Budget cybersecurity: quanto investire e come impostarlo

Non esiste una percentuale giusta per tutti, ma c'è un riferimento europeo: nel rapporto NIS Investments 2025 di ENISA la spesa in cybersicurezza vale in mediana il 9% del budget IT e 1,5 milioni di euro. Il budget però non si imposta da una percentuale: si parte dal rischio, dagli obblighi NIS2 o DORA e dalle capacità che mancano, e si decide cosa fare in casa e cosa comprare come servizio.

In questo articolo trovi il dato di riferimento e come leggerlo, un metodo in cinque passi, le voci di spesa da prevedere e i criteri per sostenere la cifra davanti al CFO o al consiglio di amministrazione.

Quanto investire: il dato di riferimento

La fonte pubblica più solida in Europa è il rapporto NIS Investments 2025 di ENISA, l'agenzia dell'Unione europea per la cibersicurezza. Secondo ENISA la spesa in cybersicurezza vale in mediana il 9% del budget IT e 1,5 milioni di euro, livelli in linea con l'anno precedente.

Prima di usarlo, tre cose da sapere su come è costruito:

• Cosa conta come budget di sicurezza. ENISA include spese in conto capitale e operative su hardware, software, personale, collaboratori esterni e servizi in outsourcing. Se nel tuo conteggio mancano le persone o i servizi gestiti, il confronto non regge.
• Chi ha risposto. Il campione è di 1.080 professionisti di organizzazioni europee nei settori NIS, per l'83% grandi imprese. Per un'azienda mid-market la mediana di 1,5 milioni è alta; la quota sul budget IT è il riferimento più utile.
• Dove va la spesa. ENISA osserva che i budget si spostano verso tecnologia e servizi esterni più che verso la crescita dei team interni, anche per la difficoltà di trovare persone.

C'è poi una stima pensata per chi entra per la prima volta nel perimetro NIS2. Nella relazione alla proposta di direttiva, COM(2020) 823, la Commissione europea ha stimato un aumento massimo del 22% della spesa corrente per la sicurezza ICT nei primi anni, e del 12% per chi era già soggetto alla prima direttiva NIS. È una media calcolata nel 2020 sulla spesa che già sostieni: se oggi quella spesa è vicina a zero, serve come ordine di grandezza, non come preventivo. Il dettaglio è in quanto costa adeguarsi alla NIS2.

Perché la percentuale da sola non basta

Una quota del budget IT segue quanto spendi in informatica, non quanto sei esposto. Due aziende con lo stesso budget IT possono avere profili di rischio molto diversi: una gestisce un e-commerce con dati di pagamento e impianti collegati in rete, l'altra ha pochi sistemi interni e tutto in SaaS. Applicare a entrambe il 9% significa spendere troppo nella seconda e troppo poco nella prima.

La norma ragiona allo stesso modo. Il D.Lgs. 138/2024, che recepisce la NIS2 in Italia, all'art. 24 chiede misure adeguate e proporzionate, tenendo conto dei rischi esistenti, dello stato dell'arte e dei costi di attuazione, oltre che del grado di esposizione, delle dimensioni del soggetto e della probabilità e gravità degli incidenti. Il punto di partenza è quindi il rischio, e la percentuale diventa un controllo a valle: se la tua cifra si allontana molto dal riferimento, vale la pena chiedersi perché.

Come si imposta il budget in cinque passi

1. Valuta il rischio. Quali processi si fermano se cadono i sistemi, quali dati hai, quanto costerebbe un giorno di fermo. Senza questa base il budget è una lista di acquisti. Il metodo è in cyber risk: cos'è e come si gestisce.
2. Mappa gli obblighi. NIS2 se sei soggetto essenziale o importante, DORA se sei un'entità finanziaria, più i requisiti contrattuali dei clienti (questionari, certificazioni richieste in gara).
3. Misura il gap. Confronta quello che hai con quello che ti serve: misure presenti, misure parziali, misure assenti. È il gap a determinare la spesa, non il catalogo dei fornitori.
4. Decidi cosa fare in casa e cosa comprare. Le attività una tantum (assessment, policy, progetto di certificazione) si comprano a progetto. Le capacità continue, come il monitoraggio degli incidenti 24 ore su 24, si valutano come servizio prima di decidere di assumere.
5. Separa una tantum e ricorrente, e rivedi ogni anno. Il primo anno pesa l'adeguamento, dagli anni successivi pesano canoni, licenze e persone. Un budget che non distingue le due voci sembra in calo il secondo anno anche quando non lo è.

Le voci di spesa da prevedere

Un buon riferimento per non dimenticare nulla sono gli elementi minimi che l'art. 24, comma 2, del D.Lgs. 138/2024 chiede alle misure di sicurezza, anche se non rientri nella NIS2. Raggruppati per voce di budget:

Governance, rischio e conformità

Analisi dei rischi, politiche di sicurezza, gestione documentale, audit interni, eventuali certificazioni. Qui sta anche la formazione degli organi di amministrazione, che per i soggetti NIS2 è un obbligo (art. 23).

Rilevamento e risposta agli incidenti

Piattaforma SIEM, monitoraggio, triage degli alert, gestione degli incidenti e notifiche. È di solito la voce ricorrente più importante, perché richiede presenza continua.

Vulnerabilità e test

Scansioni, gestione delle patch, penetration test periodici. Nel rapporto ENISA il 30% delle organizzazioni non ha svolto valutazioni di sicurezza negli ultimi 12 mesi e il 28% impiega più di tre mesi per correggere le vulnerabilità critiche: è una voce che si tende a rimandare.

Continuità operativa e backup

Backup isolati, piani di ripristino, test periodici di disaster recovery e gestione delle crisi.

