Quanto costa la sicurezza informatica per una PMI: voci di spesa e budget
Quanto costa proteggere una piccola o media impresa? Voci di spesa, come stimare il budget per postazione, cosa chiedere nei preventivi e dove non risparmiare.
Non esiste un prezzo unico per la sicurezza informatica di un'azienda, ma esiste un metodo per stimarlo: sommare una quota per postazione (protezione dei computer, posta, accessi) e una quota fissa (firewall, backup, consulenza, formazione). Per una PMI il budget cambia di molto in base al numero di persone, ai dati trattati e al livello di servizio scelto. Questa guida ti mostra le voci che compaiono davvero nei preventivi, come confrontarle e dove è sbagliato tagliare.
Tutti i numeri della guida sono esempi illustrativi per spiegare i calcoli: non sono listini, e i prezzi reali vanno verificati con preventivi aggiornati di più fornitori.
Le voci di spesa da conoscere
Quando un fornitore propone un "pacchetto sicurezza", dentro ci sono spesso componenti molto diversi. Conviene scomporli.
| Voce | Tipo di costo | Cosa comprende |
|---|---|---|
| Protezione delle postazioni (antivirus o EDR) | Annuale, per postazione | Licenza, console di gestione, aggiornamenti |
| Protezione della posta | Annuale, per casella | Filtri antispam e antiphishing, analisi degli allegati |
| Autenticazione a più fattori | Spesso inclusa nei servizi cloud, altrimenti per utente | App di autenticazione o chiavi fisiche |
| Firewall e VPN | Acquisto o noleggio, più licenze annuali | Apparato, aggiornamenti, supporto |
| Backup | Mensile o annuale, per spazio e retention | Copia locale e in cloud, copia immutabile |
| Formazione dei dipendenti | Annuale | Corsi, simulazioni di phishing |
| Consulenza e gestione | A ore o canone | Configurazione, controlli periodici, assistenza |
| Polizza cyber | Premio annuo | Copertura dei costi in caso di sinistro |
Alcune voci sono investimenti iniziali (configurazione, acquisto del firewall), altre sono canoni ricorrenti. Nel confronto tra offerte considera sempre il costo su tre anni, non solo il primo.
Come stimare un budget partendo dalle postazioni
Un modo pratico è ragionare per livelli di protezione. Il calcolatore di questo sito, stima costi di sicurezza, usa tre livelli di esempio:
- Base: antivirus gestito e aggiornamenti centralizzati.
- Intermedio: protezione evoluta delle postazioni (EDR), autenticazione a più fattori e posta protetta.
- Avanzato: come l'intermedio, più monitoraggio continuo da parte di analisti (servizio MDR).
Esempio illustrativo con 25 postazioni, livello intermedio, intervallo ipotetico da 60 a 150 euro per postazione all'anno e 3.000 euro di costi fissi annui:
- minimo: 25 x 60 + 3.000 = 4.500 euro all'anno;
- massimo: 25 x 150 + 3.000 = 6.750 euro all'anno.
Dividendo per 25, il costo medio per persona sarebbe tra circa 180 e 270 euro all'anno, cioè tra 15 e 22,50 euro al mese. Sono cifre di esempio: servono solo a mostrare come costruire il ragionamento e a capire se un preventivo è molto fuori scala.
Quanto spendere in rapporto al rischio
Una regola utile è partire dal danno possibile. Chiediti: quanto costerebbe all'azienda una settimana di fermo? Alcune voci da considerare:
- Fatturato perso nei giorni di inattività.
- Costi di ripristino: tecnici esterni, hardware sostituito, ore straordinarie.
- Costi legali e di comunicazione, se sono coinvolti dati di clienti.
- Possibili sanzioni del Garante in caso di violazione dei dati personali dovuta a misure inadeguate.
- Perdita di fiducia e di clienti, difficile da stimare ma reale.
