Tre dipendenti su quattro nell’Unione europea dichiarano di aver incontrato, nei sei mesi precedenti l’indagine, email, messaggi o link sospetti durante il lavoro. Il dato arriva dal nuovo Eurobarometro pubblicato dalla Commissione europea il 30 settembre 2026, in apertura del mese europeo della cybersecurity. Il phishing resta l’esperienza più comune, ma compaiono anche tentativi di furto di dati e password, malware e truffe generate con intelligenza artificiale.
La fotografia non dice che il 74% delle organizzazioni abbia subito una violazione. Descrive ciò che i lavoratori ricordano di aver visto, non ciò che un SOC ha confermato. Proprio per questo è utile: mostra quanto spesso la sicurezza dipenda da una decisione quotidiana presa davanti a un messaggio ambiguo. Se la formazione resta un corso annuale da completare, quella decisione viene lasciata alla memoria e all’intuizione. Se diventa un processo continuo, può trasformare il dubbio in una segnalazione tempestiva.
I numeri mostrano un divario tra consapevolezza e pratica
Secondo il comunicato della Commissione europea, il 39% degli intervistati riferisce di aver ricevuto messaggi o incontrato siti di phishing; il 18% segnala tentativi di sottrarre dati personali, il 17% attacchi malware, il 16% tentativi di rubare password e il 15% truffe generate con l’AI. L’83% considera gravi le possibili conseguenze di un attacco, mentre solo il 48% afferma di saper riconoscere un falso video prodotto con l’intelligenza artificiale.
La scheda dell’Eurobarometro Flash 576 permette di collocare i risultati nel loro contesto: la rilevazione è stata svolta online tra il 27 aprile e l’8 maggio 2026 e ha coinvolto 25.747 cittadini nei 27 Stati membri. Sono risposte auto-riferite. Non misurano direttamente la qualità dei controlli tecnici, né provano che ogni contenuto sospetto fosse davvero malevolo.
Questa cautela non riduce il valore del segnale. L’analisi di ENISA dedicata al mese europeo della cybersecurity aggiunge che il 60% dichiara di aver ricevuto formazione nell’anno precedente, ma soltanto il 45% riferisce aggiornamenti regolari di informazione o sensibilizzazione. Allo stesso tempo, l’85% è interessato a migliorare le proprie competenze e il 26% indica la mancanza di tempo come ostacolo principale.
Il punto non è quindi convincere le persone che la cybersecurity sia importante: la maggioranza lo sa già. Il problema è tradurre questa consapevolezza in comportamenti ripetibili quando la pressione aumenta, il messaggio sembra plausibile o una richiesta urgente arriva da un account apparentemente conosciuto.
Perché il corso annuale non basta
Una formazione efficace deve ridurre il tempo e l’incertezza che separano il sospetto dall’azione corretta. Sapere che il phishing esiste è diverso dal riconoscere una richiesta anomala nel proprio processo di pagamento, nell’accesso al cloud o nella condivisione di un documento. È ancora diverso sapere dove inoltrarla, cosa non fare nel frattempo e quale risposta aspettarsi.
I contenuti generici falliscono spesso per tre motivi. Primo, presentano esempi lontani dagli strumenti e dai ruoli reali. Secondo, misurano il completamento del corso invece della capacità di riconoscere e segnalare. Terzo, trattano l’errore come una colpa individuale, spingendo le persone a nascondere un clic sbagliato proprio quando la velocità della comunicazione è più preziosa.
L’obiettivo non dovrebbe essere creare dipendenti infallibili. Dovrebbe essere costruire un’organizzazione capace di intercettare un errore, limitarne l’impatto e imparare dall’evento senza perdere tempo nella ricerca del colpevole.
NIS2 collega competenze e responsabilità
La direttiva NIS2 offre un riferimento importante. L’articolo 20 prevede, per le entità nel suo perimetro, formazione per i membri degli organi di gestione e incoraggia una formazione regolare dei dipendenti. L’articolo 21 include le pratiche di igiene informatica di base e la formazione in materia di cybersecurity tra le misure di gestione del rischio.
