Quanto costa un Penetration Test nel 2026? Prezzi, fattori e preventivo
Il costo di un penetration test non è fisso: dipende soprattutto dal perimetro tecnico, dal numero di asset e applicazioni da testare, dalla complessità degli accessi e dalla profondità delle verifiche. Come ordine di grandezza, nel mercato europeo 2026 un’attività professionale con componente manuale può partire da alcune migliaia di euro per uno scope circoscritto e superare i 10.000–20.000 euro quando il perimetro comprende più applicazioni, rete interna, Active Directory, cloud o più vettori di attacco.
La dimensione dell’azienda, da sola, non è un buon criterio per stimare il prezzo: una PMI con una web application complessa e più ruoli applicativi può richiedere più giornate di test di un’organizzazione più grande con un perimetro molto limitato. Per capire prima di tutto cos’è un penetration test e come viene eseguito, puoi consultare la guida metodologica Nexsys.
Stai valutando un Penetration Test?
Se hai già individuato gli asset da verificare, consulta il servizio Nexsys e definisci con il team tecnico lo scope corretto prima del preventivo.
Quanto costa un Penetration Test: fasce indicative 2026
Non esiste un listino universale. Le fasce seguenti sono benchmark indicativi del mercato europeo 2026 e non rappresentano un listino Nexsys: il costo effettivo viene definito solo dopo il dimensionamento dello scope.
Tipologia | Scope tipico | Fascia indicativa 2026 |
External Network / Attack Surface | IP e servizi esposti su Internet, VPN, firewall, servizi pubblicati | €2.000 – €5.000 |
Web Application / API | Applicazione o API con test autenticati e verifica della logica applicativa | €3.000 – €15.000+ |
Internal Network / Active Directory | Rete interna, identità, privilegi, lateral movement e configurazioni AD | €3.000 – €9.000+ |
Scope combinato | Più superfici: esterno + interno + web/API + identità/cloud | €6.000 – €20.000+ |
Stai valutando un Penetration Test?
Se hai già individuato gli asset da verificare, consulta il servizio Nexsys e definisci con il team tecnico lo scope corretto prima del preventivo.
Quali fattori incidono sul prezzo di un Penetration Test?
1. Perimetro e superficie d’attacco
Il driver principale è lo scope: numero di IP, host, domini, applicazioni, API, tenant cloud, reti Wi-Fi o segmenti interni inclusi nel test. Aumentare il numero di asset aumenta il lavoro di ricognizione, verifica, exploitation controllato e reporting.
2. Complessità di applicazioni, API e ruoli utente
Per una web application non conta soltanto il numero di pagine. Incidono autenticazione, SSO/MFA, numero di ruoli, segregazione dei privilegi, API, integrazioni esterne, workflow e logica di business. Più combinazioni devono essere verificate, maggiore è l’effort manuale.
3. Ambiente esterno, interno, Active Directory, cloud o wireless
Un test della sola superficie Internet ha un perimetro diverso da un’attività interna con Active Directory, privilege escalation e lateral movement. Anche ambienti cloud, applicazioni SaaS, API e reti wireless richiedono metodologie e competenze specifiche.
Se il focus è Active Directory, può essere utile distinguere il penetration test da un’attività strutturata di Active Directory Security Assessment & Hardening, che ha finalità e perimetro differenti.
4. Black box, grey box e white box
Il modello di test cambia le informazioni iniziali fornite al tester e quindi la distribuzione dell’effort. Un black box parte con informazioni minime; un grey box utilizza accessi o informazioni parziali; un white box mette a disposizione documentazione, account o altri elementi tecnici. Non esiste un approccio sempre “più economico”: la scelta dipende dall’obiettivo del test e dal livello di copertura richiesto.
5. Vincoli operativi e finestre di test
Sistemi critici, ambienti di produzione, finestre notturne, change freeze, necessità di coordinamento con SOC o fornitori terzi e limiti sulle tecniche utilizzabili possono aumentare l’effort di pianificazione ed esecuzione.
