Calano eventi e incidenti cyber in Italia ad aprile 2026: cosa dicono i dati ACN e cosa cambia per le aziende NIS2
L'Operational Summary ACN di aprile 2026 registra un calo del 39% rispetto a marzo. Non è una tregua: è l'assestamento di un sistema che ha finalmente iniziato a misurare. Per le organizzazioni soggette a NIS2, gli obblighi sono pienamente operativi e la fase ispettiva si avvicina.
Ad aprile 2026 calano gli eventi e gli incidenti cyber registrati in Italia. Lo certifica l'Agenzia per la Cybersicurezza Nazionale (ACN) nel suo Operational Summary mensile. Ma leggere questo dato come un segnale di distensione sarebbe un errore: il calo riflette un assestamento fisiologico dopo i picchi dei mesi precedenti, mentre il livello di minaccia rimane elevato e il sistema di obblighi NIS2 è pienamente operativo.
Come consulenti NIS2, condividiamo l'analisi di questi dati perché leggere correttamente i numeri dell'ACN fa parte di una governance della sicurezza informatica matura.
I numeri chiave di aprile 2026
Il trend 2026: quattro mesi a confronto
Per capire il valore del dato di aprile è indispensabile il contesto dei mesi precedenti. La serie storica del 2026 racconta l'impatto progressivo dell'entrata in vigore degli obblighi di notifica NIS2.
Tabella comparativa: Gen–Apr 2026
| Mese | Eventi | Δ vs mese prec. | Incidenti | Δ vs mese prec. | Comm. CSIRT | Nuove CVE |
|---|---|---|---|---|---|---|
| Gennaio 2026 | 225 | +42% | 39 | –13% | 1.010 | n.d. |
| Febbraio 2026 | 436 | +94% | 174 | +60% | 4.650 | 4.807 |
| Marzo 2026 | 436 | stabile | 313 | +81% | 7.216 | 6.192 |
| Aprile 2026 | 265 | –39% | 174 | –39% | 7.229 | 5.885 |
Fonte: Operational Summary ACN mensile. La comunicazione CSIRT di gennaio include solo allertamenti proattivi (1.010); da febbraio il dato comprende tutte le comunicazioni dirette.
Le minacce prevalenti ad aprile 2026
Tipologie di attacco
Le principali minacce rilevate nel mese secondo l'ACN:
- Esposizione di dati — la tipologia più diffusa, prevalente nel settore manifatturiero
- Campagne di phishing — con la posta elettronica confermata come principale vettore di accesso iniziale
- Compromissioni di caselle e-mail — prevalenti nei comparti tecnologico e telecomunicazioni
- Attacchi ransomware — concentrati nei settori manifatturiero, trasporti e società private
Settori più colpiti
| Settore | Minacce prevalenti | Vettore principale |
|---|---|---|
| Manifatturiero | Esposizione dati, ransomware | Credenziali compromesse, accesso remoto |
| Tecnologico / Telecomunicazioni | Compromissione caselle e-mail | Phishing, account validi |
| Pubblica Amministrazione Centrale | Esposizione dati, phishing | Posta elettronica |
| Trasporti | Ransomware | Servizi di accesso remoto non configurati |
| Società private (altri settori) | Ransomware | Credenziali valide già compromesse |
I vettori di compromissione
- Credenziali valide già compromesse — account rubati tramite infostealer o violazioni pregresse, riutilizzati per accedere ai sistemi
- Servizi di accesso remoto non adeguatamente configurati — VPN, RDP e portali esposti senza protezioni sufficienti
La loro presenza persistente nei report mensili ACN è un segnale inequivocabile: molte organizzazioni non hanno ancora implementato controlli di base come l'autenticazione multi-fattore e la revisione periodica delle credenziali privilegiate.
Il monitoraggio proattivo del CSIRT Italia
Parallelamente alla gestione degli incidenti, il CSIRT Italia monitora attivamente la superficie di attacco esposta ad aprile 2026:
Nonostante il calo degli incidenti registrati, il volume complessivo di comunicazioni CSIRT è in lieve aumento rispetto a marzo (7.229 vs 7.216). Il sistema di allertamento proattivo sta intercettando i rischi prima che si trasformino in incidenti. Per chi riceve queste comunicazioni, la risposta tempestiva non è opzionale.
