L'organizzazione media spende il 9,8% del proprio budget IT in cybersecurity secondo il sondaggio CISO 2025 di Gartner, ma questo singolo numero nasconde un'enorme variazione per settore, dimensione aziendale e contesto normativo. Per le organizzazioni europee che affrontano i requisiti di conformità NIS2, la domanda non è solo "quanto spendere" ma "come allocare la spesa per la massima riduzione del rischio." Questa guida fornisce il framework basato sui dati di cui i CISO hanno bisogno per pianificare, giustificare e ottimizzare i propri budget di cybersecurity nel 2026.
- Media Gartner: 9,8% del budget IT allocato alla cybersecurity (benchmark 2025).
- I servizi finanziari guidano con il 10-14% del budget IT; il retail e in coda con il 4-6%.
- Allocazione consigliata: prevenzione 40%, rilevamento 25%, risposta 20%, governance 15%.
- Le PMI europee con meno di 250 dipendenti dovrebbero prevedere un budget minimo di 50.000-150.000 EUR annui.
- Ogni 1 dollaro investito in prevenzione ne fa risparmiare 4-7 in costi di remediation delle violazioni (dati IBM/Ponemon).
Benchmark di settore: quanto spendono realmente le organizzazioni
La spesa in cybersecurity varia drasticamente per settore, trainata dai requisiti normativi, dalla sensibilità dei dati e dall'esposizione alle minacce. Il sondaggio CISO Spending Survey 2025 di Gartner fornisce i benchmark più completi disponibili.
| Settore | % del budget IT in sicurezza | Spesa media annua in sicurezza | Fattore trainante |
|---|---|---|---|
| Servizi finanziari | 10-14% | 15-25 milioni di dollari | Conformità normativa, prevenzione frodi |
| Sanita | 6-10% | 5-12 milioni di dollari | Protezione dati pazienti, HIPAA/GDPR |
| Tecnologia | 8-12% | 10-20 milioni di dollari | Protezione IP, fiducia dei clienti |
| Energia/Utilities | 6-9% | 8-15 milioni di dollari | Sicurezza OT, infrastrutture critiche |
| Manifattura | 5-8% | 3-8 milioni di dollari | Convergenza OT/IT, supply chain |
| Retail | 4-6% | 2-6 milioni di dollari | PCI DSS, dati di pagamento |
| Istruzione | 3-5% | 1-3 milioni di dollari | Dati di ricerca, budget limitati |
| Settore pubblico | 5-8% | 2-10 milioni di dollari | Dati dei cittadini, conformità NIS2 |
La media Gartner del 9,8% e influenzata dalle grandi imprese e dai settori fortemente regolamentati. Per le organizzazioni europee di medie dimensioni (500-5.000 dipendenti), l'intervallo pratico e tipicamente del 6-10% del budget IT. Le organizzazioni al di sotto di questo intervallo affrontano un rischio sproporzionatamente più elevato, in particolare considerando i tempi di applicazione della NIS2 nel 2026.
L'analisi 2025 di Forrester aggiunge un contesto importante: le organizzazioni che hanno aumentato il proprio budget di cybersecurity del 15% o più anno su anno hanno subito il 40% in meno di incidenti di sicurezza rispetto a quelle con budget stabili o in calo. Tuttavia, spendere di più non è sufficiente -- l'allocazione conta tanto quanto la spesa totale.
Il framework di allocazione del budget
Basandosi sulle best practice di settore dal NIST, ENISA e dalla ricerca Forrester, l'allocazione ottimale del budget di cybersecurity per un programma di sicurezza maturo segue questo framework:
| Categoria | % del budget di sicurezza | Componenti chiave |
|---|---|---|
| Prevenzione | 40% | Firewall, protezione endpoint, gestione vulnerabilità, EASM, formazione dipendenti, sviluppo sicuro |
| Rilevamento | 25% | SIEM/SOAR, operazioni SOC, threat intelligence, monitoraggio rete, rilevamento anomalie |
| Risposta | 20% | Team risposta incidenti, pianificazione IR, forensics, backup/recovery, comunicazione di crisi |
| Governance | 15% | Valutazione del rischio, gestione conformità, policy di sicurezza, audit, gestione programmi di formazione |
Prevenzione: 40% -- L'investimento con il ROI più alto
La prevenzione offre il rendimento più alto sull'investimento perché riduce la probabilità che gli incidenti si verifichino. Il Cost of a Data Breach Report 2024 di IBM mostra che la violazione media costa 4,88 milioni di dollari, mentre le misure preventive costano tipicamente una frazione di questo importo annualmente.
