Quanto costa un penetration test in Italia? Guida ai prezzi 2026

Prezzi per tipologia di test

Il prezzo di un penetration test dipende prima di tutto da cosa viene testato. Queste sono le fasce di prezzo tipiche del mercato italiano nel 2026, basate sulla mia esperienza diretta come consulente e su quanto vedo nei preventivi che le aziende mi sottopongono:

Tutti i prezzi si intendono + IVA. Sono fasce indicative: due applicazioni "simili" possono richiedere sforzi molto diversi a seconda della logica di business, del numero di ruoli utente e delle integrazioni.

I fattori che determinano il prezzo

Quando un professionista serio prepara un preventivo, valuta principalmente cinque elementi:

• Il perimetro (scope). Quante applicazioni, quanti IP, quanti endpoint API. È il fattore che pesa di più: testare una web app con 3 ruoli utente costa molto meno che testarne cinque più l'infrastruttura.
• La complessità. Un e-commerce con pagamenti, un gestionale multi-tenant o un'app con logiche di autorizzazione articolate richiedono più giorni di test manuale.
• Il tipo di approccio. Black box (nessuna informazione, come un attaccante esterno), grey box (credenziali di test, il miglior rapporto costo/valore per la maggior parte delle aziende) o white box (accesso al codice, il più approfondito).
• Chi esegue il test. Un penetration tester senior costa di più di un junior che lancia strumenti automatici — ma trova le vulnerabilità che contano: quelle nella logica di business, invisibili agli scanner.
• Cosa include il prezzo. Report esecutivo, piano di remediation e retest non sono sempre compresi. È qui che molti preventivi "economici" nascondono costi extra.

Cosa deve includere un preventivo serio

Prima di confrontare i prezzi, verifica che il preventivo includa tutte queste voci. Se ne manca una, il prezzo non è confrontabile:

• Scope scritto e condiviso — cosa viene testato, cosa no, in quali finestre temporali;
• Test manuale, non solo scansioni automatiche;
• Report esecutivo per il management (rischio di business, in linguaggio chiaro) e report tecnico per l'IT (evidenze, passi per riprodurre, riferimenti CVE/OWASP);
• Piano di remediation prioritizzato — non un elenco piatto di 200 finding, ma cosa correggere prima e perché;
• Call di debriefing con il team;
• Retest delle vulnerabilità corrette — la voce più spesso esclusa e fatta pagare a parte.

Attenzione ai pentest "low cost"

Se ricevi un'offerta di "penetration test completo a 800 €", quasi certamente stai comprando l'output di uno scanner automatico (Nessus, OpenVAS o simili) impaginato in un PDF. Uno scanner è utile — è la base di un vulnerability assessment — ma non trova le vulnerabilità più pericolose: escalation di privilegi tra utenti, falle nella logica di pagamento, catene di vulnerabilità che singolarmente sembrano innocue.

Il problema non è solo aver speso male 800 €: è la falsa sicurezza. Un report pulito generato da uno scanner può convincerti di essere protetto mentre un attaccante umano entrerebbe in un pomeriggio. Nei casi peggiori, quel report viene usato come evidenza di compliance — e non regge a un audit serio.

Penetration test e compliance: quando è obbligatorio

Sempre più aziende italiane non fanno il penetration test per scelta, ma perché richiesto — da un cliente enterprise, da un audit o da una normativa:

• NIS2 — la direttiva europea, recepita in Italia, impone alle aziende nei settori essenziali e importanti (e a molti loro fornitori) misure di gestione del rischio che includono test di sicurezza periodici;
• ISO 27001 — la certificazione richiede la verifica periodica dell'efficacia dei controlli: il penetration test è lo strumento standard;
• PCI DSS — se tratti dati di carte di pagamento, il penetration test annuale è esplicitamente obbligatorio;
• GDPR — l'art. 32 richiede di "testare e valutare regolarmente l'efficacia delle misure" di sicurezza sui dati personali.

In tutti questi casi il report del penetration test è un'evidenza documentale: un motivo in più per pretenderne uno vero, firmato da un professionista identificabile.

Domande frequenti