Le vulnerabilità: 5.885 nuove CVE ad aprile
| Indicatore CVE | Febbraio 2026 | Marzo 2026 | Aprile 2026 |
|---|---|---|---|
| Nuove CVE pubblicate | 4.807 | 6.192 | 5.885 |
| CVE con Proof of Concept | 1.109 | 1.281 | 1.251 |
| CVE con sfruttamento attivo | 13 | 7 | 10 |
Vulnerabilità critiche segnalate dal CSIRT Italia ad aprile 2026
| Prodotto | Tipologia di rischio | Livello |
|---|---|---|
| Fortinet FortiClient EMS | Esecuzione di codice da remoto (RCE) | Critico |
| Apache Tomcat | Esecuzione di codice da remoto (RCE) | Critico |
| Red Hat Enterprise Linux 10 | Accesso non autorizzato a informazioni sensibili | Alto |
Le implicazioni per le organizzazioni NIS2
Il perimetro si è ampliato: verificate il vostro status
A metà aprile 2026, ACN ha trasmesso le comunicazioni di inclusione nel perimetro NIS a oltre 20.000 organizzazioni, di cui oltre 5.000 qualificate come essenziali. Se avete ricevuto questa comunicazione, siete formalmente soggetti agli obblighi. Se non siete certi del vostro status, è il momento di verificarlo sulla piattaforma ACN.
Le quattro categorie di incidenti soggetti a notifica
| Categoria | Descrizione | Soggetti |
|---|---|---|
| IS-1 | Perdita di riservatezza verso l'esterno di dati digitali | Importanti + Essenziali |
| IS-2 | Perdita di integrità con impatto verso l'esterno | Importanti + Essenziali |
| IS-3 | Violazione dei livelli di servizio attesi (DE.CM-01) | Importanti + Essenziali |
| IS-4 | Accesso non autorizzato o con abuso dei privilegi | Solo Essenziali |
La timeline di notifica (obbligatoria)
T0 — Acquisizione evidenza dell'incidente
Il clock inizia da questo momento, non dalla scoperta tardiva. Cruciale avere processi interni di rilevazione.
Pre-notifica obbligatoria (Early Warning)
Segnalazione tempestiva al CSIRT Italia del sospetto di evento malevolo o con potenziale impatto transfrontaliero.
Notifica completa dell'incidente
Documentazione dettagliata dell'evento, degli impatti e delle azioni intraprese.
Inizio fase ispettiva ACN
Da questa data ACN può avviare verifiche: richieste documentali, valutazione misure tecniche/organizzative, audit on site.
⚠ Scadenza categorizzazione attività e servizi
I soggetti NIS devono completare la categorizzazione sulla piattaforma ACN entro questa data (Determinazione 155238 del 20 aprile 2026).
Cosa fare adesso: la checklist operativa
Sulla base del quadro ACN di aprile 2026, queste sono le priorità operative per le organizzazioni NIS2:
Conclusione
I dati di aprile 2026 non segnalano una riduzione della minaccia. Segnalano che il sistema di monitoraggio italiano si sta assestando su una nuova normalità — più trasparente, più esigente, e pienamente operativa. Il volume di comunicazioni CSIRT rimane alto (7.229), il numero di CVE con exploit pubblico è rilevante (1.251) e la fase ispettiva di ottobre 2026 si avvicina.
Per le organizzazioni soggette a NIS2, il messaggio è chiaro: la finestra per completare l'adeguamento è aperta, ma non lo resterà a lungo. La conformità si dimostra con processi documentati e testati — non si improvvisa quando arriva l'audit.
Operational Summary ACN — Aprile 2026 (PDF ufficiale ACN)
Serie storica: Operational Summary ACN Gennaio–Marzo 2026 (archivio ACN)
Determinazione ACN 155238 del 20 aprile 2026 — categorizzazione attività NIS