatività se l’attacco va a segno?”
In questo scenario, la sovranità del dato – la disponibilità di backup indipendenti dall’ecosistema di produzione, custoditi in infrastrutture proprie e conformi a NIS2 e DORA – non è una scelta opzionale. È la condizione necessaria per garantire la continuità dei servizi digitali pubblici anche dopo il 2026, quando i fondi straordinari del PNRR non saranno più disponibili e ogni ente dovrà fare affidamento esclusivamente sulle proprie capacità di resilienza.
