Hai un sito aziendale, un'area riservata clienti, un gestionale web o un e-commerce. Lo usi ogni giorno, i tuoi clienti lo usano ogni giorno, e probabilmente dai per scontato che sia "al sicuro". Ma quando è stata l'ultima volta che qualcuno ha verificato davvero se quella sicurezza regge a un attacco reale?

Questa è la domanda che la maggior parte dei titolari di PMI italiane non si fa, finché non è troppo tardi. In questo articolo trovi una risposta concreta: cos'è un pen test, quanto costa davvero per una PMI (non le forbici teoriche che trovi ovunque, ma dati reali), quando ha senso farlo e quando invece è ancora prematuro. Noi di Keidea S.r.l., con 20 anni di esperienza nel settore della sicurezza informatica, lo diciamo senza giri di parole.

Il problema che la maggior parte delle PMI italiane ignora

C'è una convinzione diffusa tra i titolari di piccole e medie imprese italiane: "Gli hacker attaccano le grandi aziende, le banche, i colossi tech. Io sono troppo piccolo per interessare a qualcuno." È una convinzione sbagliata, e pericolosa. Secondo il Rapporto Clusit 2025, il 75% dei casi di cybercrimine nel settore privato italiano colpisce PMI, non grandi aziende. Il motivo è semplice: le grandi aziende investono in sicurezza in modo strutturato, hanno team dedicati, hanno processi. Le PMI, nella maggior parte dei casi, no.

Il costo medio di un attacco informatico per una PMI italiana supera i 95.000 euro. Nei casi più gravi ransomware, violazioni di dati personali, blocco prolungato dei sistemi, si supera abbondantemente quota 300.000 euro. Ma il danno economico diretto è solo una parte del problema. C'è il fermo operativo, che può durare giorni o settimane. C'è il danno reputazionale verso clienti e fornitori.

Ci sono le possibili sanzioni GDPR per violazione di dati personali. E c'è la perdita di contratti con clienti enterprise che, soprattutto con l'entrata in vigore della NIS2, iniziano a richiedere ai propri fornitori la dimostrazione di una postura di sicurezza adeguata. Il problema di fondo non è tecnologico. È che la maggior parte delle PMI non sa dove si trovano le proprie vulnerabilità prima che arrivi un attacco. Lavora nell'illusione della sicurezza: "ho l'antivirus, ho il firewall, sono a posto." Ma l'antivirus non ti dice se la tua web app ha un'autenticazione bucabile. Il firewall non ti dice se il tuo portale clienti espone dati sensibili a chiunque sappia dove guardare. Il pentest nasce esattamente per rispondere a questa domanda: sei davvero al sicuro, o lo stai solo sperando?

Cos'è un pentest: la spiegazione senza tecnicismi

Un penetration test, pen test, in breve, è una simulazione controllata e autorizzata di un attacco informatico reale, condotta da professionisti della sicurezza informatica per tuo conto e con il tuo consenso scritto. L'obiettivo non è semplicemente "trovare bug".

È capire concretamente fin dove arriverebbe un attaccante reale se prendesse di mira la tua azienda: quali dati potrebbe raggiungere, quali sistemi potrebbe compromettere, quale danno potrebbe causare. È la differenza tra sapere che hai una serratura e sapere se quella serratura regge davvero a chi vuole entrare. Il risultato è un report strutturato che descrive le vulnerabilità identificate, il loro livello di criticità reale, le prove tecniche dello sfruttamento e, soprattutto, le raccomandazioni prioritizzate per correggerle.

Penetration testing e Vulnerability Scan: non sono la stessa cosa

Questa distinzione è fondamentale, perché molta confusione sul mercato nasce proprio dall'equiparare le due cose, spesso in modo deliberato, da parte di chi vuole vendere uno scan automatico a prezzo di pen test. Un vulnerability scan è uno strumento automatizzato. Confronta la configurazione dei tuoi sistemi con un database di vulnerabilità note e produce un elenco di potenziali problemi. È utile come punto di partenza, ma ha un limite preciso: non verifica se quelle vulnerabilità sono realmente sfruttabili nel tuo contesto specifico, non simula la catena di attacco reale e non valuta le combinazioni di debolezze che un attaccante esperto saprebbe concatenare.

