Il 74% dei lavoratori europei ha ricevuto comunicazioni sospette durante l’attività professionale, mentre soltanto il 45% dichiara che la propria organizzazione diffonde regolarmente informazioni e aggiornamenti sui rischi informatici. Sono due dei risultati più significativi dell’indagine Eurobarometro presentata il 30 settembre 2026 dall’Agenzia dell’Unione europea per la cibersicurezza, ENISA, alla vigilia del mese europeo dedicato alla sicurezza digitale.
I dati mostrano una situazione nella quale l’esposizione alle minacce è molto diffusa, ma gli strumenti organizzativi per riconoscerle e gestirle non risultano altrettanto consolidati. L’85% dei dipendenti intervistati vorrebbe migliorare le proprie competenze informatiche, segnalando una disponibilità alla formazione che non sempre trova riscontro nelle opportunità offerte dalle aziende.
Il comunicato Cybersecurity Month @ work: Employees’ skills under the looking glass ha accompagnato l’apertura dell’European Cybersecurity Month 2026, conclusosi a ottobre. Quest’anno l’iniziativa europea ha concentrato l’attenzione sulla sicurezza negli ambienti di lavoro, affrontando il rapporto tra comportamenti individuali, preparazione del personale e responsabilità delle organizzazioni.
La sicurezza informatica dei dipendenti è diventata così un tema centrale della campagna, con una particolare attenzione alla capacità di individuare messaggi fraudolenti, proteggere le credenziali e comunicare tempestivamente eventuali anomalie.
Un lavoratore su quattro non basta a descrivere il rischio: cosa emerge dall’Eurobarometro
La ricerca utilizzata da ENISA è il Flash Eurobarometer 576, dedicato alla consapevolezza e alla preparazione dei lavoratori in materia di sicurezza informatica. L’indagine è stata condotta online tra il 27 aprile e l’8 maggio 2026, coinvolgendo 25.747 cittadini nei 27 Stati membri dell’Unione europea.
Le domande sulle esperienze di esposizione agli incidenti riguardavano i sei mesi precedenti la rilevazione. Si tratta quindi di informazioni raccolte direttamente attraverso le risposte degli intervistati, non di una verifica tecnica delle infrastrutture aziendali.
Questa distinzione è essenziale per interpretare correttamente le percentuali. La ricezione di un messaggio sospetto non significa necessariamente che un attacco abbia avuto successo, così come la percezione di un sistema sicuro non dimostra che tutti i controlli tecnici siano adeguati.
Il 39% degli intervistati riferisce di aver incontrato tentativi di phishing, cioè comunicazioni o siti fraudolenti progettati per sottrarre informazioni oppure ottenere accessi non autorizzati. Il 18% segnala tentativi di sottrazione di dati personali e il 16% tentativi di furto delle password.
Tra le altre esperienze indicate compaiono attacchi malware, segnalati dal 17% dei lavoratori, e truffe generate attraverso strumenti di intelligenza artificiale, citate dal 15%.
Le categorie possono sovrapporsi: uno stesso dipendente potrebbe aver incontrato diverse tipologie di minaccia. Non sarebbe quindi corretto sommare le percentuali per ottenere una quota complessiva di attacchi.
Soltanto il 18% dichiara, per quanto ne sia a conoscenza, che la propria organizzazione non abbia subito alcun incidente informatico nel periodo considerato. Anche questo risultato richiede cautela: la conoscenza individuale degli eventi aziendali può essere incompleta e non consente di ricostruire automaticamente il numero effettivo delle violazioni.
Phishing e intelligenza artificiale mettono alla prova i comportamenti quotidiani
Il phishing resta uno dei principali problemi per la sicurezza informatica dei dipendenti perché sfrutta attività ordinarie: consultare la posta elettronica, aprire documenti, utilizzare servizi cloud e rispondere a comunicazioni professionali.
Un messaggio apparentemente proveniente da un fornitore, da un collega o da un servizio utilizzato abitualmente può indurre a inserire credenziali in una pagina contraffatta. In altri casi, l’obiettivo è ottenere il trasferimento di denaro oppure convincere il destinatario a eseguire operazioni che compromettono la sicurezza del dispositivo.
