Milano, 26 ottobre 2026 – In Italia questa difficoltà ha luogo in un mercato del lavoro digitale già sotto pressione. Secondo la Relazione sul decennio digitale 2025 della Commissione europea, nel 2024 gli specialisti Ict rappresentavano il 4% degli occupati italiani, una quota inferiore alla media dell’Unione. Il dato riguarda l’intero settore delle tecnologie dell’informazione, non soltanto la cybersecurity, ma mostra quanto sia ristretta la base professionale dalla quale le imprese devono attingere.
DIVARIO: UN SERIO PROBLEMA PER LE PMI
Nel frattempo, la domanda continua ad aumentare. Servizi cloud, lavoro da remoto, intelligenza artificiale, filiere digitali e nuovi obblighi normativi ampliano il numero dei sistemi da proteggere. Il risultato è un divario che non riguarda più soltanto le direzioni informatiche: la disponibilità di competenze cyber è diventata un fattore di continuità operativa e competitività. I dati Istat sulle imprese e l’Ict mostrano una forte differenza legata alle dimensioni aziendali. Nel 2024 soltanto l’11,3% delle piccole e medie imprese (Pmi) con almeno dieci addetti disponeva di specialisti Ict, contro il 74,5% delle grandi imprese. Anche la formazione interna presentava una distanza marcata: aveva organizzato corsi informatici il 16,9% delle Pmi e il 67% delle aziende con almeno 250 addetti. Ancora una volta, si tratta di indicatori Ict generali e non di una misura diretta degli specialisti in sicurezza. Sono però significativi perché la cybersecurity si appoggia proprio alla capacità dell’impresa di gestire tecnologie, processi e competenze digitali. Dove manca un presidio informatico strutturato, diventa più difficile valutare i rischi, controllare i fornitori e riconoscere tempestivamente un incidente.
DIFFICOLTÀ NEL REPERIMENTO DI SPECIALISTI
La carenza non coincide necessariamente con l’assenza totale di personale. Può manifestarsi anche attraverso squadre sottodimensionate, ruoli poco chiari o competenze non aggiornate. Un tecnico che gestisce reti, applicazioni e assistenza agli utenti non può automaticamente coprire anche analisi delle minacce, risposta agli incidenti, sicurezza del cloud, conformità e controllo della supply chain. Perché gli specialisti sono difficili da trovare? La prima causa è la crescita più rapida della domanda rispetto all’offerta. ENISA rileva che le organizzazioni faticano a reperire candidati qualificati e indica il rafforzamento delle competenze tra le priorità per la resilienza europea. A questo si aggiunge la concorrenza tra aziende private, società tecnologiche, pubbliche amministrazioni e operatori di servizi essenziali per un numero limitato di professionisti. Esiste poi il problema della definizione dei ruoli: esperto di cybersecurity può indicare attività molto diverse: gestione del rischio, progettazione della sicurezza, monitoraggio, risposta agli incidenti, audit, formazione, analisi forense o protezione dei sistemi industriali. Annunci troppo generici oppure costruiti come elenchi irrealistici di certificazioni ed esperienze possono restringere ulteriormente il bacino dei candidati.
RISCHI CORSI DALLE AZIENDE
Anche la varietà dei percorsi di accesso rimane limitata. Un documento ENISA del 2025 segnala che soltanto il 20% dei laureati in cybersecurity presenti nel database CyberHEAD è costituito da donne. Ampliare la partecipazione femminile e valorizzare percorsi professionali non esclusivamente informatici può quindi contribuire ad aumentare l’offerta. Risk management, diritto, audit, organizzazione aziendale e comunicazione sono competenze rilevanti in molte funzioni cyber, se integrate con una preparazione tecnica adeguata. Il primo rischio è una falsa sensazione di sicurezza: l’impresa può avere acquistato firewall, sistemi di back up e servizi di monitoraggio senza possedere le competenze necessarie per configurarli, integrarli e verificarne l’efficacia. La tecnologia, da sola, non stabilisce quali dati siano più critici né quali processi debbano ripartire per primi dopo un incidente. Il secondo rischio riguarda i tempi di risposta: se responsabilità e procedure non sono state preparate, le prime ore di una crisi vengono assorbite dalla ricerca delle persone da coinvolgere e delle informazioni disponibili. Questo può prolungare l’interruzione, ostacolare le comunicazioni e rendere più difficile rispettare gli obblighi di notifica previsti da normative come NIS2 o DORA, quando applicabili.
ORGANIZZAZIONE E COMPETENZE
C’è poi il rischio organizzativo. Team ridotti e sottoposti a pressione continua possono accumulare attività, rinviare aggiornamenti e perdere persone difficili da sostituire. Quando la conoscenza è concentrata in un unico dipendente o interamente affidata a un fornitore esterno, l’azienda diventa dipendente da pochi interlocutori e può perdere la capacità di valutare autonomamente priorità, costi e qualità del servizio. Infine, la scarsità di competenze può rallentare l’innovazione. Progetti cloud, piattaforme connesse e applicazioni di intelligenza artificiale possono essere rinviati oppure avviati senza un’adeguata valutazione dei rischi. In entrambi i casi, il divario cyber produce un effetto economico: limita la trasformazione digitale o ne aumenta l’esposizione agli incidenti. Ma, assumere non è l’unica risposta, poiché in un mercato nel quale gli specialisti sono difficili da reperire, limitarsi a pubblicare nuove posizioni non basta. Le imprese possono agire su più livelli. Il primo è sviluppare le persone già presenti. Tecnici IT, responsabili del rischio, auditor e figure compliance possono acquisire competenze complementari attraverso percorsi di formazione in ambito IT e cybersecurity, affiancamento e applicazione pratica.
ASSUMERE NON È L’UNICA RISPOSTA
La formazione non sostituisce l’esperienza né risolve da sola il problema degli organici, ma permette di ampliare il bacino interno e ridurre la dipendenza da poche figure. Il secondo livello consiste nel definire con precisione le competenze necessarie. L’European Cybersecurity Skills Framework di ENISA individua dodici profili professionali e offre un linguaggio comune per descrivere attività, conoscenze e capacità. Può aiutare le aziende a distinguere ciò che deve essere presidiato internamente da ciò che può essere affidato a partner esterni. Il terzo riguarda la diffusione della responsabilità. Non tutti i dipendenti devono diventare specialisti, ma sicurezza e consapevolezza non possono essere concentrate in un solo ufficio. Direzione, risorse umane, acquisti, legale e responsabili di processo devono comprendere il proprio ruolo, mentre tutto il personale deve saper riconoscere comportamenti e segnali di rischio. Infine, il ricorso a fornitori specializzati può essere necessario, soprattutto per le Pmi, ma non elimina il bisogno di una regia interna. Qualcuno nell’organizzazione deve saper definire requisiti, controllare livelli di servizio, valutare le evidenze e prendere decisioni coerenti con il rischio aziendale.
GESTIRE LA CARENZA DI SPECIALISTI
La carenza di specialisti non si colma rapidamente. Può però essere gestita con una strategia che combini selezione, crescita delle competenze interne, collaborazione con scuole e università, valorizzazione di percorsi diversi e uso consapevole dei servizi esterni. Considerare la cybersecurity soltanto come un costo tecnico significa non vedere il problema: senza persone capaci di governarla, anche gli investimenti tecnologici più avanzati rischiano di non trasformarsi in resilienza.
(foto: Philipp Katzenberger)
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
