· fonte ACN
Milano e dintorni: più incidenti cyber rilevati, e NIS2 e Cyber Resilience Act al centro del confronto ACN-Assolombarda
Nel primo semestre 2026 l'ACN ha censito 612 eventi cyber nelle province di Milano, Monza e Brianza, Lodi e Pavia. Cosa dicono i numeri e perché il punto di contatto tra NIS2 e CRA è la filiera.
Il 28 ottobre 2026 l'Agenzia per la cybersicurezza nazionale e Assolombarda hanno dedicato la dodicesima edizione degli stati generali sulla cybersecurity dell'associazione, «L'Architettura della Resilienza - Governance e prodotto: interdipendenze tra NIS 2 e CRA», al rapporto tra la NIS2 e il Cyber Resilience Act. Ad aprire i lavori, all'Auditorium Giorgio Squinzi, il direttore generale dell'ACN Andrea Quacivi e il presidente di Assolombarda Alvise Biffi. Nell'occasione l'ACN ha pubblicato i dati degli eventi cyber censiti nel primo semestre 2026 nelle province di Milano, Monza e Brianza, Lodi e Pavia.
I numeri del primo semestre 2026
| Milano, Monza e Brianza, Lodi e Pavia | 1° semestre 2025 | 1° semestre 2026 | Variazione |
|---|---|---|---|
| Eventi cyber censiti | 282 | 612 | +117,0% |
| Vittime | 432 | 703 | +62,7% |
| Incidenti con impatto confermato | 55 | 300 | +445,5% |
Gli impatti più frequenti, secondo l'ACN, sono la compromissione di account e l'impatto sulla disponibilità dei dati, rilevato in 207 eventi, dovuto anche agli attacchi ransomware: più di 40 in sei mesi.
Un dettaglio importante per leggere questi numeri: l'ACN attribuisce l'aumento degli incidenti rilevati alla maggiore visibilità che le dà il recepimento della NIS2, che ha ampliato la platea dei soggetti regolati e rafforzato gli obblighi di notifica. Non è solo che gli attacchi crescono: molti incidenti che prima restavano dentro le aziende ora arrivano al CSIRT Italia. È l'effetto previsto della notifica obbligatoria, che dal 2026 vale per chi è entrato nell'elenco NIS nel 2025 e dal 1° gennaio 2027 varrà anche per chi è entrato nel 2026.
Perché NIS2 e Cyber Resilience Act insieme
Le due norme guardano a cose diverse. La NIS2 riguarda le organizzazioni che erogano servizi importanti e la sicurezza dei loro sistemi. Il Cyber Resilience Act, regolamento (UE) 2024/2847, riguarda i prodotti con elementi digitali, cioè hardware e software che si collegano a una rete, e i loro fabbricanti: i suoi obblighi di segnalazione delle vulnerabilità sfruttate e degli incidenti gravi si applicano dall'11 settembre 2026, il resto dall'11 dicembre 2027.
Il punto di contatto, ha spiegato l'ACN, è la filiera: il fornitore che applica il Cyber Resilience Act è l'anello che l'impresa soggetta alla NIS2 deve saper governare. In Lombardia, dove molte aziende sono insieme costruttrici di macchine o apparati connessi e soggetti NIS, le due discipline si sommano spesso nella stessa impresa. Le differenze, le date e chi deve fare cosa sono nella guida NIS2 e Cyber Resilience Act.
Il direttore generale dell'ACN lo ha sintetizzato così: «Il rischio cyber è un rischio d'impresa e la responsabilità della sua gestione non può essere delegata». È lo stesso principio che la NIS2 traduce in obblighi per gli organi di amministrazione, spiegati in NIS2 e amministratori.
Chi riguarda
- Le imprese soggette alla NIS2 della provincia di Milano e di quelle vicine, che vedono nei numeri la ragione delle misure su accessi, backup e incidenti.
- I costruttori e le software house che mettono sul mercato prodotti connessi, per i quali il Cyber Resilience Act è già operativo sulle segnalazioni.
- I fornitori di soggetti NIS, a cui i clienti chiederanno sempre più spesso requisiti di sicurezza nei contratti.
Cosa fare
- Mettete al sicuro gli account: la compromissione delle credenziali è l'impatto più frequente. Autenticazione a più fattori sui sistemi rilevanti e utenze amministrative separate sono già nelle misure di base, spiegate in MFA e accessi.
- Verificate il ripristino: con oltre 40 ransomware in sei mesi, una copia offline e un test di ripristino valgono più di qualsiasi documento. La guida è backup NIS2.
- Preparate la notifica: piano degli incidenti, referente CSIRT designato e i termini di 24 e 72 ore in notifica degli incidenti.
- Rivedete i contratti con i fornitori di prodotti digitali, partendo da NIS2 e fornitori.
Lo Studio che cura Pilot ha sede a Milano: se volete un confronto di persona, c'è la consulenza NIS2 a Milano.
La fonte ufficiale
Questo articolo riassume e commenta un atto o una notizia pubblicati dall'Agenzia per la cybersicurezza nazionale. Il testo di riferimento è ACN, «ACN e Assolombarda insieme per la resilienza delle aziende», 28 ottobre 2026, su acn.gov.it. La data in testa alla pagina è quella della fonte; il nostro testo è aggiornato il 13 novembre 2026.
Pilot trasforma gli obblighi NIS2 in un percorso in otto tappe, con uno scadenzario che vi avvisa prima delle finestre dell'ACN e tiene in ordine documenti e prove. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
Preferite essere seguiti da un ingegnere? La consulenza NIS2 dello Studio
