ENISA ha presentato oggi la seconda edizione del Report on the State of Cybersecurity in the Union, il documento biennale che l’agenzia europea per la cybersicurezza è tenuta a produrre per obbligo di legge — articolo 18 della direttiva NIS2 — in cooperazione con la Commissione europea e il gruppo di cooperazione NIS. Il valore medio complessivo dell’EU Cybersecurity Index 2026 è di 71,53 punti su una scala da 0 a 100: una misura di maturità che dice che l’Europa ha consolidato le fondamenta, ma che resta lontana dall’eccellenza e nasconde, sotto la media, divari che pesano.
Il quadro che emerge è quello di un ecosistema «in flusso», come lo definisce la stessa agenzia. Da un lato la postura complessiva della UE è migliorata; dall’altro la valutazione delle minacce resta severa: il livello delle cyber minacce contro l’Unione è ancora sostanziale, e il panorama si fa più complesso. L’attività di intrusione nel 2025 e nel 2026 è rimasta significativa e diversificata, trainata da una combinazione di motivazioni che non si lascia ridurre a una sola chiave: l’ideologia è il primo motore degli incidenti, la geopolitica continua a plasmarne la forma, il movente finanziario mantiene il suo impatto e gli hacktivisti dominano ancora il volume complessivo degli attacchi. È la fotografia di una conflittualità ibrida in cui la rete non è più un fronte separato dalla politica internazionale, ma uno dei suoi teatri.
La fotografia per aree
Scendendo nella classifica delle singole dimensioni, i numeri raccontano cose diverse e non tutte rassicuranti.
Sul fronte della gestione delle catene di fornitura, quasi tutti gli Stati membri dichiarano una postura avanzata: 89,91 punti. È il dato più alto dell’indice e segnala che la lezione delle grandi crisi di filiera è stata in qualche misura interiorizzata. Il tema non è però solo tecnico, avverte ENISA: le dipendenze transfrontaliere hanno implicazioni che travalicano la dimensione ingegneristica, e la condivisione delle vulnerabilità è cresciuta — il numero di Paesi con una politica nazionale di coordinated vulnerability disclosure è passato da 7 a 17 dall’edizione 2024. Ma l’intelligenza artificiale sta industrializzando la scoperta di vulnerabilità, e con essa alza l’asticella delle capacità richieste.
Sul fronte della ricerca e sviluppo, la maggior parte degli Stati membri raggiunge una postura avanzata con 79,24 punti, segno di una crescente coerenza del panorama europeo dell’innovazione. L’istruzione superiore si ferma a 73,59 punti; su quello che dovrebbe essere il terreno più fertile di tutte — la scuola primaria e secondaria — la presenza della cybersicurezza scende a 55,44 punti. È il punto in cui la media europea smette di essere un risultato e diventa un promemoria: si può avere un’eccellenza accademica e una base scolastica fragile, e la seconda determina la tenuta della prima nel lungo periodo.
I CSIRT, le squadre di risposta agli incidenti, hanno una maturità consolidata ma disomogenea, fotografata a 54,76 punti. Gli ecosistemi nazionali di certificazione sono spaccati tra Stati membri maturi e altri molto meno, a 55,56 punti, con i Paesi posizionati ai due estremi della scala. L’attuazione delle politiche a livello nazionale si attesta a 66,72 punti, con la maggioranza degli Stati sopra la soglia della maturità.
Cinque direzioni, una bussola
La novità di metodo di questa edizione è la “bussola strategica”: cinque direzioni principali da cui ENISA ha derivato raccomandazioni politiche operative. La prima è il passaggio all’attuazione effettiva, con l’obiettivo di rendere più fluido l’incrocio tra giurisdizioni e quadri legislativi, perché un soggetto che opera in più Stati membri non debba confrontarsi con un mosaico di regole incoerenti.
La seconda riguarda la capacità operativa nelle crisi, con il Blueprint del 2025 come base per una cooperazione più strutturata.
