L'11 novembre 2026 Stoccolma ospiterà la terza European Cybersecurity Awareness Raising Conference, l'appuntamento promosso dall'Agenzia dell'Unione europea per la cibersicurezza (ENISA) per esaminare come migliorare le attività di sensibilizzazione sui rischi informatici. Il tema scelto per questa edizione, “From Awareness to Impact”, indica una direzione precisa: valutare se le campagne informative e i programmi educativi riescano effettivamente a modificare i comportamenti delle persone.
La conferenza si terrà presso la Palm Hall, all'interno del Gamla Posthuset, con un programma dalle 9 alle 16:30. L'organizzazione coinvolge RISE Research Institutes of Sweden e Jönköping University, in collaborazione con ENISA. La partecipazione è gratuita, ma le registrazioni risultano già chiuse.
L'incontro riunirà ricercatori, rappresentanti delle istituzioni europee, responsabili della sicurezza informatica e professionisti della comunicazione. Il programma ufficiale comprende interventi sulla misurazione dei risultati, sull'impiego dell'intelligenza artificiale generativa, sulla sicurezza delle infrastrutture critiche e sul ruolo delle reti europee nella diffusione delle buone pratiche.
Dalla conoscenza dei rischi alla modifica dei comportamenti
La questione centrale riguarda un limite ricorrente delle iniziative di sensibilizzazione: raggiungere molte persone non significa necessariamente renderle più preparate a riconoscere e affrontare una minaccia informatica.
Una campagna può ottenere numerose visualizzazioni, registrare una partecipazione elevata o conseguire risultati positivi nei questionari di apprendimento. Questi indicatori descrivono la diffusione dei contenuti, ma non dimostrano automaticamente che i destinatari abbiano modificato le proprie abitudini.
La formazione sulla sicurezza informatica richiede quindi strumenti di valutazione capaci di distinguere l'acquisizione delle conoscenze dalla loro applicazione nelle attività quotidiane. Riconoscere un tentativo di phishing durante un esercizio, per esempio, è diverso dal saperlo individuare quando arriva un messaggio apparentemente autentico durante una giornata lavorativa.
Proprio la misurazione dell'impatto aprirà le sessioni tematiche della conferenza.
Steven Furnell, professore dell'Università di Nottingham, presenterà un intervento dedicato alla valutazione dei risultati e alle indicazioni emerse dal progetto Cyber Games Lab. Seguirà Joakim Kävrestad, ricercatore e professore associato della Jönköping University, con un approfondimento sulla misurazione come processo continuo.
Il programma prevede inoltre il contributo di Per Lagerström, direttore della comunicazione e del marketing di Junglemap, sul rapporto tra apprendimento di breve durata, momenti formativi legati a situazioni concrete e cambiamenti duraturi delle abitudini di sicurezza.
Si tratta di un'impostazione che solleva questioni operative importanti anche per le aziende. Il completamento di un corso, considerato isolatamente, misura un'attività svolta. Per comprendere se quella attività abbia prodotto risultati occorre osservare ciò che accade successivamente.
Come misurare l'efficacia delle campagne di sensibilizzazione
La valutazione della formazione sulla sicurezza informatica può utilizzare indicatori differenti, a seconda degli obiettivi perseguiti.
Nelle organizzazioni, le simulazioni di phishing consentono di osservare le risposte dei dipendenti a messaggi costruiti per riprodurre tentativi di inganno. Le verifiche periodiche possono inoltre misurare la capacità di riconoscere comunicazioni sospette, applicare procedure di autenticazione o segnalare tempestivamente situazioni anomale.
Queste rilevazioni richiedono alcune precauzioni metodologiche. Il numero di clic su un messaggio simulato, per esempio, può essere influenzato dalla difficoltà del test, dal campione coinvolto e dalle caratteristiche della comunicazione. Confrontare risultati ottenuti in condizioni molto diverse rischia di produrre valutazioni fuorvianti.
Anche l'aumento delle segnalazioni di messaggi sospetti deve essere interpretato correttamente. Può indicare una maggiore attenzione dei lavoratori, senza necessariamente corrispondere a un incremento degli attacchi informatici.