Non significa che ogni organizzazione sia automaticamente soggetta alla NIS2 né che un singolo corso dimostri la conformità. Significa che competenze, supervisione e misure tecniche devono essere lette insieme. Per imprese e PA, anche fuori dal perimetro diretto, è un modello utile: il vertice deve comprendere il rischio, le persone devono saper agire e il processo deve produrre evidenze.
Dalla sensibilizzazione a un sistema operativo
Un programma maturo può essere progettato come un ciclo breve e misurabile.
- Riconoscere: costruire esempi sui processi reali dell’organizzazione, come pagamenti, reset delle credenziali, condivisione di file, richieste del management e accessi dei fornitori.
- Segnalare: offrire un canale evidente e rapido, integrato negli strumenti di lavoro, con istruzioni semplici anche dopo un clic o l’invio di una password.
- Rispondere: confermare la presa in carico e indicare subito cosa fare, evitando che il dipendente resti nell’incertezza o moltiplichi comunicazioni informali.
- Imparare: usare segnalazioni, simulazioni e quasi incidenti per aggiornare controlli, procedure e micro-contenuti, senza esporre pubblicamente chi ha sbagliato.
- Verificare: misurare tempi di segnalazione, qualità delle informazioni ricevute, riduzione delle recidive e copertura dei ruoli critici, non soltanto il numero di corsi completati.
ENISA mette a disposizione Awareness Raising-in-a-Box, un insieme di linee guida, strumenti, quiz e indicazioni per definire anche KPI e strategie di comunicazione. È un punto di partenza utile perché sposta l’attenzione dalla singola lezione alla progettazione del programma.
L’AI cambia gli esempi, non i principi
Le truffe supportate dall’AI possono rendere più credibili email, messaggi vocali, video o richieste personalizzate. Ma concentrare tutta la formazione sul riconoscimento perfetto del deepfake sarebbe un errore. La qualità sintetica cambia rapidamente e molti segnali visivi diventano meno affidabili.
I controlli più solidi restano procedurali: verificare una richiesta sensibile su un secondo canale, applicare separazione dei compiti, limitare privilegi e pagamenti, usare autenticazione resistente al phishing, registrare le modifiche e consentire una segnalazione immediata. La domanda non è soltanto «questo contenuto è falso?», ma «questa richiesta è coerente con il processo autorizzato e può essere verificata senza usare il canale indicato dal mittente?».
Una checklist per i prossimi trenta giorni
Un’organizzazione può usare il mese europeo della cybersecurity per verificare pochi elementi concreti:
- controllare se ogni dipendente conosce il canale di segnalazione e se quel canale è davvero accessibile;
- scegliere tre scenari ad alta probabilità legati ai processi interni, evitando simulazioni generiche;
- verificare che chi riceve le segnalazioni abbia tempi, responsabilità e criteri di escalation definiti;
- offrire micro-sessioni brevi e ricorrenti, compatibili con il tempo di lavoro;
- portare al management indicatori su comportamento e risposta, non classifiche punitive sui clic;
- collegare formazione, gestione delle identità, procedure di pagamento, incident response e rapporti con i fornitori.
Il nuovo Eurobarometro non dimostra che la formazione sia inutile. Mostra che l’esposizione è frequente e che consapevolezza, aggiornamento continuo e capacità di riconoscere contenuti sintetici non avanzano allo stesso ritmo. La risposta più credibile è trattare le competenze come un controllo organizzativo: progettato, esercitato, misurato e migliorato.
Se vuoi trasformare la sensibilizzazione in un programma operativo, collegare i percorsi formativi ai processi NIS2 o definire indicatori che misurino comportamenti reali, contattami, seguimi o scrivimi.
Nota di trasparenza: questo contenuto testuale e le immagini associate sono stati realizzati in parte con l’ausilio di strumenti di intelligenza artificiale, con revisione umana finale.