6. Reporting, remediation e re-test
Il preventivo deve chiarire il livello di dettaglio del report, la classificazione delle vulnerabilità, le evidenze tecniche, il remediation plan, l’eventuale sessione di restituzione e la verifica successiva delle correzioni. Un re-test post-remediation può essere incluso o quotato separatamente.
7. Esigenze di audit e compliance
Quando il test deve produrre evidenze utilizzabili in un processo di audit o di gestione del rischio, possono aumentare tracciabilità, formalizzazione delle evidenze e requisiti documentali. Il penetration test non va però presentato come requisito automatico e identico per ogni organizzazione o per ogni framework: il perimetro deve essere ricondotto ai requisiti effettivamente applicabili.
Come viene quotato un Penetration Test?
Prezzo a progetto
È il modello più leggibile quando lo scope è definito. Il fornitore stima l’effort necessario e formula un prezzo per l’intero engagement, indicando attività incluse, esclusioni e deliverable.
Tariffazione a giornata
È utile per attività esplorative, scope aperti o interventi incrementali. Nei benchmark europei 2026 le tariffe giornaliere per attività manuali specialistiche si collocano frequentemente nell’ordine di circa €1.200–€1.800/giorno, con variazioni rilevanti per mercato, seniority e specializzazione.
Programmi ricorrenti
Per organizzazioni con più applicazioni o release frequenti può essere definito un programma periodico di test, con campagne pianificate e re-test. In questo caso il confronto tra offerte deve considerare copertura, frequenza, SLA, reporting e capacità del team, non solo il costo unitario.
Cosa deve includere un preventivo di Penetration Test
Per confrontare due offerte in modo corretto, il preventivo dovrebbe rendere espliciti almeno questi elementi:
- asset, applicazioni, indirizzi IP, ambienti e domini inclusi nello scope;
- eventuali esclusioni e sistemi di terze parti;
- modello di test e credenziali messe a disposizione;
- metodologia e livello di verifica manuale;
- Rules of Engagement, finestre temporali e limiti operativi;
- criterio di classificazione del rischio e formato delle evidenze;
- report tecnico, executive summary e remediation plan;
- sessione di restituzione dei risultati;
- eventuale re-test post-remediation e relativo perimetro;
- gestione delle evidenze, dei dati raccolti e delle informazioni sensibili.
Il prezzo corretto nasce da uno scope corretto Prima di confrontare due preventivi, verifica che stiano coprendo lo stesso perimetro e gli stessi deliverable. Un’offerta più economica può semplicemente includere meno asset, meno profondità o nessun re-test. |
Vulnerability Assessment o Penetration Test: cosa cambia anche sul costo?
Un vulnerability assessment e un penetration test non sono equivalenti. Il primo punta soprattutto a individuare e classificare vulnerabilità su un perimetro; il secondo verifica in modo controllato se determinate debolezze sono realmente sfruttabili e quale impatto possono produrre. Per questo un penetration test richiede normalmente più attività manuale, analisi contestuale e validazione tecnica.
Se devi scegliere quale attività acquistare, consulta l’approfondimento Vulnerability Assessment vs Penetration Test prima di richiedere il preventivo.
Elemento | Vulnerability Assessment | Penetration Test |
Obiettivo | Individuare e classificare vulnerabilità | Validare sfruttabilità e impatto reale |
Automazione | Componente automatizzata rilevante | Automazione + verifica e attività manuali |
Profondità | Ampiezza del rilevamento | Profondità sui vettori di compromissione |
Costo | Generalmente inferiore a parità di scope | Generalmente superiore per effort manuale e validazione |
Esempi di dimensionamento: perché il numero di dipendenti non basta
Per stimare un penetration test è più utile descrivere il perimetro tecnico che indicare semplicemente il numero di dipendenti. Di seguito tre esempi di scope, non preventivi Nexsys.