Un pen test è manuale nella sua parte più importante. Il professionista usa strumenti automatici come supporto, ma poi lavora di testa: sfrutta le vulnerabilità, le concatena, verifica fino a dove arriva davvero. È la differenza tra controllare se le serrature esistono e verificare se si riesce davvero ad aprirle, e cosa c'è dentro una volta aperte. Se qualcuno ti offre un "pen test" a 400–600 euro, con tutta probabilità sta vendendo uno scan automatico con un PDF allegato. Ne parliamo meglio nella sezione sui costi.

Le tre tipologie più richieste dalle PMI italiane

Non esiste un solo tipo di pen test. Per una PMI, le tipologie più rilevanti sono tre:

1. Web application pen test: Il più richiesto. Testa il sito aziendale, l'e-commerce, il portale clienti, l'area riservata, le API. Se la tua azienda ha una presenza web con funzioni interattive (login, form, checkout, caricamento documenti), questo è il test da cui partire.
2. Network pen test esterno: Verifica il perimetro IP della tua azienda esposto su internet: server, VPN, pannelli di amministrazione, porte aperte. Valuta cosa vede e può fare un attaccante esterno prima ancora di interagire con le tue applicazioni.
3. Social engineering / phishing test: Testa il fattore umano. Simula email di phishing mirate verso i tuoi dipendenti per verificare quanto sia facile ottenere credenziali o accessi attraverso l'inganno. È spesso il vettore d'attacco più efficace e il più sottovalutato: secondo i dati Clusit, la maggior parte degli attacchi alle PMI inizia con una email.

Quanto costa un pen test per una PMI italiana: i dati reali

Qui arriviamo alla domanda che ogni titolare di PMI si fa davvero, e che pochi sono disposti a rispondere in modo trasparente.

Secondo le nostre analisi, basate su 20 anni di attività nel settore della sicurezza informatica, il costo medio per un web application pen test su una PMI italiana si aggira tra 3.000 e 8.000 euro per un test base (varia in base all’attività e all’infrastruttura). I dati di mercato che osserviamo confermano range fino a 15.000-20.000 euro per infrastrutture più articolate. Sconsigliamo fortemente di affidarsi a tool automatici: il valore reale di un pen test professionale è interamente nella componente manuale.

Richiedi Preventivo

Il costo dipende da tre fattori principali: il perimetro da testare (quante applicazioni, quanti IP, quante funzionalità), la complessità dell'infrastruttura e la seniority del team che esegue il test.

Per darti un orientamento concreto, ecco una tabella basata sulle tipologie di PMI italiane più comuni:

Questi range sono indicativi. Il preventivo definitivo richiede sempre una valutazione preliminare del perimetro reale — ed è esattamente per questo che noi di Keidea non emettiamo mai cifre finali senza prima aver parlato con te.

Perché il prezzo più basso non è mai un affare

Facciamo un calcolo semplice. Un pen-tester senior della sicurezza informatica fattura tra 500 e 700 euro al giorno. Un web application pen- test professionale, condotto con metodologia OWASP, con testing manuale approfondito e un report strutturato, richiede tra 5 e 10 giorni di lavoro reale. Il conto è presto fatto. Chi ti offre un "pen-test completo" a 400, 600 o 800 euro sta vendendo una cosa diversa: uno scan automatico eseguito con strumenti open source, un template di report precompilato e, nel migliore dei casi, qualche ora di analisi superficiale.

Secondo i nostri dati, la maggior parte di questi report low-cost identifica esclusivamente vulnerabilità già presenti nei database pubblici, informazioni che uno scan gratuito avrebbe prodotto in egual misura, senza che tu abbia pagato nulla di utile. Il valore reale di un pen test professionale è interamente nella componente manuale: il professionista che concatena le vulnerabilità, che verifica se sono davvero sfruttabili nel tuo contesto specifico, che simula la catena di attacco reale e che produce un report che tu possa effettivamente usare per migliorare la sicurezza della tua azienda. Un pentest economico che non trova nulla di rilevante non ti ha protetto: ti ha solo dato un falso senso di sicurezza, che è peggio di non averlo fatto.

