Quando in azienda si parla del costo della cybersecurity, la discussione si concentra quasi sempre su un unico punto di osservazione: il budget. Quanto costa il team, quanto costano le licenze, quanto costa il prossimo rinnovo. È una lettura legittima — e per un CFO è naturale partire da lì — ma è incompleta. Perché il costo più rilevante del rischio cyber, quasi sempre, non è quello che compare in quella riga di budget.

È quello che si accumula altrove, in silenzio, anche nei mesi in cui non succede nulla. E riguarda tanto il CFO, che deve renderne conto in bilancio, quanto il board, che deve valutarlo come rischio d'impresa a tutti gli effetti.

Due tipi di costo, non uno

La cybersecurity genera due categorie di costo, ed è la seconda a sfuggire più spesso al controllo finanziario. La prima è il costo diretto: persone, tecnologie, servizi gestiti, formazione. È prevedibile, pianificabile, e per questo è quello su cui si concentra la maggior parte delle discussioni di budget.

La seconda è il costo del rischio che cresce senza essere visto: nuovi strumenti adottati, nuovi fornitori collegati, nuovi processi digitalizzati che ampliano, mese dopo mese, la superficie che un'azienda deve proteggere. Non è un costo che compare come voce a sé. Si vede dopo — quando un varco aperto da un cambiamento organizzativo, non da una minaccia sconosciuta, si trasforma in un fermo operativo, in un sistema bloccato, in un attacco che va a segno.

Il rischio cyber non è statico: cresce con l'azienda

È qui che si gioca gran parte del rischio che sfugge alla lettura tradizionale del budget. Ogni evoluzione del business — una nuova piattaforma SaaS, un accesso concesso a un fornitore, un nuovo canale digitale verso i clienti, l'adozione di strumenti di intelligenza artificiale — non è solo un passo avanti operativo. È anche, quasi sempre, un nuovo punto da proteggere, che apre l'azienda a nuovi, potenziali rischi cyber.

Il rischio cyber non va valutato come una fotografia statica, ma come una variabile che si muove alla stessa velocità delle scelte strategiche dell'azienda — ogni volta che si apre un nuovo canale, si adotta un nuovo strumento, si integra un nuovo fornitore.

Non è un tema di quanto si spende, ma di quanto quella spesa sia commisurata ai livelli di rischio che l'azienda è disposta ad assumersi — quello che nel linguaggio del risk management si chiama risk appetite, e che per un CFO è un concetto tutt'altro che astratto: è la stessa logica con cui si decide quanta esposizione valutaria o quanto rischio di credito tenere in bilancio.

Il costo che si vede solo quando succede qualcosa

Poi c'è il costo dell'evento stesso — quello che normalmente entra nei radar del CFO solo dopo un incidente. Secondo l'ultimo Cost of a Data Breach Report di IBM, in Italia il costo medio di una violazione dei dati nel 2025 si attesta intorno ai 3,31 milioni di euro, con i costi di business — interruzione dell'attività, opportunità perse, ripristino — che pesano spesso più della violazione tecnica in sé.

Superata una certa soglia, però, l'impatto non resta confinato al conto economico dell'anno in corso. Un incidente rilevante può richiedere un accantonamento a bilancio per le passività potenziali, incidere sul premio o sulle condizioni di rinnovo di un'eventuale polizza assicurativa cyber, e — per le imprese soggette a obblighi normativi più stringenti, dal GDPR alla direttiva NIS2 — generare una notifica formale alle autorità competenti, con tutto ciò che comporta in termini di reputazione e di rapporti con clienti e mercato.

Perché la crescita del rischio non è lineare rispetto alla spesa

Un errore comune nella lettura finanziaria della cybersecurity è pensare che il rischio si riduca in proporzione diretta alla spesa: più budget, meno rischio, in una relazione lineare e prevedibile. Nella pratica non funziona così.

Aggiungere tecnologia senza aggiornare il perimetro che quella tecnologia deve coprire produce rendimenti marginali decrescenti: si rafforzano i controlli su ciò che l'azienda era, non su ciò che sta diventando. Il budget cresce, ma se non segue l'evoluzione reale del business — nuovi strumenti, nuovi fornitori, nuovi modelli di lavoro — il rischio reale non si riduce nella stessa misura.

