World Economic Forum: chi resta indietro sul cyber rischia

Il Global Cybersecurity Outlook 2026 del World Economic Forum mette nero su bianco due dati che da soli bastano per spiegare le priorità di questo momento storico: il divario tra le aziende con una buona maturità cyber e quelle in ritardo nella gestione del rischio digitale continua ad ampliarsi; cresce la quota di dirigenti che reputa altamente probabile un incidente cyber di impatto sistemico entro i prossimi due anni. Il Centre for Cybersecurity del WEF conferma altresì che la cybersecurity è uno dei fattori chiave della stabilità economica globale, come sottolineato più volte dallo stesso World Economic Forum.

Rispetto ai documenti precedenti, in cui il WEF sottolineava come gli attacchi informatici incontrollati rappresentassero una “minaccia crescente per la fragile economia globale”, l’edizione 2026 collega in modo esplicito cyber rischio, volatilità geopolitica e trasformazione digitale accelerata. Il messaggio di fondo resta lo stesso: la superficie di attacco si è ampliata ai sistemi industriali, ai servizi essenziali e alle supply chain globali, mentre la risposta in termini di governance, investimenti strutturali e capacità di cooperazione pubblico‑privato non tiene il passo.

Tornando a quanto accennato in apertura, nel campione analizzato dal WEF (poco più di 800 intervistati qualificati, in maggioranza figure apicali, distribuiti su quasi 100 paesi) figurano organizzazioni che consolidano funzioni di security by design, investono in detection e response avanzate, costruiscono programmi di formazione continua. Sono contrapposte ad aziende che rimangono ancorate a un approccio minimale, spesso reattivo. Il report rimarca come questa differenza costituisca ormai un fattore competitivo a tutti gli effetti: le realtà del primo gruppo dimostrano una maggiore capacità di assorbire gli shock, ridurre i tempi di fermo in caso di incidente e negoziare migliori condizioni con assicuratori e partner. Quelle del secondo gruppo vedono aumentare sia la probabilità di attacco, sia il costo medio degli incidenti.

Il ruolo dell’AI

Un capitolo centrale dell’edizione 2026 tratta dell’effetto dell’AI sugli equilibri tra difensori e attaccanti. A scanso di equivoci, l’AI viene descritta come un abilitatore di automazione di analisi comportamentale e di correlazione di grandi volumi di log all’interno dei SOC, con il concreto potenziale di ridurre tempi di rilevamento e risposta. Però il documento sottolinea anche l’ormai ben noto rischio legato all’uso dell’AI da parte dei threat actor per affinare campagne di phishing, automatizzare lo sviluppo di malware e sfruttare modelli generativi per produrre contenuti di disinformazione sempre più plausibili. ​

Qui il legame con altri report del WEF è evidente: negli anni passati l’organizzazione aveva già messo in guardia contro l’effetto combinato di disinformazione, polarizzazione sociale e sfruttamento malevolo della tecnologia, con particolare attenzione alla capacità dei contenuti generati dall’AI di alimentare campagne manipolative su larga scala. Il nuovo report segnala come la linea di demarcazione tra information operations e security tradizionale sia sempre più sfumata: un attacco alla brand reputation veicolato tramite contenuti generati con l’AI può avere effetti economici paragonabili a un data breach.

I rischi legati alla supply chain

Altro punto dolente è il tema della supply chain. Il report sottolinea che molte aziende non hanno ancora una visibilità completa sugli asset critici di terze parti, sulle dipendenze software e sui servizi cloud che compongono il proprio ecosistema digitale. L’adozione di modelli di sviluppo basati su componenti open source, servizi gestiti e piattaforme esterne offre efficienza e velocità, ma introduce un livello di esposizione che difficilmente può essere gestito con approcci tradizionali.

A questo proposito, il report insiste sul fatto che l’elemento umano resta un fattore determinante, sia sul piano delle competenze sia su quello delle responsabilità. Il documento mette in luce la cronica carenza di profili specializzati in cybersecurity, tanto tra le figure tecniche quanto nei ruoli manageriali e di governo del rischio. Resta difficile tradurre gli indicatori di sicurezza in metriche comprensibili in chiave business, con la conseguenza che le decisioni di investimento vengono talvolta prese senza una piena comprensione del rischio residuo.

Su questo punto il WEF richiama il tema della cyber literacy a tutti i livelli aziendali, in continuità con gli appelli già formulati in altri report per rafforzare l’alfabetizzazione digitale dei cittadini. Nel caso specifico delle imprese, il focus si sposta su formazione mirata per il top management, definizione di KPI misurabili e allineamento tra funzioni di sicurezza, IT e responsabili, per evitare che la cybersecurity resti confinata in un ruolo meramente operativo.

Non meno importante è il capitolo dedicato alla cooperazione internazionale e al ruolo delle partnership pubblico‑private. Il WEF ricorda che le minacce digitali hanno ormai natura transnazionale, con gruppi criminali e attori sponsorizzati da stati che operano in ecosistemi distribuiti, sfruttando differenze normative, zone grigie giurisdizionali e infrastrutture dislocate in più paesi. Di fronte a questo scenario diventa essenziale disporre di framework condivisi per lo scambio di informazioni, la risposta coordinata agli incidenti su larga scala e la definizione di standard minimi di sicurezza per i settori critici.

Percezione del rischio e impatto degli incidenti

L’attenzione resta alta anche sugli impatti macroeconomici dei cyber attacchi. Negli anni passati il WEF aveva già collegato l’aumento degli incidenti al rischio di destabilizzare interi settori produttivi e servizi essenziali. Il nuovo report sottolinea gli effetti a catena di un attacco che colpisce infrastrutture critiche, servizi finanziari o reti energetiche, e inserisce la cybersecurity a pieno titolo nel dibattito sulla resilienza delle economie nazionali.

Infine, un aspetto interessante del documento riguarda la diversa percezione del rischio tra regioni e settori. In alcuni ambiti, come quello finanziario, la sicurezza è ormai consolidata come priorità di investimento e parte integrante della compliance. In altri, soprattutto nei segmenti industriali e fra le piccole e medie imprese, il divario tra consapevolezza e capacità effettiva di protezione resta significativo. In linea generale, il WEF invita a superare l’approccio emergenziale e a strutturare percorsi di lungo periodo, in cui la sicurezza sia incorporata nei modelli di sviluppo tecnologico, nelle politiche industriali e nelle agende regolatorie.