L’ENISA Threat Landscape 2026, pubblicato il 22 settembre, individua nell’ingegneria sociale una componente ricorrente delle attività criminali. Tra le tecniche osservate compare ClickFix, che utilizza messaggi ingannevoli per convincere gli utenti a eseguire istruzioni potenzialmente dannose sui propri dispositivi.
Il rapporto analizza oltre ottomila eventi relativi al panorama delle minacce informatiche del 2025. Il ransomware continua a rappresentare una delle forme di attacco con le conseguenze operative più rilevanti, per la possibilità di interrompere servizi, sottrarre dati e avviare richieste estorsive.
I due lavori descrivono però fenomeni differenti. Il Threat Landscape esamina eventi e minacce osservati, mentre l’Eurobarometro raccoglie esperienze, percezioni e comportamenti dei lavoratori. Le rispettive statistiche non possono essere confrontate come se derivassero dallo stesso campione.
Particolarmente interessante è il dato relativo alle frodi basate sull’intelligenza artificiale. Soltanto il 48% degli intervistati dichiara di essere in grado di riconoscere un video falso generato con l’AI.
La percentuale misura una capacità dichiarata, non il risultato di una prova pratica di riconoscimento. Tuttavia evidenzia un problema concreto: contenuti audio e video manipolati possono rendere meno affidabili segnali tradizionalmente utilizzati per valutare l’autenticità di una comunicazione.
Una richiesta ricevuta attraverso un video apparentemente attendibile, per esempio, non dovrebbe essere considerata autentica soltanto perché riproduce l’immagine o la voce di una persona conosciuta. La verifica attraverso un canale indipendente costituisce una misura organizzativa utile, soprattutto quando sono coinvolti pagamenti, credenziali o informazioni riservate.
I lavoratori conoscono i pericoli, ma la preparazione rimane discontinua
Dall’indagine emerge una differenza tra la percezione dei rischi e la capacità di affrontarli attraverso comportamenti sistematici.
L’83% dei dipendenti ritiene che un attacco informatico potrebbe provocare conseguenze gravi alla propria organizzazione. Contemporaneamente, l’82% giudica efficaci gli strumenti e i sistemi digitali utilizzati dall’azienda per proteggersi.
Questi risultati possono coesistere. Un dipendente può riconoscere la gravità di una violazione e, nello stesso tempo, avere fiducia nelle difese adottate dal proprio datore di lavoro.
Il problema nasce quando tale fiducia non è accompagnata dalla conoscenza delle procedure di sicurezza o dalla capacità di individuare situazioni anomale.
L’indagine segnala inoltre che le abitudini di protezione informatica, come il controllo del mittente prima di aprire un collegamento e l’utilizzo di password robuste, risultano diffuse ma non uniformi tra i lavoratori.
La Commissione europea rileva differenze significative in relazione all’età: la consapevolezza dei rischi tende ad aumentare nelle fasce anagrafiche più elevate, mentre i giovani tra 15 e 24 anni rappresentano un gruppo per il quale viene evidenziata l’utilità di interventi formativi mirati.
Non si può dedurre che i lavoratori più giovani siano necessariamente meno competenti nell’utilizzo delle tecnologie. Familiarità con gli strumenti digitali e capacità di identificare un tentativo di frode costituiscono competenze differenti.
La sicurezza informatica dei dipendenti richiede quindi una formazione che tenga conto delle attività effettivamente svolte, anziché presumere che l’esperienza nell’uso quotidiano di applicazioni e dispositivi corrisponda automaticamente a una preparazione adeguata contro le minacce.
La formazione raggiunge sei lavoratori su dieci, con difficoltà nelle imprese più piccole
Il 60% degli intervistati dichiara di aver ricevuto una formazione sulla sicurezza informatica nell’anno precedente all’indagine.
Il dato conferma che le attività formative sono presenti in una parte consistente delle organizzazioni europee, ma lascia emergere una copertura ancora incompleta. La partecipazione diminuisce sensibilmente nelle imprese di dimensioni minori, dove possono essere più limitate le risorse dedicate alla gestione dei rischi digitali.