Questo è il motivo per cui, a parità di spesa complessiva, due aziende possono trovarsi con un'esposizione finanziaria molto diversa. Non è quanto investono a fare la differenza. È se quell'investimento si aggiorna alla stessa velocità con cui l'azienda cambia, oppure resta ancorato al perimetro fotografato l'anno in cui è stato definito. Per un CFO, la domanda utile non è "quanto stiamo spendendo in sicurezza", ma "quella spesa è commisurata al rischio che siamo disposti ad accettare, o lo abbiamo già superato senza saperlo".

Come leggere il rischio cyber in termini finanziari

Tradurre il rischio cyber in un linguaggio finanziario non significa ridurlo a un unico numero. Significa scomporlo in variabili che si possono effettivamente governare: Probabilità. Quanto è esposta l'organizzazione, in base al settore, alla superficie digitale, ai fornitori terzi coinvolti.

Evoluzione della superficie. Quanto velocemente cresce il perimetro da proteggere — nuovi strumenti, nuovi accessi, nuovi processi digitalizzati — e quanto la protezione riesce a tenere il passo.

Impatto per scenario. Non un costo medio generico, ma una stima differenziata per tipo di evento — un ransomware sui sistemi produttivi non ha lo stesso impatto economico di un accesso anomalo isolato.

Non è un esercizio puramente accademico: sono, in larga parte, le stesse variabili che un assicuratore utilizza per definire il premio di una polizza cyber, o che un revisore considera nel valutare se un rischio è material ai fini del bilancio. Letto così, il budget di sicurezza smette di essere una voce di spesa da minimizzare e diventa uno strumento di trasferimento e riduzione del rischio, esattamente come un'assicurazione o una copertura finanziaria. La domanda non è più "quanto possiamo tagliare", ma "quale combinazione di spesa diretta, capacità esterna e capacità di adattamento minimizza il costo atteso complessivo, diretto e indiretto".

Come un CISO dovrebbe presentare il rischio cyber a un CFO

Gran parte della distanza tra sicurezza e finanza dipende da come la cybersecurity viene comunicata, prima ancora che dal suo costo. Un CISO abituato a misurare i risultati in alert gestiti o minacce bloccate parla, di fatto, un linguaggio diverso da chi deve approvare quella spesa.

Il primo passo è presentare la sicurezza non come un elenco di attività tecniche, ma come una voce del registro dei rischi aziendali, al pari del rischio di cambio o del rischio di credito: non il numero di attacchi respinti, ma l'esposizione residua stimata e di quanto un investimento la riduce. È il dato che un CFO può confrontare con le altre voci di bilancio.

Il secondo passo è collegare ogni richiesta di budget a una decisione di business specifica — un nuovo canale, un nuovo mercato, un'acquisizione — invece che a una minaccia generica. Il terzo è riconoscere che non tutto il rischio va necessariamente mitigato con nuovi investimenti interni: una parte può essere trasferita, tramite un servizio di detection e risposta gestito esternamente o una polizza assicurativa. È una logica di CAPEX, OPEX e trasferimento del rischio, non di strumenti tecnici.

Quando la conversazione si sposta su questi termini, cambia anche l'esito della discussione di budget: non si parte più da "quanto costa", ma da "quanto rischio residuo l'azienda è disposta a tenere in bilancio, e quanto costa ridurlo a un livello accettabile".

Una lettura che riguarda anche il CIO e il CISO

Questa lettura finanziaria non sostituisce quella tecnica, la completa. Per il CISO, il tema resta la qualità della detection e la solidità della risposta. Per il CIO, la sostenibilità dello stack tecnologico nel tempo, e la sua capacità di crescere insieme all'azienda. Ma è proprio quando queste tre prospettive — tecnica, operativa e finanziaria — condividono lo stesso set di variabili che il budget di sicurezza smette di essere negoziato ogni anno da zero, e diventa una decisione di allocazione del rischio presa con dati comparabili.

È una leva finanziaria a disposizione di CFO e board, prima ancora che uno strumento operativo a disposizione del CISO.

È un cambio di prospettiva che vale la pena portare in consiglio, prima ancora che nella prossima revisione di budget.