Quanto costa un Penetration Test nel 2026? Prezzi, fattori e preventivo
Il costo di un penetration test non è fisso: dipende soprattutto dal perimetro tecnico, dal numero di asset e applicazioni da testare, dalla complessità degli accessi e dalla profondità delle verifiche. Come ordine di grandezza, nel mercato europeo 2026 un’attività professionale con componente manuale può partire da alcune migliaia di euro per uno scope circoscritto e superare i 10.000–20.000 euro quando il perimetro comprende più applicazioni, rete interna, Active Directory, cloud o più vettori di attacco.
Nexsys quota a corpo, per perimetro: un penetration test esterno su 10-20 IP esposti costa 4.500 € + IVA, un WAPT su una singola applicazione web 3.000-4.500 €, un test interno di Active Directory su un dominio 2.500-3.000 €, tutti con report tecnico ed esecutivo.
La dimensione dell’azienda, da sola, non è un buon criterio per stimare il prezzo: una PMI con una web application complessa e più ruoli applicativi può richiedere più giornate di test di un’organizzazione più grande con un perimetro molto limitato. Per capire prima di tutto cos’è un penetration test e come viene eseguito, puoi consultare la guida metodologica Nexsys.
Quanto costa un Penetration Test: fasce indicative 2026
Non esiste un listino universale. Le fasce seguenti sono benchmark indicativi del mercato europeo 2026 e non rappresentano un listino Nexsys: il costo effettivo viene definito solo dopo il dimensionamento dello scope.
Tipologia | Scope tipico | Fascia indicativa 2026 |
External Network / Attack Surface | IP e servizi esposti su Internet, VPN, firewall, servizi pubblicati | €2.000 – €5.000 |
Web Application / API | Applicazione o API con test autenticati e verifica della logica applicativa | €3.000 – €15.000+ |
Internal Network / Active Directory | Rete interna, identità, privilegi, lateral movement e configurazioni AD | €2.500 – €9.000+ |
Scope combinato | Più superfici: esterno + interno + web/API + identità/cloud | €6.000 – €20.000+ |
Stai valutando un Penetration Test?
Se hai già individuato gli asset da verificare, consulta il servizio Nexsys e definisci con il team tecnico lo scope corretto prima del preventivo.
Quali fattori incidono sul prezzo di un Penetration Test?
1. Perimetro e superficie d’attacco
Il driver principale è lo scope: numero di IP, host, domini, applicazioni, API, tenant cloud, reti Wi-Fi o segmenti interni inclusi nel test. Aumentare il numero di asset aumenta il lavoro di ricognizione, verifica, exploitation controllato e reporting.
2. Complessità di applicazioni, API e ruoli utente
Per una web application non conta soltanto il numero di pagine. Incidono autenticazione, SSO/MFA, numero di ruoli, segregazione dei privilegi, API, integrazioni esterne, workflow e logica di business. Più combinazioni devono essere verificate, maggiore è l’effort manuale.
3. Ambiente esterno, interno, Active Directory, cloud o wireless
Un test della sola superficie Internet ha un perimetro diverso da un’attività interna con Active Directory, privilege escalation e lateral movement. Anche ambienti cloud, applicazioni SaaS, API e reti wireless richiedono metodologie e competenze specifiche.
Se il focus è Active Directory, può essere utile distinguere il penetration test da un’attività strutturata di Active Directory Security Assessment & Hardening, che ha finalità e perimetro differenti.
4. Black box, grey box e white box
Il modello di test cambia le informazioni iniziali fornite al tester e quindi la distribuzione dell’effort. Un black box parte con informazioni minime; un grey box utilizza accessi o informazioni parziali; un white box mette a disposizione documentazione, account o altri elementi tecnici. Non esiste un approccio sempre “più economico”: la scelta dipende dall’obiettivo del test e dal livello di copertura richiesto.
5. Vincoli operativi e finestre di test
Sistemi critici, ambienti di produzione, finestre notturne, change freeze, necessità di coordinamento con SOC o fornitori terzi e limiti sulle tecniche utilizzabili possono aumentare l’effort di pianificazione ed esecuzione.
6. Reporting, remediation e re-test
Il preventivo deve chiarire il livello di dettaglio del report, la classificazione delle vulnerabilità, le evidenze tecniche, il remediation plan, l’eventuale sessione di restituzione e la verifica successiva delle correzioni. Un re-test post-remediation può essere incluso o quotato separatamente.
7. Esigenze di audit e compliance
Quando il test deve produrre evidenze utilizzabili in un processo di audit o di gestione del rischio, possono aumentare tracciabilità, formalizzazione delle evidenze e requisiti documentali. Il penetration test non va però presentato come requisito automatico e identico per ogni organizzazione o per ogni framework: il perimetro deve essere ricondotto ai requisiti effettivamente applicabili.
Come viene quotato un Penetration Test?
Il prezzo dipende dal perimetro e dal tipo di test: per questo indichiamo fasce per tipologia e definiamo il valore esatto dopo lo scoping.
