Cybersecurity startup in Italia: mercato e opportunità 2026

Dati verificati sul portale dell'Agenzia per la cybersicurezza nazionale (ACN), sulla direttiva NIS2 su EUR-Lex, sulla pagina ESMA dedicata a DORA, sul sito di CDP Venture Capital e sui siti di Cy4Gate e Gyala il 12 novembre 2026. Scadenze e importi cambiano: controlla le fonti ufficiali.

Perché la cybersecurity è trainata dalla regolazione

Un'impresa compra un antivirus per paura o per abitudine; compra un servizio di conformità perché deve. Questo cambia il modo di vendere: nei settori coperti da NIS2 e DORA il cliente deve dimostrare di avere misure adeguate, e un prodotto che lo aiuta a farlo ha una ragione d'acquisto chiara.

Non riporto qui la stima "il mercato italiano vale circa 2 miliardi" né quella delle "oltre 20.000 organizzazioni coinvolte dalla NIS2" presenti nella versione precedente: non ho trovato una fonte ufficiale che le confermi. Per le dimensioni del mercato consulta i rapporti degli osservatori di settore.

NIS2: che cosa dice l'ACN

Il portale ACN spiega che i soggetti sono classificati come essenziali o importanti in base alla criticità delle attività e del settore. L'ambito comprende 18 settori, 11 ad alta criticità e 7 critici, con più di 80 tipologie di soggetti pubblici e privati. Le scadenze operative indicate:

• registrazione o aggiornamento sulla piattaforma ACN tra il 1 gennaio e il 28 febbraio di ogni anno, primo adempimento dei soggetti NIS;
• aggiornamento annuale delle informazioni tra il 15 aprile e il 31 maggio;
• notifica degli incidenti significativi da gennaio 2026;
• adozione delle misure di sicurezza entro ottobre 2026.

Sulle sanzioni, la direttiva NIS2 (art. 34) prevede massimi di 10 milioni di euro o il 2% del fatturato per i soggetti essenziali e di 7 milioni di euro o l'1,4% per gli importanti. Per l'applicazione italiana leggi il D.Lgs. 138/2024 (Gazzetta Ufficiale n. 230 del 1 ottobre 2024), in particolare le norme sulle sanzioni.

Il termine di recepimento per gli Stati membri era il 17 ottobre 2024. Per DORA, la pagina ESMA conferma che si applica dal 17 gennaio 2025 ed è entrato in vigore il 16 gennaio 2023, e riguarda più di 20 tipi di entità finanziarie.

Le aziende italiane del settore: cosa si può dire con fonte

• Cy4Gate: si descrive come operatore di cyber security e decision intelligence per difesa, aziende e forze dell'ordine; fa parte del gruppo ELT e sul suo sito compare il titolo con ticker CY4.MI. Nel portafoglio ci sono Cyber Security, Decision Intelligence e Forensic Intelligence, e la piattaforma CY4GARD per ambienti IT, OT e IoT.
• Gyala: propone cyber security IT/OT/IoT con la piattaforma Agger e dichiara conformità a NIS2, DORA e altri riferimenti. Sul sito riporta due citazioni come "Sample Vendor" nei rapporti Gartner Hype Cycle di giugno e luglio 2026 (una citazione non è una raccomandazione né un dato sul fatturato).

Le altre aziende citate nella versione precedente (Yarix, Tinexta Cyber) non le ho potute verificare in questa sessione e le ho tolte. Non è un elenco di startup da seguire: sono due esempi di come un'azienda dichiara servizi e mercati, per capire il linguaggio del settore.

Finanziamenti e fondi

Il portale ACN descrive l'investimento 1.5 "Cybersecurity" del PNRR, gestito da ACN con il Dipartimento per la trasformazione digitale: 623 milioni di euro disponibili, 8 avvisi pubblici, circa 300 progetti e investimenti, più di 200 enti finanziati e circa 3.500 richieste gestite. I tre pilastri sono la resilienza cyber del Paese, il rafforzamento delle capacità di prova e certificazione e il potenziamento delle capacità cyber della pubblica amministrazione. Sono fondi destinati soprattutto a enti pubblici e infrastrutture: per una startup contano come domanda indiretta (progetti che comprano servizi), non come bando a cui rispondere.