Gli investimenti chiave in prevenzione includono:
- External Attack Surface Management: Scoperta e monitoraggio continui degli asset esposti su internet. Soluzioni come Recon Essentials forniscono visibilità automatizzata a una frazione del costo di un programma di valutazione manuale (20.000-60.000 dollari/anno vs. 100.000+ per valutazioni periodiche).
- Formazione sulla sicurezza informatica: I programmi completi di formazione dei dipendenti costano 30.000-50.000 dollari/anno per un'organizzazione di medie dimensioni ma riducono la probabilità di violazioni legate al phishing del 70% (SANS Institute). Dato che il phishing causa il 15% di tutte le violazioni a 4,88 milioni ciascuna, questo è uno degli investimenti con il ROI più alto disponibili.
- Gestione delle vulnerabilità: La scansione regolare e la gestione delle patch costano 40.000-80.000 dollari/anno ma affrontano la causa principale del 14% delle violazioni (vulnerabilità di software di terze parti e zero-day combinati).
- Protezione endpoint: Le moderne soluzioni EDR/XDR costano 30-60 dollari per endpoint all'anno, fornendo capacità di rilevamento e prevenzione che secondo i dati IBM riducono i costi delle violazioni di una media di 176.000 dollari.
Rilevamento: 25% -- Ridurre il tempo di permanenza
Gli investimenti nel rilevamento si concentrano sulla riduzione del tempo tra il verificarsi di una violazione e la sua identificazione. I dati IBM mostrano che ridurre il tempo di rilevamento da 258 giorni (media) a meno di 200 giorni fa risparmiare circa 1 milione di dollari per violazione. La metrica chiave e il Mean Time to Detect (MTTD).
Per le organizzazioni che non possono dotarsi di un SOC interno 24/7, i servizi di rilevamento e risposta gestiti come Oversight forniscono monitoraggio continuo a una frazione del costo di una capability interna (100.000-300.000 dollari/anno per servizi gestiti vs. 500.000-1.500.000 dollari/anno per un SOC interno con 5-8 analisti).
Risposta: 20% -- Minimizzare i danni
Gli investimenti nella risposta agli incidenti garantiscono che quando le violazioni si verificano, l'organizzazione possa contenerle e rimediarle rapidamente. I dati IBM mostrano che avere un team e un piano IR testati fa risparmiare 232.000 dollari per violazione e riduce il tempo di contenimento di 54 giorni.
Per le organizzazioni europee, la NIS2 impone la segnalazione degli incidenti entro 24 ore dalla presa di conoscenza di un incidente significativo, rendendo le capacità di IR un requisito normativo piuttosto che un investimento opzionale. L'allocazione del budget per la risposta dovrebbe includere accordi retainer con fornitori forensi, esercitazioni tabletop regolari e playbook documentati per i tipi di incidenti più comuni.
Governance: 15% -- Abilitare tutto il resto
La governance può sembrare un overhead, ma e la base che garantisce che tutti gli altri investimenti producano valore. Questo include valutazioni del rischio che identificano dove concentrare la spesa, gestione della conformità che evita le sanzioni NIS2 (fino a 10 milioni di EUR), revisioni dell'architettura di sicurezza e il framework di policy che guida le decisioni quotidiane sulla sicurezza.
Budget cybersecurity per dimensione aziendale
L'approccio della percentuale del budget IT funziona bene per le organizzazioni più grandi, ma le PMI europee spesso necessitano di cifre assolute con cui lavorare. Basandosi sulle linee guida ENISA per la cybersecurity delle PMI e sui benchmark Forrester:
| Dimensione aziendale | Dipendenti | Budget annuo sicurezza consigliato | Aree di focus principali |
|---|---|---|---|
| Micro | 1-10 | 5.000-15.000 EUR | Protezione endpoint base, sicurezza email, backup |
| Piccola | 11-50 | 15.000-50.000 EUR | + Formazione sicurezza, scansione vulnerabilità |
| Medio-piccola | 51-250 | 50.000-150.000 EUR | + EASM, rilevamento gestito, piano risposta incidenti |
| Media | 251-1.000 | 150.000-500.000 EUR | + Servizi SOC, gestione conformità, penetration testing |
| Medio-grande | 1.001-5.000 | 500.000-2.000.000 EUR | + Team sicurezza dedicato, SIEM/SOAR, protezione avanzata |
| Grande impresa | 5.000+ | 2.000.000+ EUR | Programma di sicurezza completo con SOC 24/7 |
Per le PMI europee soggette agli obblighi NIS2 (molte nella categoria "entita importanti"), l'intervallo di 50.000-150.000 EUR per organizzazioni con 51-250 dipendenti e il minimo pratico. Questo copre servizi essenziali come la gestione della superficie di attacco esterna, la formazione sulla sicurezza informatica e la preparazione di base alla risposta agli incidenti.