Una valutazione attendibile dovrebbe quindi considerare la situazione iniziale, definire obiettivi osservabili e ripetere le verifiche nel tempo. Quando possibile, il confronto tra gruppi sottoposti a interventi differenti può aiutare a distinguere gli effetti della formazione da altri cambiamenti organizzativi.
Per una piccola impresa, questo approccio non implica necessariamente l'adozione di piattaforme complesse. Anche la registrazione dei tempi di segnalazione delle comunicazioni sospette, l'osservazione degli errori ricorrenti e la verifica periodica delle procedure possono fornire elementi utili.
Resta però una distinzione essenziale: una riduzione degli incidenti non può essere attribuita automaticamente alla formazione. Le variazioni possono dipendere anche da modifiche tecniche, nuove misure di protezione o differenti livelli di esposizione alle minacce.
L'obiettivo del confronto previsto a Stoccolma è proprio approfondire metodi e pratiche per valutare gli effetti reali delle attività educative, senza limitarsi agli indicatori di partecipazione.
Il comportamento umano nella difesa dalle minacce ibride
La seconda sessione della conferenza esaminerà il ruolo della sensibilizzazione nella difesa informatica e nelle minacce ibride, che possono combinare operazioni digitali, manipolazione delle informazioni e altre forme di pressione su organizzazioni e istituzioni.
La presenza di personale preparato assume particolare rilevanza nei settori in cui un errore operativo può produrre conseguenze sui servizi essenziali.
Anastasiya Kornitska, fondatrice e amministratrice delegata di WOTO Cybersecurity, interverrà sulla costruzione di comportamenti resilienti negli ambienti di tecnologia operativa, o OT, utilizzati nell'industria e nella sanità.
In questi sistemi, la sicurezza informatica è strettamente collegata alla continuità dei processi. Le procedure devono considerare le esigenze operative degli impianti, le responsabilità del personale e le modalità con cui vengono riconosciute e comunicate le anomalie.
Il programma comprende anche John Billow, direttore del National Cyber Security Centre svedese, con un intervento dedicato alle esperienze maturate nel rafforzamento della sicurezza informatica nazionale.
Petra Klein, amministratrice delegata di Syndis ed ex responsabile della sicurezza e della difesa informatica di gruppo presso Swedbank, affronterà invece il rapporto tra leadership e cultura della sicurezza nel settore finanziario.
Il coinvolgimento dei vertici aziendali rappresenta un elemento significativo. Se le procedure vengono percepite come un ostacolo alle normali attività, la loro applicazione può risultare discontinua. La formazione sulla sicurezza informatica deve pertanto essere sostenuta da processi organizzativi coerenti, responsabilità definite e strumenti concretamente utilizzabili.
Il programma affronta questi temi attraverso esperienze provenienti da settori differenti, senza proporre un modello operativo unico per ogni organizzazione.
Intelligenza artificiale generativa e nuove modalità di sensibilizzazione
Una sessione specifica, prevista nel pomeriggio, sarà dedicata alla domanda se l'intelligenza artificiale possa contribuire a creare consapevolezza e produrre cambiamenti misurabili.
Il titolo, “Can AI Create Awareness and Impact?”, introduce un confronto sulle applicazioni dell'intelligenza artificiale generativa nella comunicazione della sicurezza informatica.
Tra gli impieghi possibili rientrano la personalizzazione dei materiali educativi, l'adattamento del linguaggio a destinatari con competenze differenti e la costruzione di esercitazioni basate su situazioni realistiche. Un sistema generativo potrebbe, per esempio, aiutare a preparare simulazioni di messaggi fraudolenti diversificate per contesto professionale.
Si tratta di applicazioni potenziali, la cui efficacia deve essere verificata. La produzione automatica di contenuti non garantisce accuratezza tecnica, comprensibilità o cambiamenti comportamentali.
Il programma confermato prevede l'intervento di Joanna Szafarczyk-Kurek, direttrice IT e Cybersecurity della città di Varsavia, sull'impatto dell'intelligenza artificiale sui servizi municipali e sui valori pubblici.