Per il capitale di rischio, la brochure di CDP Venture Capital (ottobre 2025) indica "AI e Cybersecurity" come primo dei sette ambiti prioritari 2024-2028 e un Fondo Artificial Intelligence con focus su AI, cybersicurezza e quantum e dotazione di 450 milioni. Il 22 settembre 2026 ha annunciato SophIA, polo nazionale di trasferimento tecnologico per AI e cybersecurity, con l'obiettivo di oltre 20 iniziative in fase proof-of-concept, pre-seed e seed nei prossimi tre anni. La versione precedente citava un "Fondo Nazionale per la Cybersicurezza": non l'ho trovato tra i fondi della brochure e l'ho rimosso.

Opportunità e come ragionare

Software per la conformità

Strumenti che guidano un'organizzazione nella registrazione, nella valutazione del rischio e nella gestione degli incidenti secondo le scadenze ACN. Il vantaggio è un bisogno ricorrente: la registrazione e l'aggiornamento cadono ogni anno nelle stesse finestre.

Servizi gestiti per le imprese più piccole

Il monitoraggio e la risposta agli incidenti non sono alla portata di chi non ha un team interno. È un servizio, quindi costruiscilo con margini e organizzazione da servizio.

Sicurezza industriale (OT)

Le fabbriche collegano sempre più macchine alla rete; ACN e le aziende citate sopra parlano esplicitamente di OT e IoT. Richiede competenze specifiche, non bastano quelle dell'IT tradizionale.

Un esempio di calcolo (ipotesi)

Un servizio di supporto alla conformità costa 3.000 euro all'anno per cliente. Con un costo di acquisizione cliente di 1.500 euro e un margine lordo del 70%, il margine annuo per cliente è 2.100 euro (3.000 × 0,70) e il costo di acquisizione è recuperato in circa 8,6 mesi (1.500 / 2.100 × 12). Sono numeri di esempio, non medie di mercato: servono per mostrare il tipo di ragionamento che gli investitori si aspettano.

Errori comuni

• Vendere paura invece di dimostrare conformità: i clienti NIS2 vogliono evidenze, non slogan.
• Sottovalutare i tempi di vendita alla pubblica amministrazione e alla difesa.
• Usare numeri di mercato non verificati negli investor deck.
• Non curare la sicurezza della tua stessa azienda: sei un fornitore, i clienti ti verificheranno.

A chi conviene e alternative

Conviene a team con competenze tecniche solide e pazienza sui cicli di vendita. Costruisci sulla struttura di startup innovativa e consulta agevolazioni, bandi startup 2026 e CDP e startup. Per i round leggi i funding round e venture capital in Italia.

FAQ

La mia startup deve registrarsi come soggetto NIS2?

Dipende dal settore e dalla dimensione. Il portale ACN permette di verificare l'inclusione; non basta il nome del settore, serve controllare le tipologie.

DORA riguarda i fornitori di tecnologia?

La pagina ESMA indica che DORA si applica alle entità finanziarie; i fornitori ICT finiscono nel perimetro attraverso i contratti con queste entità. Verifica i dettagli con un legale.

Il PNRR finanzia direttamente le startup?

Gli avvisi citati dall'ACN riguardano soprattutto enti pubblici e infrastrutture. Controlla gli avvisi aperti sul portale.

Fonti

• ACN: NIS^[1]
• ACN: PNRR cybersecurity^[2]
• EUR-Lex: direttiva (UE) 2022/2555 (NIS2)^[3]
• Normattiva: D.Lgs. 138/2024^[4]
• ESMA: DORA^[5]
• CDP Venture Capital: brochure ottobre 2025^[6]
• CDP Venture Capital: SophIA, 22 settembre 2026^[7]
• Cy4Gate^[8] e Gyala^[9]: siti ufficiali