Richiedi ora il tuo preventivo gratuito e senza impegno

Prima di avviare un pen test, noi di Keidea Srl consigliamo sempre una fase di valutazione preliminare: tipo di sito, documentazione disponibile, perimetro reale, obiettivi normativi. Solo con queste informazioni è possibile costruire un preventivo serio e proporzionato alla tua realtà. Contattaci oggi: verrai messo in contatto con un consulente esperto Keidea che ti guiderà passo dopo passo, senza tecnicismi e senza impegno.

Richiedi Preventivo

Quanto costa NON fare un pentest: il calcolo che cambia la prospettiva

La domanda giusta non è "quanto mi costa il pentest". La domanda giusta è: "quanto mi costerebbe la vulnerabilità che non conosco?" Il costo medio di un attacco informatico per una PMI italiana supera i 95.000 euro. Nei casi più gravi si supera quota 300.000 euro. Ma le cifre astratte non comunicano quanto quelle concrete. Prendiamo un caso reale documentato nel 2024: una media azienda di e-commerce in Lombardia ha subito un attacco ransomware. Risultato: 14 giorni di blocco operativo totale, 70.000 euro di fatturato perso, oltre 40.000 euro di spese tecniche per il recupero parziale dei dati.

Senza copertura assicurativa, il danno complessivo ha superato i 110.000 euro. L'azienda era "al sicuro", aveva l'antivirus, aveva il firewall. Nessuno aveva mai verificato cosa succedeva se qualcuno attaccava davvero. Facciamo il calcolo che pochi fornitori hanno il coraggio di mostrarti. Un pentest profissional per quella tipologia di azienda avrebbe avuto un costo tra i 4.000 e i 6.000 euro. Se avesse identificato e fatto correggere la vulnerabilità poi sfruttata nell'attacco, avrebbe evitato un danno da 110.000 euro. Il ritorno potenziale sull'investimento: oltre il 1.800%.

A questo aggiungi: le sanzioni GDPR per violazione di dati personali possono arrivare fino al 4% del fatturato annuo. Il danno reputazionale verso clienti e fornitori. La perdita di contratti con clienti enterprise che, nell'era NIS2, iniziano a richiedere ai propri fornitori la prova di una postura di sicurezza adeguata. Il pentest non è una spesa. È un'assicurazione attiva: non ti copre dopo il danno, ti aiuta a evitarlo prima.

Quando fare un pen test: i 6 passi fondamentali per una PMI

Non esiste una risposta unica valida per tutte le aziende, ma esistono sei situazioni in cui il pen test smette di essere "consigliabile" e diventa necessario.

1. Prima del lancio di un nuovo sito, portale o applicazione Scoprire una vulnerabilità critica prima della messa in produzione costa una frazione di quanto costerebbe correggerla dopo il lancio, figurarsi dopo un incidente. Se stai per andare live con qualcosa di nuovo, il pen test va fatto prima, non dopo.
2. Dopo un cambio infrastrutturale rilevante Hai cambiato hosting, migrato su cloud, integrato un nuovo ERP, collegato sistemi di terze parti? Ogni cambiamento infrastrutturale rilevante reimposta il perimetro di rischio. Ciò che era sicuro prima potrebbe non esserlo più dopo.
3. Prima di firmare contratti con grandi clienti, enti pubblici o aziende nella filiera NIS2 Questo è il trigger che più spesso sorprende i titolari di PMI: non è la tua azienda che decide se il pen test serve, ma il tuo cliente enterprise. Sempre più frequentemente, grandi aziende e pubbliche amministrazioni richiedono ai fornitori la documentazione della propria postura di sicurezza come prerequisito contrattuale. Avere un report di pen test recente ti distingue e ti protegge.
4. Con cadenza periodica, almeno annuale Il panorama delle vulnerabilità cambia continuamente. Nuove CVE (vulnerabilità note) vengono pubblicate ogni giorno, i framework vengono aggiornati, le configurazioni evolvono. Un'applicazione che era sicura a gennaio potrebbe non esserlo più a settembre. La sicurezza informatica non è uno stato permanente: è un processo continuo.
5. Dopo un incidente o un sospetto accesso non autorizzato Se hai subito un attacco, un accesso anomalo, una fuga di dati o semplicemente hai trovato qualcosa di strano nei log, il pen test post-incidente è fondamentale: non solo per capire cosa è successo e come, ma per verificare che le vulnerabilità sfruttate siano state davvero chiuse e che non ne esistano altre simili.
6. Per conformità NIS2 e GDPR La Direttiva NIS2 (D.Lgs. 138/2024) richiede la gestione attiva e documentata delle vulnerabilità. La scadenza operativa per le misure di sicurezza è ottobre 2026. Il pen test è lo strumento che ti permette di dimostrare a ACN, a clienti e a partner che la gestione delle vulnerabilità non è teorica ma concreta e verificata. Se gestisci un e-commerce, il GDPR ti impone obblighi specifici sulla protezione dei dati dei tuoi clienti: leggi la nostra guida completa al GDPR per e-commerce.

