La difficoltà nel reperire professionisti della cybersecurity si inserisce in un mercato del lavoro digitale italiano già sotto pressione. Secondo la Relazione sul decennio digitale 2025 della Commissione europea, nel 2024 gli specialisti Ict rappresentavano il 4% degli occupati in Italia, una quota inferiore alla media dell’Unione. Un dato che riguarda l’intero settore delle tecnologie dell’informazione e che mostra quanto sia ristretta la base professionale dalla quale le imprese devono attingere.
La domanda, intanto, continua a crescere: servizi cloud, lavoro da remoto, intelligenza artificiale, filiere digitali e nuovi obblighi normativi ampliano il numero dei sistemi da proteggere. La disponibilità di competenze cyber è così diventata un fattore di continuità operativa e di competitività, e non più un tema confinato alle direzioni informatiche.
Il divario emerge con chiarezza dai dati Istat sulle imprese e l’Ict: nel 2024 solo l’11,3% delle piccole e medie imprese con almeno dieci addetti disponeva di specialisti Ict, contro il 74,5% delle grandi aziende. Distanza marcata anche nella formazione interna: corsi informatici ne aveva organizzati il 16,9% delle Pmi e il 67% delle aziende con almeno 250 addetti. Si tratta di indicatori generali e non di misure dirette sulla sicurezza, ma sono significativi: dove manca un presidio informatico strutturato diventa più difficile valutare i rischi, controllare i fornitori e riconoscere tempestivamente un incidente.
La carenza non coincide necessariamente con l’assenza totale di personale: può manifestarsi con squadre sottodimensionate, ruoli poco chiari o competenze non aggiornate. Un tecnico che gestisce reti, applicazioni e assistenza agli utenti non può automaticamente coprire anche analisi delle minacce, risposta agli incidenti, sicurezza del cloud, conformità e controllo della supply chain.
Perché gli specialisti sono difficili da trovare? La prima causa è la crescita della domanda più rapida rispetto all’offerta: ENISA rileva che le organizzazioni faticano a reperire candidati qualificati e indica il rafforzamento delle competenze tra le priorità per la resilienza europea. A ciò si aggiunge la concorrenza tra aziende private, società tecnologiche, pubbliche amministrazioni e operatori di servizi essenziali su un numero limitato di professionisti. Incide anche la definizione dei ruoli: l’etichetta «esperto di cybersecurity» copre attività molto diverse, dalla gestione del rischio all’analisi forense, e annunci troppo generici o costruiti come elenchi irrealistici di certificazioni restringono ulteriormente il bacino dei candidati. Restano infine limitati i percorsi di accesso: secondo un documento ENISA del 2025, solo il 20% dei laureati in cybersecurity presenti nel database CyberHEAD è costituito da donne, un segnale che ampliare la partecipazione femminile e valorizzare percorsi non esclusivamente informatici può contribuire ad aumentare l’offerta.
I rischi per le aziende sono concreti. Il primo è una falsa sensazione di sicurezza: firewall, sistemi di backup e servizi di monitoraggio acquistati senza le competenze per configurarli, integrarli e verificarne l’efficacia non bastano, perché la tecnologia da sola non stabilisce quali dati siano più critici né quali processi debbano ripartire per primi dopo un incidente. Il secondo riguarda i tempi di risposta: se responsabilità e procedure non sono state preparate, le prime ore di una crisi vengono assorbite dalla ricerca delle persone e delle informazioni, prolungando l’interruzione e rendendo più difficile rispettare gli obblighi di notifica previsti da normative come NIS2 o DORA, quando applicabili. C’è poi il rischio organizzativo: team ridotti e sotto pressione continua possono accumulare attività, rinviare aggiornamenti e perdere persone difficili da sostituire, mentre la conoscenza concentrata in un unico dipendente o interamente affidata a un fornitore esterno rende l’azienda dipendente da pochi interlocutori. Infine, la scarsità di competenze può rallentare l’innovazione: progetti cloud, piattaforme connesse e applicazioni di intelligenza artificiale rinviati, oppure avviati senza un’adeguata valutazione dei rischi, producono in entrambi i casi un effetto economico.
Assumere, però, non è l’unica risposta: in un mercato dove gli specialisti sono difficili da reperire, pubblicare nuove posizioni non basta. Le imprese possono agire su più livelli. Il primo è sviluppare le persone già presenti: tecnici IT, responsabili del rischio, auditor e figure compliance possono acquisire competenze complementari attraverso percorsi di formazione e affiancamento, ampliando il bacino interno e riducendo la dipendenza da poche figure. Il secondo consiste nel definire con precisione le competenze necessarie: l’European Cybersecurity Skills Framework di ENISA individua dodici profili professionali e offre un linguaggio comune per distinguere ciò che deve essere presidiato internamente da ciò che può essere affidato a partner esterni. Il terzo riguarda la diffusione della responsabilità: sicurezza e consapevolezza non possono concentrarsi in un solo ufficio, ma coinvolgono direzione, risorse umane, acquisti, legale e responsabili di processo, mentre tutto il personale deve saper riconoscere comportamenti e segnali di rischio. Infine, il ricorso a fornitori specializzati può essere necessario, soprattutto per le Pmi, ma non elimina il bisogno di una regia interna capace di definire requisiti, controllare livelli di servizio, valutare le evidenze e prendere decisioni coerenti con il rischio aziendale.
La carenza di specialisti non si colma rapidamente, ma può essere gestita con una strategia che combini selezione, crescita delle competenze interne, collaborazione con scuole e università, valorizzazione di percorsi diversi e uso consapevole dei servizi esterni. Considerare la cybersecurity soltanto come un costo tecnico significa non vedere il problema: senza persone capaci di governarla, anche gli investimenti tecnologici più avanzati rischiano di non trasformarsi in resilienza.
Lascia un commento