Analisi costi-benefici: investimenti chiave in sicurezza
Ogni investimento in sicurezza dovrebbe essere valutato rispetto alla riduzione del rischio attesa. Utilizzando i dati IBM Cost of a Data Breach e le stime di probabilità di violazione di Ponemon (27,9% in qualsiasi periodo di due anni per un'organizzazione media), emerge la seguente analisi costi-benefici:
| Investimento | Costo annuo | Riduzione del rischio | Risparmio annuo atteso | ROI |
|---|---|---|---|---|
| Formazione sicurezza informatica | 30.000-50.000 EUR | Riduce violazioni phishing del 70% | ~480.000 EUR | 10-16x |
| Piattaforma EASM | 20.000-60.000 EUR | Riduce esposizione sconosciuta dell'80% | ~290.000 EUR | 5-15x |
| SOC/MDR gestito | 100.000-300.000 EUR | Riduce MTTD del 75% | ~700.000 EUR | 2-7x |
| Piano IR e test | 15.000-30.000 EUR | Risparmia 232K per violazione (IBM) | ~162.000 EUR | 5-11x |
| Penetration testing (annuale) | 20.000-80.000 EUR | Identifica vulnerabilità critiche | ~340.000 EUR | 4-17x |
| Sicurezza email (avanzata) | 10.000-30.000 EUR | Blocca il 99% delle email malevole | ~220.000 EUR | 7-22x |
I risparmi annui attesi sono calcolati moltiplicando la riduzione della probabilità di violazione per il costo medio della violazione per il vettore di attacco rilevante, aggiustato per il settore e la regione dell'organizzazione. Queste cifre rappresentano stime conservative per un'organizzazione europea di medie dimensioni.
Come giustificare un aumento di budget al consiglio
La ragione più comune per cui i budget di cybersecurity rimangono inadeguati non è la mancanza di minacce ma l'incapacita di comunicare il rischio in termini aziendali. Il sondaggio CISO 2025 di Forrester ha rilevato che il 67% dei CISO che hanno ottenuto con successo un aumento del budget hanno utilizzato analisi quantitative del rischio nelle loro presentazioni al consiglio.
Un framework comprovato per la giustificazione del budget segue questi passaggi:
- Quantificare l'attuale esposizione al rischio: Calcolare la perdita annua attesa utilizzando il costo medio della violazione del proprio settore moltiplicato per la probabilità annuale di violazione. Per un'azienda europea di medie dimensioni, questo è tipicamente $4,5M x 14% (equivalente annuale del 27,9% biennale) = circa 630.000 dollari di perdita annua attesa.
- Mostrare il gap: Mappare le proprie capacità di sicurezza attuali rispetto ai framework riconosciuti (NIST CSF, ISO 27001) e identificare gap specifici. Ogni gap rappresenta un rischio quantificabile che si traduce in potenziale esposizione finanziaria.
- Presentare l'investimento come riduzione del rischio: Per ogni investimento proposto, mostrare il fattore specifico di riduzione dei costi dai dati IBM e calcolare la riduzione attesa della perdita annua. Un investimento di 100.000 dollari nel rilevamento gestito che riduce la perdita annua attesa di 300.000 dollari e un business case diretto.
- Includere il rischio normativo: Le sanzioni NIS2 fino a 10 milioni di EUR o il 2% del fatturato globale rappresentano un rischio materiale che il consiglio deve comprendere. L'investimento in conformità e direttamente comparabile a questa esposizione sanzionatoria.
- Confrontarsi con i peer: Utilizzare i benchmark di spesa settoriale in questo articolo per mostrare dove si posiziona la propria organizzazione rispetto ai concorrenti. Essere significativamente al di sotto della media crea sia rischio di sicurezza che svantaggio competitivo.