Scenario 1 – Superficie Internet circoscritta
Pochi IP pubblici, VPN, firewall e servizi esposti. Il dimensionamento dipende dal numero di host effettivamente attivi, dai servizi pubblicati e dal livello di exploitation consentito. Come benchmark, uno scope simile può collocarsi nell’ordine di alcune migliaia di euro.
Scenario 2 – Web application con autenticazione
Una singola applicazione può diventare impegnativa se include più ruoli, API, SSO/MFA, upload di file, workflow autorizzativi o logica di business complessa. In questi casi il costo è determinato molto più dal numero di funzioni e combinazioni da verificare che dal numero di utenti aziendali.
Scenario 3 – Infrastruttura interna e Active Directory
Un test interno può comprendere discovery, analisi dei privilegi, vettori di lateral movement, configurazioni di dominio e percorsi verso asset critici. Il numero di segmenti, sistemi, trust e livelli privilegiati incide direttamente sull’effort.
Come contenere il costo senza ridurre la qualità del test
Un buon processo di scoping riduce attività inutili e rende confrontabili le offerte. Prima del preventivo è utile predisporre:
- un inventario aggiornato degli asset inclusi;
- elenco di applicazioni, API, domini, IP e ambienti cloud da testare;
- ruoli utente e account di test, se previsti dal modello grey/white box;
- diagrammi essenziali di rete e dipendenze critiche;
- finestre temporali e sistemi sui quali sono vietate attività invasive;
- obiettivi del test e deliverable richiesti;
- necessità o meno di remediation verification / re-test.
Come ottenere un preventivo attendibile
Un preventivo attendibile richiede almeno una definizione preliminare del perimetro. Indicare “un penetration test della rete aziendale” non è sufficiente: servono target, modalità di accesso, obiettivi, vincoli e deliverable. La fase di scoping permette di trasformare questi elementi in giornate/uomo e attività verificabili.
Vuoi dimensionare il tuo Penetration Test? Nexsys può definire con te perimetro, tipologia di test, vincoli operativi e deliverable prima della quotazione. In questo modo il preventivo riflette l’attività tecnica realmente necessaria. Scopri il Penetration Test per aziende e richiedi la valutazione dello scope |
Nel modulo di contatto della pagina, chiedere preferibilmente: numero di IP/host, applicazioni o API, presenza di Active Directory/cloud, modalità di test desiderata, eventuali vincoli di compliance/audit e necessità di re-test.
Come Vengono Quotati i Penetration Test
A Progetto (più comune)
Prezzo fisso definito su scope concordato. Ideale per aziende che vogliono prevedibilità di budget. Include tutte le fasi: ricognizione, exploit, reporting.
A Giornata (Time & Material)
Tariffa giornaliera tipicamente tra €800 e €1.500 per consulente senior. Flessibile per scope non definiti o verifiche incrementali. Il rischio di sforamento è del cliente.
Per Asset (scalabile)
Prezzo per IP, per applicazione o per utente. Adatto a MSSP o aziende con esigenze di test ricorrenti. Consente confronti precisi tra offerte diverse.
Quanto Spende un'Azienda Reale? Scenari Pratici
PMI (10–50 dipendenti)
Budget tipico: €3.000 – €6.000. Include un pentest grey box su infrastruttura esterna + Active Directory. Deliverable: report executive + remediation plan. Durata media: 3–5 giorni lavorativi.
Azienda Strutturata (50–500 dipendenti)
Budget tipico: €8.000 – €20.000. Comprende web app, infrastruttura, AD e cloud. Spesso richiesto da NIS2 o ISO 27001. Include remediation verification e accesso al team post-test.