Marianne Lindroth, ricercatrice e project manager del progetto Cyber Citizen presso la finlandese Aalto University, approfondirà il rapporto tra intelligenza artificiale e resilienza informatica centrata sulle persone.
Anna Pieczatkowska, consulente in materia di cultura della sicurezza informatica e adozione dell'intelligenza artificiale, affronterà invece il ruolo dei professionisti della sensibilizzazione nello sviluppo delle competenze necessarie a utilizzare consapevolmente questi strumenti.
La presenza di rappresentanti del settore pubblico, della ricerca universitaria e della consulenza permette di esaminare applicazioni diverse, dalla comunicazione istituzionale ai programmi educativi.
Per la formazione sulla sicurezza informatica, una delle questioni più rilevanti riguarda la possibilità di adattare i contenuti senza perdere il controllo sulla loro affidabilità.
I materiali generati automaticamente possono contenere indicazioni inesatte o semplificazioni eccessive. Le organizzazioni che li utilizzano devono quindi prevedere controlli umani, verifiche tecniche e procedure per impedire l'inserimento improprio di dati riservati nei sistemi di generazione.
Anche l'effetto della personalizzazione richiede misurazioni. Un contenuto percepito come coinvolgente potrebbe migliorare l'attenzione iniziale senza determinare una maggiore capacità di riconoscere gli attacchi.
La sessione di Stoccolma affronterà il rapporto tra intelligenza artificiale e cambiamento dei comportamenti; i risultati delle esperienze presentate non devono essere anticipati come conclusioni già acquisite.
Le reti europee e il coordinamento delle iniziative educative
La conferenza dedicherà spazio anche alla collaborazione tra istituzioni, centri di competenza e organismi nazionali.
Nella sessione “Ecosystems as Tools” interverrà Luca Tagliaretti, direttore esecutivo dell'European Cybersecurity Competence Centre (ECCC), sul sostegno agli ecosistemi nazionali della sicurezza informatica.
Hilda Ó Riain, presidente della rete dei National Coordination Centres e responsabile del centro irlandese, approfondirà il contributo della collaborazione tra i centri nazionali al rafforzamento della resilienza europea.
Per la Commissione europea è previsto l'intervento di Ann Mennens, responsabile del programma CyberAware, dedicato alla rete dei Cyber Ambassadors e alla diffusione della consapevolezza informatica.
ENISA sarà rappresentata anche da Radu Arcus, con un approfondimento sul toolkit Awareness Raising in a Box e sul rapporto tra adempimenti normativi e capacità operative, e da Katerina Christaki, presidente del gruppo di lavoro ad hoc sulla sensibilizzazione e sull'igiene informatica.
L'argomento presenta un risvolto pratico: molte organizzazioni devono affrontare minacce simili, ma dispongono di risorse, competenze e strutture differenti. Condividere metodologie e materiali può ridurre la duplicazione degli sforzi, soprattutto quando le iniziative sono destinate a piccole imprese o amministrazioni con organici limitati.
ENISA lavora da tempo su strumenti di questo tipo. Nel 2024 ha pubblicato una versione aggiornata di Awareness Raising in a Box, un insieme di risorse per progettare attività di sensibilizzazione, comprendente istruzioni, giochi, materiali operativi e indicazioni per la comunicazione durante le crisi informatiche.
L'aggiornamento ha introdotto anche un gioco formativo online accessibile attraverso EU Academy. Il toolkit è stato sperimentato in collaborazione con la Digital Security Authority di Cipro e con il centro nazionale di coordinamento cipriota.
Queste risorse mostrano come la formazione sulla sicurezza informatica possa essere organizzata attraverso percorsi differenti, combinando contenuti teorici, esercitazioni e attività partecipative. La loro disponibilità non equivale comunque a una certificazione automatica dell'efficacia dei singoli programmi.
L'evoluzione delle conferenze ENISA: dal fattore umano ai risultati misurabili
L'edizione di Stoccolma prosegue un percorso già avviato nelle precedenti conferenze europee.