La terza direzione è la resilienza delle infrastrutture critiche: la maturità dei settori critici migliora costantemente dal 2024, ma la conformità normativa risulta il principale motore degli investimenti in cybersicurezza nel 70% delle organizzazioni del comparto. È una nota ambigua: dice che la regola funziona come leva, ma anche che senza obbligo l’investimento rischia di non arrivare. E la maturità resta disomogenea, con l’AI che può ampliare il divario di esposizione tra settori, tra chi può assorbirne i rischi e chi no.
La quarta direzione riguarda la gestione dei rischi e delle dipendenze a livello europeo, lungo catene di fornitura e confini.
La quinta punta alla resilienza sociale di lungo periodo attraverso consapevolezza, competenze e istruzione, con un riferimento che pesa: il Global Cybersecurity Outlook 2025 del World Economic Forum registra un allargamento del divario di competenze cyber, cresciuto dell’8% rispetto al 2024.
Le parole di Lepassaar
Il direttore esecutivo di ENISA, Juhan Lepassaar ha detto che il rapporto «riflette lo sforzo collettivo e la determinazione dell’UE a diventare più resiliente. Tuttavia, le sfide persistono e gli sviluppi recenti — non solo nei modelli di AI di frontiera, ma anche gli incidenti cyber nei sistemi di refrigerazione in tutta la UE — sottolineano le lacune operative e la necessità di una condivisione tempestiva delle informazioni e di un coordinamento». La sua conclusione è un appello a non fermarsi: «La consapevolezza situazionale comune va rafforzata e l’allineamento delle politiche nei settori critici va aumentato. Ci sono stati progressi, ma ora dobbiamo costruire su questa base e aggiornare le nostre strategie per affrontare un panorama sempre più complesso».
Il contesto geostrategico
Il rapporto va letto dentro una cornice normativa in movimento. L’UE sta attuando contemporaneamente la direttiva NIS2, il Cyber Resilience Act e il Cyber Solidarity Act, ma gli aspetti transfrontalieri e inter-legislativi stanno diventando sempre più rilevanti, alimentando spinte alla semplificazione e al ricalibraggio delle regole. Sul piano delle iniziative, il contesto geopolitico e l’evoluzione tecnologica hanno spinto il lancio o l’aggiornamento di diversi strumenti, tra cui la proposta di Cybersecurity Act 2 e il recente Piano d’azione UE su cybersicurezza e AI.
La sintesi, per un lettore che guarda all’Europa da fuori, è questa: l’Unione ha una media rispettabile, un’architettura legislativa in espansione e una consapevolezza del rischio che non è più eludibile. Ma i punti deboli strutturali — competenze, scuola, certificazione, risposta agli incidenti, dipendenze esterne — restano quelli che un avversario statuale o un attore ibrido sceglierebbe come bersaglio. Il 71,53 non è un traguardo: è la linea di partenza dichiarata dalla stessa agenzia che dovrebbe vigilare.
(English version)
Today ENISA presented the second edition of its Report on the State of Cybersecurity in the Union, the biennial document the European Union Agency for Cybersecurity is required to produce under Article 18 of the NIS2 Directive, in cooperation with the European Commission and the NIS Cooperation Group. The overall EU average value of the EU Cybersecurity Index 2026 is 71.53 points on a scale from 0 to 100: a measure of maturity that says Europe has consolidated its foundations, but remains far from excellence and conceals, beneath the average, gaps that weigh heavily.
The picture that emerges is of an ecosystem “in flux,” as the agency itself puts it. On one hand, the EU’s overall posture has improved; on the other, the threat assessment remains severe: the level of cyber threats to the EU remains substantial, and the landscape is growing more complex. Intrusion activity in 2025 and 2026 remained significant and diverse, driven by a combination of motives that cannot be reduced to a single key: ideology is the main driver of cyber incidents, geopolitics continues to shape their form, financially motivated activity retains its impact, and hacktivists still dominate the overall volume of attacks. It is the portrait of a hybrid conflict in which the network is no longer a front separate from international politics, but one of its theatres.
