Subire un attacco informatico oggi non significa soltanto dover affrontare un problema tecnico, ma può incidere anche sul rapporto con le banche e sull’accesso al credito. Secondo un documento pubblicato il 19 gennaio dalla Banca d’Italia, il rischio cyber di un’azienda sta entrando a pieno titolo nella valutazione del merito creditizio. In altre parole, la capacità di un’impresa di proteggersi dagli attacchi informatici e di gestirne le conseguenze può incidere sulla probabilità di ottenere un prestito, sulle condizioni applicate e, in prospettiva, sul costo del capitale.

L’analisi di Bankitalia parte da una constatazione semplice: un attacco cyber grave non è un incidente isolato, ma un evento in grado di compromettere la continuità operativa. Se la produzione si ferma o la logistica viene bloccata, i flussi di cassa si riducono o si interrompono. Ed è proprio da questi flussi che dipende la capacità di rimborsare il debito.

Il Fondo Monetario Internazionale ha più volte evidenziato come l’aumento degli attacchi informatici esponga imprese e sistemi economici a perdite potenzialmente estreme, con effetti di contagio e di fiducia. Anche la Banca Centrale Europea insiste sulla necessità di considerare il rischio cyber in una prospettiva macroeconomica, perché gli impatti possono propagarsi attraverso reti operative e finanziarie.

Nel documento di Bankitalia viene proposto un indicatore di vulnerabilità cyber pensato per le imprese non finanziarie italiane. Si tratta di un valore numerico che può essere calcolato e utilizzato nei modelli di rischio creditizio. L’obiettivo è integrare il cyber risk nella stima della probabilità di default, rendendolo una variabile osservabile e confrontabile.

Per costruire l’indicatore, Bankitalia utilizza l’intelligenza artificiale, in particolare un modello linguistico addestrato a riconoscere e classificare segnali rilevanti in lingua italiana. Il sistema analizza informazioni pubbliche e strutturate, estrae concetti e li organizza in uno scoring composito. Da un lato vengono individuati gli elementi che mitigano il rischio, come l’adozione di controlli di sicurezza, processi strutturati e certificazioni. Dall’altro emergono i fattori che lo aumentano, tra cui la presenza di incidenti già avvenuti e la qualità della comunicazione fornita dall’azienda in caso di attacco.

L’ambizione dichiarata è quella di integrare questo indicatore nel sistema ICAS (In-house Credit Assessment System) della Banca d’Italia, utilizzato per valutare il merito creditizio delle imprese nell’ambito delle operazioni di politica monetaria.

La scelta di identificare un attacco informatico come variabile nasce soprattutto per la crescita costante di questi eventi. Il rapporto semestrale dell’associazione italiana di cybersecurity, Clusit, segnala che nei primi sei mesi del 2025 sono stati censiti 2.755 incidenti cyber noti a livello globale, con un aumento del 36% rispetto al semestre precedente. È il valore più alto dall’inizio delle rilevazioni nel 2012.

Oltre il 10% degli incidenti mondiali del semestre ha riguardato organizzazioni italiane, una quota elevata se rapportata al peso economico e demografico del Paese. Questo dato viene spesso interpretato come il riflesso di ritardi strutturali nella sicurezza informatica, soprattutto tra le imprese di dimensioni medio-piccole, che dispongono di meno risorse e competenze dedicate.