"I CISO che inquadrano la spesa per la sicurezza come gestione del rischio piuttosto che come centro di costo hanno una probabilità 2,3 volte maggiore di ricevere aumenti di budget del 10% o più." -- Forrester, The State of the CISO 2025
Considerazioni specifiche per il budget europeo
Le organizzazioni europee affrontano pressioni di budget uniche che differenziano la loro pianificazione dai framework incentrati sugli Stati Uniti:
Costi di conformità NIS2
ENISA stima che la conformità NIS2 richiedera alle organizzazioni interessate di aumentare la spesa in cybersecurity del 12-22% rispetto ai livelli pre-NIS2. Per le organizzazioni che partono da una base bassa, l'aumento potrebbe essere significativamente maggiore. Le aree di costo principali includono l'infrastruttura per la segnalazione degli incidenti, i programmi di gestione del rischio della supply chain, la governance della cybersecurity a livello di consiglio e audit e valutazioni periodiche delle vulnerabilità.
Costi continuativi del GDPR
La conformità GDPR continua a rappresentare il 10-15% dei budget totali di cybersecurity per le organizzazioni europee, coprendo valutazioni d'impatto sulla protezione dei dati, costi del DPO, gestione delle richieste degli interessati e processi di notifica delle violazioni. Questi costi sono ormai di base e non dovrebbero essere ridotti per finanziare la conformità NIS2.
Costi del talento in Europa
Con circa 300.000 posizioni di cybersecurity vacanti in Europa (ENISA, 2025), i costi del lavoro per i professionisti della sicurezza sono aumentati del 15-25% negli ultimi tre anni. Un analista di sicurezza senior in Italia costa 55.000-75.000 EUR annui, mentre in Spagna l'intervallo e 45.000-65.000 EUR. Questi costi rendono i servizi di sicurezza gestiti sempre più attraenti per le organizzazioni di medie dimensioni.
Considerazioni su valuta e fornitori
Molti strumenti di cybersecurity sono prezzati in USD, creando esposizione valutaria per le organizzazioni con budget in EUR. Una fluttuazione del 10% nel cambio USD/EUR può impattare i costi degli strumenti per il 5-8% del budget totale di sicurezza. La pianificazione del budget dovrebbe includere un contingency del 5-10% per il rischio valutario.
Costruire una roadmap di investimento in sicurezza a 3 anni
Piuttosto che richiedere un singolo grande aumento di budget, i CISO di successo presentano una roadmap di investimento graduale che costruisce le capacità in modo incrementale:
Anno 1: Fondazione (investimenti prioritari)
- Gestione della superficie di attacco esterna per la visibilità sulla propria impronta digitale
- Formazione sulla sicurezza informatica per affrontare il fattore umano
- Sviluppo del piano di risposta agli incidenti ed esercitazione tabletop iniziale
- Valutazione dei gap NIS2 e pianificazione della remediation
Anno 2: Maturazione
- Rilevamento e risposta gestiti per capacità di monitoraggio 24/7
- Programma annuale di penetration testing
- Implementazione della gestione del rischio della supply chain
- Formalizzazione del framework di governance della sicurezza
Anno 3: Ottimizzazione
- Automazione e orchestrazione della sicurezza
- Integrazione avanzata della threat intelligence
- Monitoraggio continuo della conformità
- Dashboard di metriche e KPI di sicurezza per il reporting al consiglio
Questo approccio graduale ha maggiori probabilità di ricevere l'approvazione del consiglio perché dimostra milestone chiari, consente correzioni di rotta basate sui risultati dell'Anno 1 e distribuisce i costi su più cicli di budget. Il modello di pricing trasparente di Orizon supporta questo tipo di pianificazione incrementale fornendo una chiara visibilità dei costi per ogni livello di capacità.
Metriche chiave del budget da monitorare
Una volta allocato il budget, monitorare le metriche giuste garantisce che la spesa produca risultati:
- Spesa in sicurezza per dipendente: La media europea e 1.200-2.500 EUR per dipendente annualmente. Confrontare questo dato con il proprio benchmark di settore.
- Costo per incidente: Spesa totale in sicurezza divisa per il numero di incidenti gestiti. Questo dovrebbe diminuire man mano che il programma matura.
- Mean Time to Detect (MTTD): La media di settore e 204 giorni. Ridurre a meno di 50 giorni con un investimento adeguato nel rilevamento.
- Mean Time to Respond (MTTR): Monitorare quanto rapidamente si contengono gli incidenti una volta rilevati. Obiettivo inferiore a 72 ore per la conformità NIS2.
- Tasso di click sul phishing: Misurare l'efficacia della formazione sulla sicurezza. Le organizzazioni best-in-class raggiungono meno del 3%.
- Tempo di remediation delle vulnerabilità: Monitorare quanto rapidamente vengono patchate le vulnerabilità critiche. Obiettivo inferiore a 15 giorni per severità critica.