Anche in questo caso occorre distinguere la partecipazione dalla competenza effettivamente acquisita. Aver seguito un corso non dimostra, da solo, di saper riconoscere un messaggio fraudolento o reagire correttamente a un incidente.
La ricerca ha indagato sia le conoscenze e i comportamenti dichiarati sia la disponibilità di strumenti organizzativi. Non rappresenta invece una certificazione delle capacità operative dei singoli dipendenti attraverso prove tecniche standardizzate.
Il quadro diventa più significativo osservando gli ostacoli alla formazione.
Il 26% dei lavoratori indica nella difficoltà di trovare tempo durante l’attività professionale uno dei principali impedimenti all’aggiornamento. Il 16% segnala i costi elevati, mentre vengono citati anche la mancanza di informazioni sulle opportunità disponibili e lo scarso sostegno dei datori di lavoro.
Il problema non sembra quindi limitarsi alla motivazione individuale, considerando che l’85% manifesta interesse a rafforzare le proprie competenze.
Per le aziende emerge una questione organizzativa precisa: un’attività formativa che viene proposta senza riservarle tempo durante l’orario lavorativo rischia di essere percepita come un impegno aggiuntivo, soprattutto dai dipendenti che hanno minore autonomia nella gestione delle proprie mansioni.
La sicurezza informatica dei dipendenti dipende anche dalla possibilità concreta di partecipare ai percorsi di aggiornamento, dalla continuità delle iniziative e dalla loro pertinenza rispetto alle responsabilità professionali.
Informazioni insufficienti e procedure di segnalazione: le responsabilità delle organizzazioni
Uno dei risultati più rilevanti dell’indagine riguarda la comunicazione interna. Soltanto il 45% dei lavoratori riferisce che la propria organizzazione trasmette regolarmente informazioni o aggiornamenti sulla sicurezza informatica.
La percentuale descrive un elemento particolarmente delicato perché le minacce possono cambiare rapidamente. Una campagna di phishing che imita un servizio aziendale, per esempio, richiede comunicazioni tempestive e istruzioni comprensibili per il personale potenzialmente esposto.
Secondo ENISA, circa metà delle organizzazioni dispone delle principali misure di sicurezza considerate dall’indagine, mentre un ulteriore quarto prevede di introdurle.
Si tratta di informazioni riferite dai dipendenti, non del risultato di audit indipendenti. Inoltre, la disponibilità di singole misure varia in funzione della tipologia di controllo esaminata.
L’Eurobarometro ha preso in considerazione anche la presenza di regole aziendali, canali per segnalare attività sospette e iniziative di sensibilizzazione.
L’esistenza di un indirizzo email o di una procedura interna, tuttavia, non garantisce che i dipendenti sappiano utilizzarla. Le organizzazioni devono definire quali situazioni richiedano una segnalazione, a chi inviarla e con quali modalità.
Un comportamento efficace può consistere nel segnalare un messaggio sospetto prima di interagire con il contenuto. Quando l’interazione è già avvenuta, diventano rilevanti la rapidità della comunicazione e la possibilità di attivare verifiche tecniche.
La tempestività dipende anche dal clima organizzativo. Se il personale teme conseguenze disciplinari automatiche per ogni errore, potrebbe esitare a comunicare un incidente. Procedure chiare e una gestione proporzionata degli errori favoriscono invece l’individuazione precoce dei problemi.
Queste sono implicazioni operative dei risultati e delle buone pratiche di gestione del rischio, non percentuali di efficacia dimostrate dall’indagine.
La responsabilità della protezione rimane comunque dell’organizzazione, che deve affiancare alla preparazione del personale controlli tecnici adeguati, gestione degli accessi, aggiornamento dei sistemi, copie di sicurezza e capacità di risposta agli incidenti.
Il mese europeo della sicurezza informatica 2026 e gli strumenti ENISA
L’European Cybersecurity Month, avviato nel 2012, si svolge ogni ottobre attraverso iniziative promosse dagli Stati membri, dalle istituzioni e da organizzazioni pubbliche e private.
L’edizione 2026 ha scelto come tema centrale la protezione delle attività lavorative, richiamando la necessità di rafforzare le capacità delle persone che utilizzano quotidianamente strumenti e servizi digitali.