Nel novembre 2024, a Lubiana, il primo incontro aveva approfondito gli aspetti psicologici e comportamentali della sensibilizzazione informatica. Il programma comprendeva applicazioni della gamification, tecniche narrative, videogiochi ed esercitazioni basate su escape room.
Nella stessa occasione ENISA aveva richiamato l'attenzione sul coinvolgimento del management, pubblicando una guida rivolta ai dirigenti aziendali per favorire una maggiore comprensione dei rischi informatici e sostenere i programmi interni.
La seconda conferenza, organizzata a Zagabria il 27 novembre 2025, aveva adottato il tema “Empowering the Human Element”. Il programma affrontava già l'impatto dell'intelligenza artificiale sulla sensibilizzazione, la valutazione delle attività educative e le esperienze sviluppate a livello nazionale.
La terza edizione porta questi argomenti verso un confronto più esplicito sulla misurabilità dei risultati.
La sessione conclusiva, “The Future of Creating Impact”, prevede un intervento di Geert Nobels, cofondatore di SOCRAI, sul riconoscimento dei cambiamenti comportamentali prodotti dalle iniziative di sensibilizzazione.
Mette Svensson, business developer di CyberCampus Sweden, parlerà del divario nelle competenze di sicurezza informatica.
Il programma comprende inoltre una tavola rotonda sul futuro dell'educazione alla consapevolezza informatica, con la partecipazione di Svensson, Per-Albin Johansson della fondazione Tryggare Sverige e HackShield, Daria Catalui di Allianz Group e Global Human Firewall, e Geert Nobels. La moderazione sarà affidata a Linda Nieminen e Margarita Sallinen.
È previsto anche un intervento di Gunnar Karlsson, professore del KTH Royal Institute of Technology, sulla collaborazione tra le organizzazioni CyberCampus europee.
Quali indicazioni possono arrivare alle imprese e alle amministrazioni
Il confronto di Stoccolma interessa direttamente le organizzazioni che investono nella formazione sulla sicurezza informatica e devono decidere come distribuire risorse tra corsi, campagne, simulazioni ed esercitazioni.
Il problema riguarda soprattutto la definizione degli obiettivi. Una campagna destinata a migliorare il riconoscimento delle frodi via email richiede indicatori differenti da un programma rivolto agli amministratori di sistema o al personale sanitario che utilizza apparecchiature connesse.
Anche la durata degli interventi incide sulla valutazione. Un risultato positivo immediatamente dopo un corso non dimostra che le conoscenze rimangano disponibili a distanza di mesi. Le verifiche successive possono aiutare a capire quando sia necessario aggiornare i contenuti o modificare le modalità didattiche.
La qualità dei sistemi di sicurezza dell'organizzazione resta un fattore determinante. Nessun programma educativo può compensare completamente configurazioni inadeguate, autorizzazioni eccessive o procedure di gestione degli incidenti insufficienti.
Le campagne più utili sono quindi quelle integrate con la prevenzione tecnica e con le attività quotidiane, nelle quali il personale dispone di istruzioni praticabili e di canali chiari per comunicare eventuali problemi.
Per le amministrazioni pubbliche, la sfida comprende anche la comunicazione verso cittadini con livelli differenti di alfabetizzazione digitale. La comprensibilità dei materiali, l'accessibilità e la scelta dei canali incidono sulla possibilità di raggiungere le persone più esposte alle frodi.
La conferenza europea offrirà occasioni di confronto su questi aspetti, ma eventuali nuove metodologie, risultati sperimentali o indicazioni condivise dai relatori potranno essere valutati soltanto dopo la presentazione degli interventi.
L'appuntamento dell'11 novembre si chiuderà con una riflessione sulle prospettive future della sensibilizzazione informatica, affidata ai moderatori e agli organizzatori. Il passaggio più significativo sarà verificare quali esperienze presentate possano tradursi in criteri di valutazione replicabili, utili per distinguere le campagne capaci di attirare attenzione da quelle che producono cambiamenti osservabili e duraturi.