Con una stima, anche approssimativa, puoi usare il calcolatore ritorno dell'investimento in sicurezza per capire in quanto tempo una misura si ripaga. Esempio illustrativo: se un fermo di tre giorni costa 30.000 euro e stimi una probabilità del 15 per cento all'anno, la perdita attesa è 4.500 euro all'anno; una misura da 6.000 euro all'anno che dimezza quella probabilità evita 2.250 euro di perdita attesa, e quindi non si "ripaga" solo sul piano economico medio. Questo non significa che non serva: significa che le misure vanno scelte per priorità, partendo da quelle che riducono di più il rischio a parità di costo, come backup testati e autenticazione a più fattori.
Dove non risparmiare
Tagliare il budget è comprensibile, ma alcune scelte costano molto di più a posteriori:
- Backup non testati o raggiungibili dalla rete. In caso di ransomware gli attaccanti cercano e cifrano anche le copie collegate. Una copia isolata o immutabile è tra le misure con il miglior rapporto costo-beneficio.
- Aggiornamenti rimandati. Applicare le patch ha un costo di tempo, non di licenza, ma è una delle difese più efficaci.
- Autenticazione a più fattori assente sulla posta. Il furto di credenziali è tra le vie d'ingresso più frequenti.
- Nessun responsabile. Anche con un fornitore esterno, serve una persona in azienda che sappia chi fa cosa.
Dove si può ottimizzare
- Evita licenze duplicate: molti servizi cloud già includono antimalware o MFA.
- Chiedi un perimetro scritto: quali dispositivi, quali server, quali orari di assistenza.
- Verifica se il fornitore applica costi extra per ripristini, interventi urgenti o uscita dal contratto.
- Valuta contratti pluriennali solo se prevedono la possibilità di aumentare o ridurre le licenze.
- Informati su eventuali incentivi pubblici o crediti d'imposta in vigore alla data in cui acquisti: cambiano spesso e le condizioni vanno controllate sulle fonti ufficiali.
Cosa chiedere in un preventivo
- Che cosa è incluso e che cosa no (installazione, assistenza, ripristino, formazione).
- Chi risponde agli avvisi di sicurezza e in quali orari.
- Dove sono conservati i dati e con quali garanzie (nomina a responsabile del trattamento ai sensi dell'articolo 28 del GDPR, se il fornitore tratta dati personali).
- Durata del contratto, rinnovo automatico e penali.
- Tempi di intervento garantiti (SLA) e cosa accade se non vengono rispettati.
Quando rivolgersi a un professionista
Se l'azienda tratta dati sanitari, finanziari o di minori, se opera in un settore soggetto alla direttiva NIS2 o se ha già subito un incidente, il budget non andrebbe definito da soli: un consulente di sicurezza e, per gli aspetti normativi, un legale o un DPO possono aiutare a impostare priorità e documentazione.
Domande frequenti
Quanto dovrebbe spendere una PMI in sicurezza informatica?
Non esiste una percentuale valida per tutti. Dipende dal settore, dai dati trattati e dalla dipendenza dai sistemi. Parti da una valutazione del rischio e da misure essenziali, poi aumenta il livello dove il danno potenziale è maggiore.
Il costo per postazione include anche firewall e backup?
Di solito no. Antivirus o EDR sono licenze per dispositivo, mentre firewall, backup e consulenza sono voci a parte. Controlla sempre il dettaglio del preventivo.
Conviene un servizio gestito o fare da soli?
Se non hai personale con competenze di sicurezza e tempo per leggere gli avvisi, un servizio gestito può essere più efficace, purché il perimetro e le responsabilità siano scritti nel contratto.
Esistono incentivi per la sicurezza informatica?
Possono esistere misure pubbliche, nazionali o regionali, ma cambiano spesso e hanno requisiti specifici. Verifica sempre i bandi aperti sui siti del Ministero delle Imprese e del Made in Italy e della tua Regione prima di inserirli nel budget.
Fonti ufficiali
- Agenzia per la Cybersicurezza Nazionale — indicazioni e buone pratiche di cybersicurezza.
- Garante per la protezione dei dati personali — misure di sicurezza e obblighi GDPR.
- Ministero delle Imprese e del Made in Italy — verifica di eventuali incentivi per le imprese.