Quando il pen test è ancora prematuro?

Qui diciamo una cosa che pochi fornitori di sicurezza informatica hanno il coraggio di dire apertamente: il pen test non è sempre il primo passo giusto. Se il tuo CMS e i tuoi plugin non vengono aggiornati da più di sei mesi, le vulnerabilità che un pen test troverebbe sono già note pubblicamente e correggibili con un aggiornamento (fatto comunque da tecnici esperti).

Se non hai un backup testato e recente, qualsiasi vulnerabilità trovata, e corretta, lascia irrisolto il rischio più grande: perdere tutto. Il pen test amplifica ciò che già funziona. Non sostituisce l'igiene informatica di base. Noi di Keidea valutiamo sempre questi aspetti insieme a te nella fase di consulenza preliminare, proprio per assicurarci che il test che eseguiamo produca valore reale per la tua azienda, e non un report che identifica problemi che avresti potuto correggere da solo in un pomeriggio.

NIS2 e pen test: cosa cambia davvero per le PMI italiane nel 2026

La Direttiva NIS2, recepita in Italia con il Decreto Legislativo 138/2024, è già in vigore. Le misure di sicurezza operative devono essere implementate entro ottobre 2026. Se non sai ancora se la tua PMI rientra nel perimetro NIS2 e quali obblighi ti riguardano, leggi la nostra guida completa sulla Direttiva NIS2 per le PMI italiane. 

Non è più tempo di "osservare": è tempo di fare. Chi è direttamente coinvolto: le PMI con 10 o più dipendenti, oppure con un fatturato annuo superiore o uguale a 20 mila euro, che operano in settori considerati critici, energia, sanità, logistica, manifattura critica, servizi digitali e IT. Chi è indirettamente coinvolto, e spesso non lo sa: qualsiasi PMI che lavora come fornitore di un soggetto NIS2.

Se i tuoi clienti sono banche, ospedali, utility, grandi manifatturiere o pubbliche amministrazioni, la NIS2 ti riguarda anche se non rientri direttamente nel perimetro. Quei clienti sono obbligati a valutare e monitorare la sicurezza della propria supply chain: se non sei in grado di dimostrare la tua postura di sicurezza, rischi di perdere i contratti. Il pen test, in questo contesto, non è solo un'attività tecnica: è prova documentata della gestione attiva delle vulnerabilità, esattamente il tipo di evidenza che ACN, clienti enterprise e partner richiedono. Spesso il pen test si inserisce all'interno di un percorso di audit NIS2 più ampio: scopri come funziona un audit NIS2 per PMI e quanto dura.

C'è un altro aspetto che va sottolineato con chiarezza. L'articolo 23 del D.Lgs. 138/2024 stabilisce la responsabilità personale dei vertici aziendali: l'amministratore delegato non può delegare la cybersecurity all'IT e lavarsene le mani. In caso di mancata conformità, i dirigenti possono essere soggetti a sospensione temporanea dall'esercizio delle funzioni. Le sanzioni per i soggetti importanti arrivano fino a 7 milioni di euro o all'1,4% del fatturato mondiale.