Prezzo a progetto
È il modello più leggibile quando lo scope è definito. Il fornitore stima l’effort necessario e formula un prezzo per l’intero engagement, indicando attività incluse, esclusioni e deliverable.
Programmi ricorrenti
Per organizzazioni con più applicazioni o release frequenti può essere definito un programma periodico di test, con campagne pianificate e re-test. In questo caso il confronto tra offerte deve considerare copertura, frequenza, SLA, reporting e capacità del team, non solo il costo unitario.
Cosa deve includere un preventivo di Penetration Test
Per confrontare due offerte in modo corretto, il preventivo dovrebbe rendere espliciti almeno questi elementi:
- asset, applicazioni, indirizzi IP, ambienti e domini inclusi nello scope;
- eventuali esclusioni e sistemi di terze parti;
- modello di test e credenziali messe a disposizione;
- metodologia e livello di verifica manuale;
- Rules of Engagement, finestre temporali e limiti operativi;
- criterio di classificazione del rischio e formato delle evidenze;
- report tecnico, executive summary e remediation plan;
- sessione di restituzione dei risultati;
- eventuale re-test post-remediation e relativo perimetro;
- gestione delle evidenze, dei dati raccolti e delle informazioni sensibili.
Il prezzo corretto nasce da uno scope corretto Prima di confrontare due preventivi, verifica che stiano coprendo lo stesso perimetro e gli stessi deliverable. Un’offerta più economica può semplicemente includere meno asset, meno profondità o nessun re-test. |
Vulnerability Assessment o Penetration Test: cosa cambia anche sul costo?
Un vulnerability assessment e un penetration test non sono equivalenti. Il primo punta soprattutto a individuare e classificare vulnerabilità su un perimetro; il secondo verifica in modo controllato se determinate debolezze sono realmente sfruttabili e quale impatto possono produrre. Per questo un penetration test richiede normalmente più attività manuale, analisi contestuale e validazione tecnica.
Se devi scegliere quale attività acquistare, consulta l’approfondimento Vulnerability Assessment vs Penetration Test prima di richiedere il preventivo.
Elemento | Vulnerability Assessment | Penetration Test |
Obiettivo | Individuare e classificare vulnerabilità | Validare sfruttabilità e impatto reale |
Automazione | Componente automatizzata rilevante | Automazione + verifica e attività manuali |
Profondità | Ampiezza del rilevamento | Profondità sui vettori di compromissione |
Costo | Generalmente inferiore a parità di scope | Generalmente superiore per effort manuale e validazione |
Esempi di dimensionamento: perché il numero di dipendenti non basta
Per stimare un penetration test è più utile descrivere il perimetro tecnico che indicare semplicemente il numero di dipendenti. Di seguito tre esempi di scope, non preventivi Nexsys.
Scenario 1 – Superficie Internet circoscritta
Pochi IP pubblici, VPN, firewall e servizi esposti. Il dimensionamento dipende dal numero di host effettivamente attivi, dai servizi pubblicati e dal livello di exploitation consentito. Come benchmark, uno scope simile può collocarsi nell’ordine di alcune migliaia di euro.
Scenario 2 – Web application con autenticazione
Una singola applicazione può diventare impegnativa se include più ruoli, API, SSO/MFA, upload di file, workflow autorizzativi o logica di business complessa. In questi casi il costo è determinato molto più dal numero di funzioni e combinazioni da verificare che dal numero di utenti aziendali.
Scenario 3 – Infrastruttura interna e Active Directory
Un test interno può comprendere discovery, analisi dei privilegi, vettori di lateral movement, configurazioni di dominio e percorsi verso asset critici. Il numero di segmenti, sistemi, trust e livelli privilegiati incide direttamente sull’effort.
Come contenere il costo senza ridurre la qualità del test
Un buon processo di scoping riduce attività inutili e rende confrontabili le offerte. Prima del preventivo è utile predisporre:
- un inventario aggiornato degli asset inclusi;
- elenco di applicazioni, API, domini, IP e ambienti cloud da testare;
- ruoli utente e account di test, se previsti dal modello grey/white box;
- diagrammi essenziali di rete e dipendenze critiche;
- finestre temporali e sistemi sui quali sono vietate attività invasive;
- obiettivi del test e deliverable richiesti;
- necessità o meno di remediation verification / re-test.
Vuoi dimensionare il tuo Penetration Test? Nexsys può definire con te perimetro, tipologia di test, vincoli operativi e deliverable prima della quotazione. In questo modo il preventivo riflette l’attività tecnica realmente necessaria. Scopri il Penetration Test per aziende e richiedi la valutazione dello scope |
Quanto Spende un'Azienda Reale? Scenari Pratici
PMI (10–50 dipendenti)
Budget indicativo sul listino Nexsys: 7.000 – 7.500 € + IVA per test esterno (10-20 IP) + Active Directory grey box su un dominio. Deliverable: report executive + remediation plan. Durata media: 3–5 giorni lavorativi.
