Politica delle fonti
Ogni cifra ha una fonte. Eccole tutte.
Ogni cifra e ogni citazione su questo sito ha una fonte, ed è qui. Dove una fonte non c'è, il dato non è stato pubblicato: è successo cinque volte in questa settimana.
Le cinque cose tolte, per memoria: una percentuale regionale sui ransomware che nessuna fonte primaria pubblica; una soglia di sufficienza sull'indice di maturità; un costo medio per azienda colpita; una statistica sulle competenze interne; e i codici del quadro di riferimento accanto agli undici documenti, che allora non avevano fonte — quelli sono tornati, perché adesso ce l'hanno.
Restano fuori anche gli importi delle sanzioni NIS: l'articolo che le fissa non è stato letto in originale, quindi il sito cita il rinvio e non la cifra. E non compaiono i termini di relazione intermedia e finale sugli incidenti, che nella Guida alla lettura non ci sono.
Determinazione ACN n. 379907 del 19 dicembre 2025 — obblighi di base
Si applica dal 15 gennaio 2026 e aggiorna e sostituisce la determinazione ACN n. 164179 del 14 aprile 2025. Art. 3 comma 1: il termine per le misure è di «diciotto mesi dalla ricezione, da parte del soggetto NIS della comunicazione di inserimento nell’elenco dei soggetti NIS»; comma 2: nove mesi dalla stessa ricezione per la notifica degli incidenti significativi di base. Nello stesso testo la nota per cui, «a partire dal 12 aprile 2025», l’Agenzia «ha provveduto a comunicare ai soggetti interessati il loro inserimento». Letta in originale il 28 agosto 2026.
Determinazione ACN n. 127434/2026 — termini per chi è stato inserito nel 2026
Firmata il 13 aprile 2026, si applica dal 30 aprile 2026. Art. 1 commi 1 e 2: per i soggetti inseriti in elenco per la prima volta nel 2026 il termine per le misure è il 31 luglio 2027 e la notifica degli incidenti decorre dal 1° gennaio 2027. Sono date fisse e collettive, non diciotto mesi da una ricezione individuale. Il comma 3 conferma che per chi era già in elenco «rimangono fermi i termini di cui all’articolo 3 della Determinazione ACN n. 379907 del 19 dicembre 2025».
Determinazione ACN in materia di piattaforma digitale NIS
Firmata digitalmente il 13 aprile 2026. Definizione di fornitore rilevante e i due criteri all’art. 1 comma 1 lettera ll); i cinque dati comunicati per ciascun fornitore all’art. 18 comma 1; la finestra annuale del 15 aprile – 31 maggio all’art. 16 comma 1; la responsabilità degli organi di amministrazione all’art. 2 commi 3 e 4; le finestre del calendario e l’esenzione per le entità finanziarie soggette al Reg. (UE) 2022/2554.
Guida alla lettura delle Specifiche di base, v2.1, aprile 2026
Conteggi delle misure e dei requisiti — «37 misure di sicurezza con 87 requisiti per i soggetti importanti e 43 misure di sicurezza con 116 requisiti per i soggetti essenziali». Appendice C per gli undici documenti che devono essere approvati dagli organi di amministrazione e per i requisiti che ne impongono l’approvazione. Termini di pre-notifica (24 ore) e notifica (72 ore), che decorrono dall’acquisizione dell’evidenza. Livelli di servizio attesi «stabiliti in autonomia dal soggetto».
Agenzia per la Cybersicurezza Nazionale — Relazione annuale 2025
«La maggior parte delle vittime di ransomware sono piccole imprese, soprattutto manifatturiere, spesso caratterizzate da livelli limitati di cybersecurity.»
⬜ Manca il numero di pagina: la pagina dell’Agenzia risponde 403 alle richieste automatiche e va aperta a mano.
Rapporto Clusit 2026
Incidenti gravi rilevati in Italia nel 2025: 507, il 42% in più dell’anno precedente, pari al 9,6% del totale mondiale. Il manifatturiero pesa per il 12,6% degli incidenti italiani, e l’Italia subisce il 16% degli attacchi mondiali al manifatturiero. Vettori: posta elettronica 40%, abuso di account validi 24%, sfruttamento di vulnerabilità 11%.
Cyber Index PMI 2025 — terzo Rapporto
Indagine annuale sulla maturità cyber delle PMI italiane, promossa da Confindustria, Generali e Agenzia per la Cybersicurezza Nazionale, con il supporto scientifico dell’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano. Rapporto nazionale: oltre 1.500 imprese, indice sintetico 55 su 100, e quasi una PMI su quattro violata negli ultimi tre anni. Presentato a marzo 2026. Rapporto Lombardia: taglio regionale della stessa rilevazione, 251 PMI del Nord-Ovest di cui 139 in Lombardia, indice sintetico regionale 61, presentato a Confindustria Varese il 9 febbraio 2026 — slide 12 e capitoli Approccio strategico, Identificazione e Attuazione. I dati regionali citati su questo sito provengono dal rapporto Lombardia.
⬜ Il giorno esatto di presentazione del rapporto nazionale non è confermato: il comunicato di Confindustria dice 13 marzo, una nostra trascrizione precedente diceva 12. Finché non è certo resta «marzo 2026», perché su questa pagina un dato meno preciso vale più di uno preciso e sbagliato. Il campione lombardo è di 139 imprese: è una rilevazione regionale, non un censimento.
Osservatorio Innovazione Digitale nelle PMI — Politecnico di Milano
Rilevazione del 21 maggio 2026: il 76% delle PMI non investe in intelligenza artificiale e solo il 7% ha una formazione strutturata sul suo utilizzo.
Rilevazioni camerali 2026 — Monza e Brianza, Lecco, Bergamo
Imprese attive, variazione annua, produzione industriale ed export delle tre province. Dal secondo trimestre 2025 è cambiata la classificazione delle attività economiche: il confronto con gli anni precedenti va letto con cautela.
Riduzione del 30% sul tempo di verifica documentale
Misurazione interna presso un ente di certificazione internazionale, sul processo di consultazione di manuali e normative. Non pubblicata. Dichiarazione del titolare, 26 agosto 2026.
Oltre 100 impianti e 5.000 asset monitorati dal 2016
Manutenzione predittiva con algoritmi di apprendimento automatico su oil & gas, marittimo, chimico e manifatturiero. Esperienza diretta del titolare; nessuna fonte esterna. Dichiarazione del titolare, 26 agosto 2026.
Security Green Belt e Red Belt for Operations
Conseguite il 27 maggio 2025 e il 27 maggio 2026 presso un ente di certificazione internazionale. Sono qualifiche di uno schema interno di gruppo, non certificazioni rilasciate da un organismo terzo: il Red Belt è il quarto di cinque livelli. Verificate sui diplomi originali il 26 agosto 2026.