Checklist di sicurezza informatica per PMI: i 12 controlli da fare subito

Quando si parla di sicurezza informatica, molti imprenditori pensano ad attacchi da film. Nella realtà delle PMI i problemi sono più banali: una password usata su dieci servizi, un backup mai provato, un aggiornamento rimandato da mesi.

Questa checklist raccoglie 12 controlli di sicurezza informatica per PMI, in ordine pratico. Per ognuno trovi cosa fare e a quale misura di base dell’Agenzia per la Cybersicurezza Nazionale (ACN) corrisponde. Per il GDPR trovi il riferimento all’articolo 32 dove serve. Leggi con carta e penna e chiediti, per ogni punto, se la tua azienda lo rispetta.

Quali sono i 12 controlli di sicurezza informatica da fare subito?

Sono dodici verifiche concrete su accessi, dispositivi, rete, dati e persone. Si parte dalle verifiche, prima di spendere. La tabella è un’autovalutazione rapida: segna cosa è già presidiato e cosa no. Nella colonna «Misura ACN» trovi il codice della misura di base che le corrisponde, se rientri nella NIS2.

Perché anche una PMI piccola deve fare questi controlli?

Perché i punti d’ingresso più frequenti sono semplici: un messaggio di phishing o una vulnerabilità non corretta. Nei dati ENISA il phishing, compresi vishing, malspam e malvertising, pesa per circa il 60% dei casi osservati. Lo sfruttamento di vulnerabilità per il 21,3%. L’analisi copre 4.875 incidenti europei (luglio 2024 – giugno 2025), non solo PMI.

Il Cyber Index PMI 2025 è promosso da Confindustria e Generali con il Politecnico di Milano, con la partnership di ACN. Misura la consapevolezza delle PMI italiane a 55 punti su 100, sotto la soglia di sufficienza di 60. Misura anche la maturità nella gestione del rischio cyber: solo il 16% delle PMI è nel livello «maturo».

Cosa chiedono davvero il GDPR e la NIS2 su questi controlli?

Il GDPR (art. 32) chiede a ogni titolare di mettere in atto misure tecniche e organizzative adeguate al rischio. Tra queste, se del caso, cifratura, capacità di ripristino dopo un incidente e una procedura per testare regolarmente l’efficacia delle misure. La NIS2 riguarda solo chi rientra nel perimetro e le misure di base le detta l’ACN, misura per misura (Determinazione 379907/2025).

Un’azienda che presidia i 12 controlli copre una parte importante di entrambi, non tutto. Per la NIS2 restano fuori, tra l’altro, politiche scritte, ruoli approvati dal vertice, gestione dei fornitori, log e accesso fisico. L’ACN chiede anche di cifrare i dati su portatili, smartphone e supporti removibili come le chiavette (PR.DS-01), e di scansionare questi ultimi prima dell’uso. Se non sai se la NIS2 ti riguarda, parti dall’albero decisionale. Il dettaglio è nella checklist delle misure minime NIS2. Il termine per le misure di base dipende dalla data in cui hai ricevuto la comunicazione di inserimento.

Come proteggi gli accessi: password, 2FA e privilegi?

Con tre mosse: una password diversa per ogni servizio, un secondo fattore sugli account importanti, permessi limitati a ciò che serve. Insieme riducono il rischio che qualcuno entri con credenziali rubate o indovinate.

• Password e account individuali. L’ACN chiede che le utenze, anche amministrative e da remoto, siano censite e individuali, con credenziali robuste e aggiornate (PR.AA-01). Il nostro consiglio: un gestore di password aziendale e frasi lunghe invece di sigle complicate.
• Autenticazione a più fattori (2FA/MFA). Per almeno i sistemi rilevanti l’ACN prevede soluzioni di autenticazione multifattore (PR.AA-03). Il nostro consiglio: parti da posta, Microsoft 365, VPN e gestionale. Approfondisci nella guida a password e autenticazione a due fattori.
• Privilegi minimi. Ogni persona vede solo ciò che le serve; gli amministratori usano un account separato per l’amministrazione (PR.AA-05). Le utenze si verificano periodicamente e si revocano quando qualcuno cambia ruolo o lascia l’azienda (PR.AA-01).

Come tieni sotto controllo dispositivi, aggiornamenti e rete?

Parti da un elenco di ciò che hai, poi tieni tutto aggiornato e protetto. Non puoi difendere ciò che non sai di avere.

• Inventario. L’ACN chiede inventari aggiornati di hardware (anche IoT, cioè oggetti collegati come telecamere o stampanti), software e servizi dei fornitori cloud (ID.AM-01, -02, -04). Per una PMI piccola può bastare un foglio condiviso e aggiornato.
• Aggiornamenti. L’ACN prevede software con aggiornamenti di sicurezza garantiti. Gli aggiornamenti vanno installati «senza ingiustificato ritardo», salvo ragioni motivate e documentate, in coerenza con il piano di gestione delle vulnerabilità (PR.PS-02). Un sistema fuori supporto resta senza correzioni. Windows 10 è a fine supporto dal 14 ottobre 2025. Non riceve più correzioni, salvo gli aggiornamenti estesi a pagamento (cosa fare in azienda). Lo stesso vale per il sito: la guida su PHP2Shell spiega come verificare la versione di PHP.
• Antivirus o EDR. L’EDR è un software che osserva il comportamento del dispositivo e blocca ciò che è anomalo. L’ACN chiede sistemi di protezione degli endpoint, cioè di computer, server e telefoni, per rilevare il codice malevolo (DE.CM-09). Il nostro consiglio: una console unica che mostra quali dispositivi sono coperti.
• Firewall e Wi-Fi. L’ACN indica sistemi perimetrali come i firewall, aggiornati e configurati (PR.IR-01). Il nostro consiglio: un firewall aziendale, non il modem del provider, e una rete ospiti separata da quella dei server. La rete ospiti non è una richiesta ACN.