La campagna, sostenuta da ENISA e dalla Commissione europea, ha coinvolto attività di sensibilizzazione, eventi, seminari e opportunità formative. La conclusione del mese di ottobre non coincide però con la fine dei programmi europei dedicati allo sviluppo delle competenze.
Tra gli strumenti messi a disposizione dall’Agenzia compare Awareness Raising-in-a-Box, un insieme di risorse teoriche e pratiche per progettare programmi di sensibilizzazione destinati anche a piccole e grandi imprese.
L’obiettivo è aiutare le organizzazioni a strutturare iniziative continuative, superando la gestione occasionale della formazione attraverso comunicazioni isolate.
ENISA mette inoltre a disposizione l’European Cybersecurity Skills Framework, un quadro comune per descrivere ruoli professionali, conoscenze e competenze nel settore della cybersicurezza.
Questo strumento riguarda soprattutto la definizione dei profili specialistici, la formazione professionale e i processi di selezione del personale. Non deve essere confuso con un sistema che certifica automaticamente le capacità di sicurezza di tutti i dipendenti di un’azienda.
Altre iniziative comprendono CyberHEAD, la banca dati europea dei programmi universitari dedicati alla sicurezza informatica, e materiali educativi destinati al mondo scolastico.
Queste risorse rispondono a esigenze diverse: sensibilizzazione generale, preparazione di specialisti, orientamento formativo e sviluppo delle competenze fin dalle prime fasi dell’istruzione.
Per la sicurezza informatica dei dipendenti, gli strumenti più immediatamente pertinenti sono quelli che permettono di organizzare attività proporzionate alle mansioni e alle minacce effettivamente incontrate.
Dalla consapevolezza alla verifica delle competenze
La questione rimasta aperta dopo il mese europeo della sicurezza informatica riguarda la capacità delle aziende di trasformare l’interesse dei lavoratori in preparazione verificabile.
I risultati dell’Eurobarometro offrono una fotografia delle esperienze e delle percezioni del personale, ma non dimostrano che una determinata modalità formativa sia più efficace di un’altra.
Per valutare i progressi servono strumenti differenti rispetto alla semplice rilevazione delle opinioni: esercitazioni controllate, verifiche delle conoscenze, analisi dei tempi di segnalazione e controlli periodici sulla comprensione delle procedure aziendali.
Le simulazioni di phishing, per esempio, possono essere utilizzate per osservare come le persone riconoscono e gestiscono comunicazioni sospette. I risultati devono però essere interpretati considerando la difficoltà degli scenari, le caratteristiche dei destinatari e l’eventuale ripetizione delle prove.
Anche il numero delle segnalazioni non rappresenta un indicatore univoco. Un aumento potrebbe dipendere da una maggiore esposizione alle minacce, ma anche da una migliore capacità di riconoscerle e comunicarle.
La gestione della formazione richiede quindi criteri di valutazione coerenti con le attività dell’organizzazione e con i rischi ai quali sono esposti i diversi reparti.
La disponibilità delle risorse può incidere profondamente su questi processi, soprattutto nelle imprese più piccole. Materiali europei riutilizzabili e programmi formativi adattabili possono contribuire a ridurre le difficoltà economiche e organizzative, senza sostituire la necessità di procedure interne e responsabilità chiaramente assegnate.
Il dato sul quale si concentra l’attenzione resta quello della partecipazione: quattro lavoratori su dieci non dichiarano di aver ricevuto formazione sulla sicurezza informatica nell’ultimo anno, mentre più di otto su dieci vorrebbero migliorare le proprie competenze.
Una distanza che pone alle organizzazioni una scelta concreta sulla programmazione del lavoro: dedicare tempo e risorse alla preparazione del personale oppure lasciare che l’apprendimento dipenda prevalentemente dall’iniziativa individuale.
L’Eurobarometro individua proprio nella disponibilità di tempo il principale ostacolo dichiarato dai dipendenti. È un elemento sul quale le aziende possono intervenire direttamente, inserendo la formazione nei normali processi organizzativi e verificandone periodicamente i risultati.
