In un'indagine di Forescout condotta su oltre 2.700 tra IT decision maker e business decision maker in Stati Uniti, Europa e Asia, il 53% ha riscontrato un problema o un incidente di cybersicurezza critico durante la fase di valutazione, abbastanza serio da mettere a rischio l'intero accordo. Il 65% ha ammesso un "buyer's remorse" vero e proprio dopo il closing, una volta emersi problemi di sicurezza non individuati per tempo. E il 73% considera una violazione di dati non dichiarata un motivo di rottura immediato della trattativa
Il costo di una violazione, del resto, non è più un dettaglio da nota a piè di pagina. Secondo il Cost of a Data Breach Report 2025 di IBM, il costo medio globale di un data breach si attesta a 4,44 milioni di dollari, mentre in Italia la media scende a 3,31 milioni di euro. Cifre che, spalmate su un'operazione di M&A, possono ridisegnare da sole il prezzo di acquisizione, i covenant contrattuali o le garanzie richieste al venditore.
I casi Marriott ed Equifax restano gli esempi da manuale: nel primo, una violazione ereditata dall'acquisizione di Starwood ha esposto i dati di 500 milioni di clienti; nel secondo, una gestione poco supervisionata di un percorso di crescita per acquisizioni ha contribuito a un incidente che ha coinvolto 145 milioni di persone.
Il fattore normativo cambia le regole del gioco
C'è un secondo elemento che rende la cyber due diligence urgente in modo particolare per chi opera in Europa: il quadro normativo si è irrigidito. La direttiva NIS2 è stata recepita in Italia con il decreto legislativo 138/2024 ed estende gli obblighi di sicurezza cibernetica a un perimetro molto più ampio di settori (energia, trasporti, finanza, sanità, infrastrutture digitali, filiera manifatturiera e non solo) classificando le organizzazioni come "entità essenziali" o "entità importanti".
Nel corso del 2026 le scadenze si susseguono: dalla piena attivazione degli obblighi di notifica degli incidenti a gennaio, fino al termine di ottobre per l'adozione delle misure minime di sicurezza.
Per chi acquisisce, questo significa una cosa semplice: comprare un'azienda che non è in regola con NIS2, o con framework settoriali come DORA per il finance, vuol dire ereditare sanzioni potenziali, piani di adeguamento costosi e un rischio reputazionale che si scopre solo dopo il closing. La compliance del target, in altre parole, va verificata con lo stesso rigore riservato a un contenzioso fiscale.
Cosa copre davvero una cyber due diligence
Un errore comune è pensare che basti un penetration test per dire "fatto". La realtà è più articolata, e una cyber due diligence solida guarda a cinque aree distinte:
Governance e policy. Esiste una strategia di sicurezza documentata? Chi ne risponde a livello di board? C'è un piano di risposta agli incidenti testato, non solo scritto?
Architettura tecnica. Stato del patching, segmentazione della rete, gestione degli accessi privilegiati, presenza di sistemi legacy non più supportati, spesso la parte più costosa da rimediare dopo l'acquisizione.
Catena dei fornitori. Molti incidenti gravi originano da terze parti. Sapere chi ha accesso ai sistemi del target, e con quali garanzie contrattuali, è parte integrante della valutazione.
Storico degli incidenti. Non solo le violazioni dichiarate, ma anche i "quasi incidenti": tentativi di intrusione, ransomware contenuto, accessi anomali mai comunicati agli stakeholder esterni.
Cultura e formazione. L'errore umano resta tra i fattori di rischio più citati dai decision maker intervistati da Forescout. Una policy perfetta senza un team formato serve a poco.
Quanto tempo richiede, in pratica, un lavoro di questo tipo? Dipende dalla dimensione del target e dal settore, ma per un'operazione di media complessità un team esperto riesce a coprire le cinque aree in due-quattro settimane, in parallelo con la due diligence finanziaria e legale a patto di avere accesso ordinato alla documentazione fin dall'inizio. È qui che il modo in cui i documenti vengono condivisi smette di essere un dettaglio organizzativo e diventa un fattore che decide se il processo scorre o si blocca.
Il paradosso della due diligence: proteggere i dati mentre li si condivide
Nel momento stesso in cui si verifica la sicurezza informatica di un'azienda, si aprono i suoi archivi più sensibili e li si condivide con decine di consulenti, advisor, legali e potenziali acquirenti. È il punto cieco più comune nei processi M&A: si audita la sicurezza del target usando canali che non hanno lo stesso livello di controllo. Un pool di 30-40 persone con accesso a cartelle condivise, link inviati via email, versioni di documenti che circolano senza tracciamento: è, di fatto, la superficie di attacco più grande dell'intero deal, ed è anche la più ignorata.
Qui il ruolo di una data room virtuale smette di essere un dettaglio logistico e diventa parte della strategia di sicurezza del deal stesso. Nella metafora che usiamo spesso per descrivere SimpleVDR, la data room è il notaio del deal digitale: non il protagonista della trattativa, ma il garante che la rende verificabile.
Permessi granulari per documento e per utente, crittografia end-to-end, watermark dinamici, tracciamento completo di ogni accesso e ogni download. Quando la due diligence finisce, resta una prova puntuale di chi ha visto cosa, e quando utile in sede di negoziazione, e se necessario anche in tribunale.