Il private equity e la minaccia degli hacker

La superficie d’attacco delle organizzazioni non coincide più con i loro confini. È l’ecosistema di fornitori, outsourcer, partner tecnologici e gestori di servizi a definire la vera postura di sicurezza. I numeri italiani lo mostrano con chiarezza: secondo i dati citati dall’Agenzia per la Cybersicurezza Nazionale (Acn), nel primo semestre 2025 gli attacchi verso realtà italiane sono aumentati del 53% rispetto al 2024, mentre gli incidenti con impatto confermato sono cresciuti del 98%. Un attacco su tre passa oggi dalla supply chain, spesso attraverso fornitori meno maturi dal punto di vista della sicurezza. I bersagli più colpiti restano Pubblica Amministrazione (centrale e locale), sanità, trasporti e telco.

Fase preliminare del private equity in Italia

Dalla nostra interlocuzione quotidiana con le aziende rileviamo che in Italia, ci troviamo attualmente in una fase ancora preliminare. La questione al momento rimane a livello di compliance e non strategica. Nello specifico parliamo di adeguamento delle clausole contrattuali e di un focus che si concentra principalmente verso i grandi clienti. Il modello di business tipico del private equity non sfugge a questa ricostruzione e ci fornisce un paradigma di analisi sicuro interesse.

La tipicità delle fasi e l’approccio imprenditoriale richiedono grande concentrazione dei gestori sull’investimento, fornendo apporto direzione, e guida alle controllate e partecipate che, essendo spesso Pmi con grande potenziale di crescita anche manageriale, non sono sempre dotate di risorse, procedure e tecnologie adeguate (il cosiddetto IT Debt).

Rischi legati alle terze parti

Anche la prospettiva internazionale conferma la centralità del tema. Nella 13esima Survey Globale 2025 sulla percezione dei Top Risk presso 1.215 membri di cda e c-suite executive commissionata da Protiviti a Nc University’s Erm Initiative, le relazioni con terze parti figurano nella Top 10 nei prossimi 2-3 anni (in termini di distribuzione, un terzo degli executive attribuisce a questo rischio un impatto «alto», un terzo «medio» e un terzo «basso», segno di esposizioni molto diverse tra settori e supply chain).

Ancora più eloquente l’orizzonte a 10 anni: tra i rischi operativi di lungo periodo, le terze parti si piazzano al terzo posto (selezionate dal 26% dei dirigenti, con cyber al 31%), a testimonianza di un’interdipendenza che nel tempo tende a impennarsi.

Come i board reagiscono alla vulnerabilità della catena del valore 

Il report evidenzia che non basta essere forti «in casa» se la catena del valore rimane porosa. Per reagire, i board più maturi stanno investendo in horizon scanning abilitato da dati, scenario analysis, modernizzazione tecnologica e rapid-response planning, un pacchetto di misure che unisce prevenzione e prontezza operativa. Sul fronte regolatorio, la Direttiva Nis2 e il Regolamento Dora hanno spostato l’asticella dalla «buona pratica» alla due diligence: entrambi richiedono alle aziende in perimetro di imporre requisiti di sicurezza ai fornitori, selezionarli anche in base alla loro maturità cyber, verificarli nel tempo e sostituirli quando non adeguati. Ma non basta.

• Leggi anche: Private equity, ottobre da record: in porto 69 operazioni in Italia

Le aziende chiedono soluzioni gestite flessibili che vadano oltre il semplice outsourcing, integrate con le altre funzioni di controllo critiche, come la disciplina sanzionatoria Ue nei confronti della Russia, l’anticorruzione, le parti correlate e l’anti-riciclaggio (Aml), andando oltre la semplice conformità alla singola normativa vigente, grazie a team dedicati a geometria variabile. (riproduzione riservata)

*Managing director Protiviti Italia