Vulnerability Scan vs Penetration Test: Qual è la Differenza?
| Vulnerability Scan | Penetration Test |
|---|---|
| Automatizzato | Manuale con exploit reale |
| Identifica potenziali vulnerabilità | Dimostra la sfruttabilità reale |
| Basso costo (€200–€1.000) | Investimento mirato (€1.500–€50.000+) |
| Non sufficiente per NIS2/ISO 27001 | Accettato da NIS2, ISO 27001, DORA |
Cosa Ricevi al Termine del Penetration Test
- Executive Summary - panoramica per il management con risk rating e impatto business
- Vulnerabilità dettagliate - descrizione tecnica, CVSS score, asset interessato
- Proof of Exploit - screenshot e log che dimostrano la sfruttabilità reale
- Remediation Verification (opzionale) - re-test post-fix per confermare la chiusura delle vulnerabilità
- Remediation Plan - azioni correttive prioritizzate per rischio (Critical / High / Medium / Low)
Domande frequenti sul costo di un Penetration Test
Quanto costa un penetration test?
Il costo varia in base a scope, complessità e profondità. Per attività professionali con componente manuale, gli engagement circoscritti partono tipicamente da alcune migliaia di euro; scope complessi o multi-superficie possono arrivare a decine di migliaia di euro. Il prezzo preciso richiede sempre un dimensionamento tecnico.
Quanto costa un penetration test di una web application?
Per una web application il costo dipende soprattutto da numero di funzioni, ruoli, API, autenticazione, integrazioni e logica di business. Come benchmark europeo 2026, un test professionale può collocarsi indicativamente da circa 3.500 euro a oltre 15.000 euro per applicazioni complesse.
Quanto costa un penetration test della rete aziendale?
Una verifica della sola superficie esterna può avere un costo inferiore rispetto a un test interno con Active Directory, privilege escalation e lateral movement. Come ordine di grandezza, gli scope esterni circoscritti possono partire da circa 2.500–7.000 euro, mentre attività interne o AD possono richiedere budget superiori.
Il costo dipende dal numero di dipendenti?
Non direttamente. Il numero di dipendenti è un indicatore debole: incidono soprattutto numero e tipo di asset, applicazioni, ruoli, segmenti di rete, ambienti cloud, identità privilegiate e profondità richiesta.
Qual è la differenza di costo tra Vulnerability Assessment e Penetration Test?
A parità di perimetro, il penetration test tende ad avere un costo maggiore perché aggiunge attività manuali, exploitation controllato, analisi dell’impatto e validazione delle vulnerabilità. Un vulnerability assessment è orientato soprattutto a rilevare e classificare debolezze.
Il re-test dopo la remediation è compreso nel prezzo?
Dipende dall’offerta. Il preventivo dovrebbe specificare se la remediation verification è inclusa, il periodo entro cui può essere richiesta, quali finding vengono verificati e se è previsto un report aggiornato.
Quali informazioni servono per ricevere un preventivo?
Servono almeno elenco degli asset inclusi, IP e domini, applicazioni o API, eventuale Active Directory o cloud, modello di test, account disponibili, vincoli operativi, finestre temporali, deliverable richiesti e necessità di re-test.
NIS2 o ISO 27001 impongono sempre un penetration test?
No. Non è corretto presentare un generico penetration test come requisito automatico e identico per ogni organizzazione. Le attività di verifica devono essere determinate in base ai requisiti normativi o di standard applicabili, alla valutazione del rischio, ai sistemi coinvolti e agli obblighi contrattuali o di audit.
Quanto dura un penetration test?
La durata dipende dallo scope. Un perimetro limitato può richiedere pochi giorni di attività; ambienti con più applicazioni, rete interna, Active Directory, cloud o più ruoli applicativi possono richiedere una o più settimane tra preparazione, test, analisi e reporting.
La tua azienda è davvero al sicuro?
Richiedi un preventivo per un penetration test professionale. I nostri esperti certificati analizzano la tua infrastruttura e ti consegnano un piano d'azione concreto.