Come ti prepari a un incidente: backup, piano e prove?

Con copie dei dati che sai ripristinare e con un piano scritto su chi fa cosa. Il backup non basta se nessuno sa da dove ripartire.

• Backup. L’ACN chiede backup periodici di dati e configurazioni, protetti e verificati, con copie offline per i sistemi rilevanti (PR.DS-11). Il GDPR cita il ripristino tempestivo dei dati dopo un incidente. La regola è nell’articolo sul backup 3-2-1.
• Piano di risposta e ripristino. L’ACN prevede un piano di continuità e uno di ripristino, con ruoli, contatti, risorse e ordine di ripristino (ID.IM-04). Prevede anche un piano di gestione degli incidenti con notifica al CSIRT Italia, il gruppo nazionale di risposta agli incidenti informatici (RS.MA-01). Il nostro consiglio, per tutti: un documento con i numeri da chiamare e le prime azioni. Vedi anche disaster recovery.
• Verifiche periodiche. Il GDPR chiede una procedura per testare e valutare regolarmente le misure. L’ACN chiede di identificare e risolvere le vulnerabilità con un piano approvato dal vertice (ID.RA-01, ID.RA-08). Il nostro consiglio: una verifica a calendario, almeno una volta l’anno. Un promemoria è in cosa controllare nella cybersecurity.

Come proteggi le persone e la posta elettronica?

Formando chi lavora e filtrando i messaggi prima che arrivino in casella. Perché nei dati ENISA il phishing è il vettore principale e un filtro ferma molti messaggi prima che qualcuno li legga.

• Formazione. L’ACN chiede un piano di formazione approvato dal vertice e rivolto anche agli organi direttivi, con contenuti, verifiche e un registro dei partecipanti (PR.AT-01). Parti dai segnali del phishing: mittente strano, urgenza, richieste di pagamento.
• Posta. Solo per i soggetti essenziali l’ACN prevede strumenti di analisi e filtraggio del traffico in ingresso, posta compresa (DE.CM-01, punto 4). Per gli altri è un nostro consiglio: filtri anti-spam e anti-phishing.

Come ti aiuta Aeon Lab con la sicurezza informatica

Con il servizio di cybersecurity per le aziende partiamo da un check-up dei 12 controlli. Come MSP e MSSP (fornitori di servizi IT e di sicurezza gestiti) di Roma costruiamo poi un piano per priorità, con un unico referente:

• 2FA, password e accessi configurati e verificati.
• Protezione di endpoint e posta, gestita in modo centralizzato.
• Backup e piano di risposta pronti all’uso, con prove periodiche.
• Allineamento a NIS2 e GDPR con il servizio di compliance e NIS2.

Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.

Richiedi una consulenza gratuita →

Domande frequenti

Da quale controllo conviene partire?

Da quelli con alto effetto rispetto allo sforzo: 2FA sugli account critici, backup con ripristino provato, aggiornamenti e formazione. Sono scelte nostre: formazione e aggiornamenti rispondono ai due vettori principali dei dati ENISA (phishing e vulnerabilità), 2FA e backup alla nostra esperienza sul campo. Poi si completano inventario e piano di risposta.

Una PMI di poche persone ha davvero bisogno di tutto questo?

Sì, in forma proporzionata. Il GDPR chiede misure adeguate al rischio a chiunque tratti dati personali, anche in un piccolo studio. I controlli si dimensionano sull’azienda.

Questi controlli bastano per essere a norma NIS2?

No: coprono una parte importante delle misure di base, non tutto. Restano fuori politiche scritte, ruoli approvati dal vertice, cifratura dei dati, gestione dei fornitori, log e accesso fisico. Per chi rientra nel perimetro ci sono anche la registrazione e la notifica degli incidenti. Verifica prima se sei coinvolto, poi confronta le misure con la checklist per l’IT.

Il GDPR impone una lista precisa di misure?

No. L’articolo 32 chiede un livello di sicurezza adeguato al rischio, tenendo conto di stato dell’arte, costi, natura e finalità del trattamento. Elenca esempi, come cifratura e ripristino dei dati, ma la scelta delle misure e la prova che siano adeguate spettano al titolare.

In breve

La sicurezza di una PMI si regge su dodici controlli concreti: accessi, aggiornamenti, dispositivi, backup, persone e piani. Il GDPR chiede misure adeguate al rischio; la NIS2, per chi la riguarda, le rende verificabili. Fai un’autovalutazione onesta, parti dai controlli a basso sforzo e documenta ciò che fai.

Pubblicato l’8 febbraio 2026. Ultimo aggiornamento: 5 novembre 2026.

Fonti

• Agenzia per la Cybersicurezza Nazionale (ACN), Modalità e specifiche di base NIS (Determinazione 379907/2025).
• ACN, Allegato 1, misure di base per i soggetti importanti e Allegato 2, soggetti essenziali.
• Regolamento (UE) 2016/679 (GDPR), articolo 32, testo pubblicato dal Garante.
• ENISA, Threat Landscape 2025 (4.875 incidenti, 1° luglio 2024 – 30 giugno 2025).
• ACN, Cyber Index PMI 2025 (Confindustria, Generali, Politecnico di Milano).
• Microsoft, Il supporto di Windows 10 termina il 14 ottobre 2025.