Secondo i nostri dati, il collegamento tra pen test e conformità NIS2 è uno degli aspetti più sottovalutati dalle Aziende Italiane e uno dei più urgenti. Le PMI che lo affrontano oggi, con un percorso strutturato, avranno un vantaggio competitivo reale rispetto a chi arriverà all'ottobre 2026 impreparato.

Come si svolge un pen test professionale: le 5 fasi operative

Capire come funziona un pen test ti aiuta a valutare la serietà di chi lo esegue, e la qualità di ciò che stai acquistando.

• Fase 1: Scoping e definizione del perimetro Prima di toccare qualsiasi sistema, si definisce con precisione cosa viene testato, entro quali limiti e con quale metodologia. La metodologia può essere black box (il tester non ha nessuna informazione preliminare, simula un attaccante esterno che non conosce la tua infrastruttura), grey box (accesso parziale, simula un attaccante con credenziali limitate o un dipendente con accessi ristretti) o white box (accesso completo alla documentazione tecnica, massima efficienza e copertura). Viene firmata una Letter of Authorization: documento legale che autorizza l'attività e protegge entrambe le parti.
• Fase 2: Ricognizione (Reconnaissance) Il tester raccoglie informazioni sul target utilizzando fonti pubbliche (OSINT) e tecniche attive: sottodomini esposti, tecnologie utilizzate, porte aperte, email aziendali, informazioni sui dipendenti. Questa fase, condotta correttamente, rivela già una quantità sorprendente di informazioni che un attaccante reale userebbe.
• Fase 3: Identificazione delle vulnerabilità Combinazione di strumenti professionali (Burp Suite, Nmap, Metasploit e altri) e analisi manuale approfondita. Questa è la fase che distingue un professionista senior da un tool automatico: la capacità di identificare vulnerabilità logiche, business logic flaws e combinazioni di debolezze che nessuno scanner automatico rileverebbe.
• Fase 4: Exploitation controllato Il tester tenta concretamente di sfruttare le vulnerabilità identificate, con documentazione di ogni passaggio: screenshot, output degli strumenti, prove dell'accesso ottenuto. Questo è il cuore del pen test: non "questa vulnerabilità potrebbe essere sfruttata" ma "questa vulnerabilità abbiamo sfruttato, ecco come, ecco fino a dove siamo arrivati".
• Fase 5: Report finale Il deliverable reale che stai acquistando. Un report professionale si articola su due livelli distinti: un executive summary in linguaggio non tecnico, destinato al management, che risponde alla domanda "quanto siamo esposti e cosa dobbiamo fare in ordine di priorità"; e i findings tecnici, con descrizione dettagliata di ogni vulnerabilità, metodo di sfruttamento, impatto potenziale e raccomandazioni specifiche di remediation per il team IT.

Secondo la nostra esperienza ventennale, la qualità del report è ciò che distingue un pen test professionale da uno approssimativo. Un buon report deve essere comprensibile sia all'imprenditore che al tecnico, e deve indicare cosa fare, in quale ordine, con quali risorse. Se gestisci un e-commerce e vuoi capire come si struttura un percorso completo di sicurezza, di cui il pen test è una componente chiave, leggi la nostra guida completa all'audit di sicurezza per e-commerce.

Come finanziare il pen test: le opportunità concrete per le PMI italiane nel 2026

Il costo del pen test è spesso percepito come un ostacolo. La buona notizia è che nel 2026 esistono strumenti concreti per ridurlo significativamente. Il Programma Digital Europe / Bando Secure prevede un cofinanziamento al 50% delle spese per penetration test e audit di sicurezza, con un massimale di 30.000 euro a fondo perduto. La prima call si è chiusa, ma sono previste finestre successive nel 2026 e nel 2027 in base ai fondi residui. Vale la pena monitorarle e farsi trovare pronti.

Il Voucher Cloud e Cybersecurity 2026 offre un contributo a fondo perduto fino al 50%, con un massimale di 20.000 euro, per investimenti in cybersecurity e infrastrutture cloud. Il pen test rientra tra le spese ammissibili. In entrambi i casi, il pen test può essere incluso in un piano di adeguamento normativo NIS2 più ampio, il che permette di distribuire il costo nel tempo e di massimizzare le agevolazioni disponibili.

