La Premier League sta introducendo nuove regole obbligatorie di cyber compliance per i suoi 20 club membri. Queste misure, approvate durante un incontro estivo, mirano a rafforzare la sicurezza digitale dei club di calcio inglese.
Le nuove disposizioni saranno implementate in tre fasi, a partire da, con l’obiettivo di coprire aree critiche come i backup, la risposta agli incidenti e la gestione del rischio. I club saranno sottoposti a valutazioni annuali e dovranno presentare piani di miglioramento se le loro misure di sicurezza non saranno all’altezza.
Le minacce digitali nel mondo del calcio
Nonostante i club di calcio inglese siano raramente al centro di notizie relative a Cyber attacchi il settore non è immune a queste minacce. Nel 2026, un club non rivelato è stato vittima di un attacco di spear-phishing durante una trattativa di trasferimento, mentre il Manchester United ha bloccato un attacco in corso che avrebbe potuto portare a un incidente di ransomware.
Più recentemente, il club italiano Bologna FC ha subito un attacco ransomware da parte di RansomHub, e il club olandese Ajax è stato coinvolto in un attacco alla catena di approvvigionamento dopo che un fornitore chiave, CEVA Logistics, è stato violato.
Statistiche preoccupanti
Prima del Mondiale 2026 Darktrace ha pubblicato statistiche che rivelano che l’80% delle organizzazioni sportive con cui collabora ha subito incidenti di cyber sicurezza negli ultimi 12 mesi, con il 57% che ha subito più violazioni. Il costo medio di questi incidenti è stato di circa £125,000.
La mancanza di resilienza digitale nei club
Un rapporto del 2026 preparato da NCC Group ha evidenziato che i club di calcio a tutti i livelli sono gravemente sottofinanziati in termini di resilienza digitale. Le principali minacce digitali includono spionaggio industriale, frodi nel gioco d’azzardo e nella vendita di biglietti, crimini contro giocatori ad alto reddito, minacce interne, hacktivisti e cyber bullismo.
Anna Collard, senior vice president di content strategy e CISO advisor presso KnowBe4, ha commentato che è positivo vedere la Premier League trattare la cyber sicurezza come una questione di governance piuttosto che un semplice pensiero successivo. Ha sottolineato che le sanzioni finanziarie inviano un segnale chiaro: i consigli di amministrazione sono tenuti a gestire questo rischio, non solo a delegarlo.
Collard ha anche evidenziato che le regole con denti sono un buon inizio, ma la vera resilienza richiede un comportamento pronto. Ha ricordato che uno degli incidenti più costosi nel settore ha coinvolto un club della Premier League vittima di spear-phishing durante una trattativa di trasferimento di £1 milione, un esempio di come le persone possano essere ingannate in momenti di pressione.
Muhammad Yahya Patel, virtual chief information security officer (vCISO) e EMEA cyber security advisor presso Huntress, ha accolto con favore il nuovo regime, ma ha notato che una multa di £100,000 potrebbe non essere significativa per i club di alto livello che generano entrate superiori a £600 milioni annualmente. Ha anche osservato che il calendario di implementazione, che si estende fino al 2029, potrebbe dare agli attaccanti tre stagioni in più per trovare i punti deboli.
Nonostante queste osservazioni, Patel ha riconosciuto che la direzione è chiaramente giusta. La transizione da una roadmap non prescrittiva a requisiti formali con scadenze e presentazioni di prove rappresenta un cambiamento strutturale significativo. La Premier League merita credito per aver agito proattivamente piuttosto che reagire a un grande incidente.
La stagione 2026-2027 della Premier League inizierà il 24 agosto con una partita casalinga tra l’Arsenal e il Coventry City, recentemente promosso.