The picture, area by area
Moving down into the individual dimensions, the numbers tell different stories, and not all of them reassuring.
On supply chain management, almost all Member States report an advanced posture: 89.91 points. It is the highest figure in the index and signals that the lesson of the great supply crises has been internalised to some degree. The issue is not purely technical, ENISA warns: cross-border dependencies carry implications that go beyond the engineering dimension, and vulnerability disclosure has grown — the number of countries with a national coordinated vulnerability disclosure policy has moved from 7 to 17 since the 2024 edition. But artificial intelligence is industrialising vulnerability discovery, and with it raising the bar on the capabilities required.
On research and development, most Member States reach an advanced posture with 79.24 points, a sign of growing coherence across Europe’s innovation landscape. Higher education stops at 73.59 points; on what should be the most fertile ground of all — primary and secondary schooling — the presence of cybersecurity drops to 55.44 points. This is the point at which the European average stops being an achievement and becomes a reminder: you can have academic excellence and a fragile school base, and the second determines whether the first holds over the long run.
CSIRTs, the incident response teams, have an established maturity but an uneven one, captured at 54.76 points. National certification ecosystems are split between mature Member States and far less mature ones, at 55.56 points, with countries positioned at both extremes of the scale. Policy implementation at national level stands at 66.72 points, with the majority of Member States above the maturity threshold.
Five directions, one compass
The methodological novelty of this edition is the “strategic compass”: five key directions from which ENISA derived actionable policy recommendations. The first is the shift to effective implementation, with the aim of smoothing cross-border and cross-legislative aspects so that an entity operating across Member States does not face a mosaic of incoherent rules. The second concerns operational capacity in the event of crises, with the 2025 Blueprint as the ground for more structured cooperation.
The third direction is the resilience of critical infrastructure: maturity across critical sectors has been steadily improving since 2024, but regulatory compliance is reported as the main driver of cybersecurity investments in 70% of organisations in the sector. It is an ambiguous note: it says that regulation works as a lever, but also that without an obligation the investment risks not arriving at all. And maturity remains uneven, with AI able to widen the exposure gap between sectors — between those that can absorb its risks and those that cannot.
The fourth direction concerns managing EU-level risks and dependencies across supply chains and borders. The fifth aims at long-term societal resilience through awareness, skills and education, with a reference that carries weight: the World Economic Forum’s Global Cybersecurity Outlook 2025 records a widening of the cyber skills gap, up 8% since 2024.
Lepassaar’s words
ENISA’s Executive Director, Juhan Lepassaar said that the report reflects “the EU’s collective effort and determination to become more resilient. However, challenges persist and recent developments — not only in frontier AI models but also cyber incidents in refrigeration systems across the EU — underline the operational gaps and the need for timely information sharing and coordination.” His conclusion is an appeal not to stop there: “Common situational awareness must be strengthened and alignment in critical sectors policies must be increased. There has been progress but now we need to build on this foundation and update our strategies to address the increasingly complex cybersecurity landscape.”
The geostrategic context
The report must be read within a regulatory framework in motion. The EU is implementing the NIS2 Directive, the Cyber Resilience Act and the Cyber Solidarity Act at the same time, but cross-border and cross-legislative aspects are becoming increasingly relevant, driving efforts toward legislative simplification and recalibration. On the initiative front, the geopolitical context and technological developments have triggered the launch or update of several instruments, including the proposal for Cybersecurity Act 2 and the recent EU Action Plan on Cybersecurity and AI.
The synthesis, for a reader looking at Europe from outside, is this: the Union has a respectable average, an expanding legislative architecture and an awareness of risk that can no longer be sidestepped. But the structural weak points — skills, schools, certification, incident response, external dependencies — remain the ones a state adversary or a hybrid actor would choose as targets. The 71.53 is not a finish line: it is the starting line declared by the very agency meant to be watching. (Source: ENISA, “ENISA reveals the State of Cybersecurity in the Union”, press release of 10 November 2026, enisa.europa.eu.)
‘Pillola’ della SIOI