Azienda Strutturata (50–500 dipendenti)
Budget tipico: €8.000 – €20.000. Comprende web app, infrastruttura, AD e cloud. Spesso utile a produrre evidenze per audit, clienti o assicurazioni. Include remediation verification e accesso al team post-test.
Cosa Ricevi al Termine del Penetration Test
- Executive Summary - panoramica per il management con risk rating e impatto business
- Vulnerabilità dettagliate - descrizione tecnica, CVSS score, asset interessato
- Proof of Exploit - screenshot e log che dimostrano la sfruttabilità reale
- Remediation Verification (opzionale) - re-test post-fix per confermare la chiusura delle vulnerabilità
- Remediation Plan - azioni correttive prioritizzate per rischio (Critical / High / Medium / Low)
Domande frequenti sul costo di un Penetration Test
Quanto costa un penetration test?
Il costo varia in base a scope, complessità e profondità. Per attività professionali con componente manuale, gli engagement circoscritti partono tipicamente da alcune migliaia di euro; scope complessi o multi-superficie possono arrivare a decine di migliaia di euro. Il prezzo preciso richiede sempre un dimensionamento tecnico.
Quanto costa un penetration test per una PMI?
Da 2.500 a 4.500 € + IVA per singolo perimetro: 4.500 € per l'esterno su 10-20 IP, 3.000-4.500 € per una web application, 2.500-3.000 € per Active Directory. Una PMI con 50 utenti, 15 IP esposti, un dominio e un'applicazione web che vuole coprire tutto spende quindi 10.000-12.000 €, a meno di un pacchetto unico da concordare in fase di dimensionamento.
Quanto costa un penetration test di una web application?
Per una web application il costo dipende soprattutto da numero di funzioni, ruoli, API, autenticazione, integrazioni e logica di business. Come benchmark europeo 2026, un test professionale può collocarsi indicativamente da circa 3.000 euro a oltre 15.000 euro per applicazioni complesse. Nel listino Nexsys un WAPT su una singola applicazione web costa 3.000-4.500 € + IVA.
Quanto costa un penetration test della rete aziendale?
Dipende dal perimetro. Come ordine di grandezza di mercato, gli scope esterni circoscritti partono da circa 2.000–5.000 euro, mentre attività interne estese, con privilege escalation e lateral movement su più domini o segmenti, possono richiedere budget superiori. Nel listino Nexsys il test esterno su 10-20 IP costa 4.500 € + IVA e il test interno grey box di Active Directory su un dominio 2.500-3.000 €.
Perché il test di Active Directory costa meno di quello esterno?
Nel listino Nexsys il test interno di Active Directory è un grey box: il cliente fornisce le credenziali di un utente di dominio, il test si svolge da remoto e copre un solo dominio. Il perimetro è definito in partenza, mentre nel test esterno su 10-20 IP ogni servizio esposto va prima individuato, enumerato e verificato.
Il costo dipende dal numero di dipendenti?
Non direttamente. Il numero di dipendenti è un indicatore debole: incidono soprattutto numero e tipo di asset, applicazioni, ruoli, segmenti di rete, ambienti cloud, identità privilegiate e profondità richiesta.
Qual è la differenza di costo tra Vulnerability Assessment e Penetration Test?
A parità di perimetro, il penetration test tende ad avere un costo maggiore perché aggiunge attività manuali, exploitation controllato, analisi dell’impatto e validazione delle vulnerabilità. Un vulnerability assessment è orientato soprattutto a rilevare e classificare debolezze.
Il re-test dopo la remediation è compreso nel prezzo?
Dipende dall’offerta. Nel listino Nexsys il re-test è opzionale e va richiesto in fase di preventivo. In ogni caso il preventivo dovrebbe specificare se la remediation verification è inclusa, il periodo entro cui può essere richiesta, quali finding vengono verificati e se è previsto un report aggiornato.
Quali informazioni servono per ricevere un preventivo?
Servono almeno elenco degli asset inclusi, IP e domini, applicazioni o API, eventuale Active Directory o cloud, modello di test, account disponibili, vincoli operativi, finestre temporali, deliverable richiesti e necessità di re-test.
NIS2 o ISO 27001 impongono sempre un penetration test?
No. Non è corretto presentare un generico penetration test come requisito automatico e identico per ogni organizzazione. Le attività di verifica devono essere determinate in base ai requisiti normativi o di standard applicabili, alla valutazione del rischio, ai sistemi coinvolti e agli obblighi contrattuali o di audit.
Quanto dura un penetration test?
La durata dipende dallo scope. Un perimetro limitato può richiedere pochi giorni di attività; ambienti con più applicazioni, rete interna, Active Directory, cloud o più ruoli applicativi possono richiedere una o più settimane tra preparazione, test, analisi e reporting.
La tua azienda è davvero al sicuro?
Richiedi un preventivo per un penetration test professionale. I nostri esperti certificati analizzano la tua infrastruttura e ti consegnano un piano d'azione concreto.