Identità e accessi

Autenticazione a più fattori, gestione degli accessi privilegiati, revisione periodica delle utenze.

Fornitori

Valutazione dei fornitori ICT, clausole contrattuali, monitoraggio nel tempo. Il metodo è in third party risk management.

Persone e formazione

Formazione periodica dei dipendenti, simulazioni di phishing e il costo del personale di sicurezza, interno o esterno.

Le aree in cui ENISA rileva le maggiori difficoltà di allineamento alla NIS2 sono la gestione di vulnerabilità e patch (50%), la continuità operativa (49%) e il rischio della catena di fornitura (37%). Se il tuo gap si concentra lì, è lì che si concentrerà anche il budget.

I criteri per decidere quanto

Il costo di un incidente

Il termine di paragone più usato è il costo di una violazione. Secondo il Cost of a Data Breach Report 2026 di IBM, in Italia il costo medio di un data breach è di 3,55 milioni di euro, contro i 3,31 milioni del 2025. Varia molto per settore: nel focus italiano il valore più alto è nell'energia (4,65 milioni), seguita dal settore finanziario (4,5 milioni) e da quello tecnologico (4,43 milioni).

Non serve a fare un calcolo esatto, serve a dare una scala. Se un incidente medio nel tuo settore vale qualche milione, un budget annuo che ne riduce la probabilità o l'impatto si valuta su quel metro, non contro zero.

Gli obblighi normativi

Per i soggetti NIS2 il D.Lgs. 138/2024 (art. 23) assegna agli organi di amministrazione e direttivi l'approvazione delle modalità di implementazione delle misure di sicurezza e li rende responsabili delle violazioni. Le sanzioni dell'art. 38 arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali, e fino a 7 milioni o all'1,4% per gli importanti, se l'importo è superiore.

Per le entità finanziarie il budget è scritto nella norma, salvo quelle che seguono il quadro semplificato dell'art. 16. Il Regolamento (UE) 2022/2554 (DORA), all'art. 5, paragrafo 2, lettera g), stabilisce che l'organo di gestione assegna e riesamina periodicamente le risorse finanziarie adeguate per le esigenze di resilienza operativa digitale, compresi i programmi di sensibilizzazione, la formazione e le competenze ICT del personale. Le voci tipiche sono in quanto costa la conformità DORA.

Il costo delle persone

È il criterio che sposta di più la scelta fra fare e comprare. Un team SOC interno attivo 24 ore su 24 richiede una rotazione di circa sei analisti, che vale 400.000-600.000 euro l'anno di solo personale, prima di strumenti e formazione. Trovarli è un altro tema: ENISA rileva che il 76% delle organizzazioni fatica ad attrarre professionisti di sicurezza e il 71% a trattenerli, e che le aziende più piccole indicano budget limitato e carenza di competenze come ostacoli di pari peso all'allineamento alla NIS2.

La carenza di personale pesa anche sul costo degli incidenti: nel focus italiano di IBM è il fattore che incide di più sul costo di una violazione, con 199.100 euro. Il confronto fra le due strade è in SOC interno o gestito, e i fattori che determinano il canone di un servizio sono in quanto costa un SOC gestito.

Come presentarlo al CFO e al consiglio

Un budget di sicurezza passa meglio quando parla la lingua del rischio d'impresa, non quella degli strumenti. Tre accorgimenti pratici:

• Collega ogni voce a un rischio. Non rinnovo licenze, ma rilevamento degli accessi anomali sui sistemi che gestiscono gli ordini.
• Mostra cosa resta scoperto. Per ogni voce tagliata, scrivi quale rischio si accetta. È una decisione legittima, ma va presa da chi ne risponde, che per la NIS2 è l'organo di amministrazione.
• Dai un metro di confronto. La quota sul budget IT (il 9% di ENISA), il costo medio di un incidente nel tuo settore, il costo di fare in casa rispetto a un servizio.

C'è anche un tema di tempi. Nel focus italiano di IBM, il 71% degli intervistati prevede di aumentare la spesa in cybersicurezza dopo un data breach, in particolare su piani di risposta, specialisti, tecnologie di rilevamento e risposta e gestione delle identità. Sono le stesse voci che si possono pianificare prima, con tempi e prezzi negoziati invece che imposti dall'urgenza.

Gli errori più frequenti

• Copiare il budget dell'anno prima. Il perimetro cambia: nuovi sistemi cloud, nuovi fornitori, nuovi obblighi.
• Mettere tutto sulla tecnologia. Uno strumento che nessuno guarda di notte non riduce il rischio. Le licenze vanno lette insieme a chi le usa.
• Dimenticare i costi ricorrenti. Il progetto di adeguamento si chiude, monitoraggio, test e formazione no.
• Non tenere una riserva per gli incidenti. Una quota per la risposta e il ripristino, o un contratto di supporto già in essere, evita di negoziare nel momento peggiore.
• Non misurare. Senza indicatori (tempo di rilevamento, tempo di correzione delle vulnerabilità critiche, copertura dei backup testati) l'anno dopo non sai cosa ha funzionato.

In sintesi

Il riferimento europeo è il 9% del budget IT in mediana (ENISA, NIS Investments 2025), ma la cifra giusta per la tua azienda nasce dal rischio, dagli obblighi e dal gap rispetto alle misure che ti servono. Le voci ricorrenti, soprattutto rilevamento e risposta, pesano più dell'adeguamento iniziale, e il costo delle persone è il criterio che più spesso decide fra fare in casa e comprare un servizio.

Se vuoi impostare il budget partendo dal tuo perimetro reale, trovi come lavoriamo nella pagina dei servizi di cybersecurity gestita.