Il consiglio pratico di Keidea, basato sui nostri 20 anni di esperienza con le PMI italiane: pianifica il pen test all'interno di un percorso strutturato, non come attività isolata. Un approccio integrato, che copra assessment, pen test, remediation e documentazione per la conformità NIS2, consente di ottenere il massimo valore dell'investimento, ottimizzare i costi complessivi e accedere più facilmente ai finanziamenti disponibili.

Richiedi un preventivo pen test con Keidea Srl: come funziona la nostra valutazione

Keidea S.r.l. opera nel settore della sicurezza informatica da 20 anni. In questi due decenni abbiamo lavorato con centinaia di PMI italiane di ogni settore e dimensione: conosciamo le loro infrastrutture reali, le loro esigenze normative, i loro budget e, soprattutto, le loro vulnerabilità più comuni. Quando un titolare di PMI ci contatta per un pen test, il primo passo non è un preventivo. È una conversazione. Prima di quotare qualsiasi attività, analizziamo insieme: il tipo di sito o applicazione da testare, la documentazione tecnica disponibile, il perimetro reale da includere nel test, gli obiettivi che vuoi raggiungere (conformità NIS2, adeguamento GDPR, sicurezza operativa, requisiti di un cliente), e le eventuali criticità che già conosci o sospetti.

Non emettiamo preventivi a forfait senza aver capito cosa c'è realmente da testare. Secondo la nostra esperienza, è l'unico modo per garantire un report che abbia valore concreto per la tua azienda, e non solo un documento da archiviare per dimostrare di "averlo fatto". Il nostro processo standard include valutazione preliminare gratuita: scoping condiviso e definito in modo trasparente  test manuale professionale con metodologia.

OWASP/PTES: report in duplice formato (executive summary per il management + findings tecnici per il team IT). sessione di debriefing per spiegare i risultati in modo comprensibile: retest post-remediation per verificare che le vulnerabilità siano state effettivamente chiuse. Non vendiamo sicurezza sulla carta. Lavoriamo per farti sapere dove sei davvero vulnerabile — e per aiutarti a non esserlo più.  

Richiedi ora il tuo preventivo gratuito e senza impegno

Noi di Keidea Srl consigliamo, prima di effettuare un pen test, di fare insieme le valutazioni giuste: tipologia del sito, documentazione, perimetro reale da testare, obiettivi normativi. Solo così il preventivo sarà davvero utile, e il test davvero efficace. Compila il modulo di contatto: un nostro consulente esperto ti risponderà in tempi rapidi per raccogliere le informazioni necessarie, rispondere a tutte le tue domande e guidarti nella scelta più adatta alla tua PMI. Nessun impegno, nessun tecnicismo inutile.

Richiedi Preventivo

il pen test non è una spesa, è un'informazione strategica

Abbiamo iniziato con una domanda: sei davvero al sicuro, o lo stai solo sperando? Il pen test professionale è lo strumento che trasforma quella domanda in una risposta concreta, documentata e azionabile. Non ti promette la sicurezza assoluta, nessuno può farlo onestamente. Ti dà qualcosa di più utile: la conoscenza precisa di dove sei vulnerabile, quanto è grave, e cosa fare per correggerlo prima che lo faccia qualcun altro al posto tuo. In un contesto in cui il 75% degli attacchi informatici in Italia colpisce PMI, in cui la NIS2 porta la responsabilità della cybersecurity direttamente sul tavolo dell'amministratore delegato, e in cui un singolo incidente può costare oltre 100.000 euro tra danni diretti e indiretti, non conoscere le proprie vulnerabilità non è prudenza: è un rischio che stai correndo ogni giorno senza saperlo.

Da 20 anni, Keidea S.r.l. affianca le PMI italiane in questo percorso. Non con soluzioni generiche copiate da template internazionali, ma con valutazioni costruite sulla realtà di ogni singola azienda: il tuo sito, la tua rete, il tuo perimetro, i tuoi obiettivi. Il primo passo è gratuito e senza impegno. Parlaci della tua situazione: ci pensiamo noi al resto.  

Richiedi Preventivo