Polizza cyber per aziende: cosa copre, quanto costa e come confrontare i preventivi
Come funziona una polizza cyber risk per PMI italiane: garanzie, franchigie, massimali, esclusioni, questionari di sicurezza e metodo per confrontare i preventivi.
Una polizza cyber trasferisce a un assicuratore una parte dei costi che l'azienda sosterrebbe dopo un attacco informatico: ripristino dei sistemi, consulenti, interruzione dell'attività, gestione dei dati violati, richieste di terzi. Il premio dipende da fatturato, settore, dati trattati e misure di sicurezza già adottate; la copertura reale dipende invece da massimali, franchigie, sottolimiti ed esclusioni. Per scegliere bene non basta confrontare il premio: bisogna simulare un sinistro e leggere le condizioni.
Gli importi usati negli esempi sono illustrativi e non rappresentano prezzi di mercato.
Cosa copre di solito una polizza cyber
Le polizze si dividono in garanzie per i danni propri (first party) e per i danni causati a terzi (third party). I nomi variano da compagnia a compagnia, ma lo schema è ricorrente.
| Area | Esempi di costi coperti | Domande da farsi |
|---|---|---|
| Danni propri | Consulenti forensi, ripristino dati e sistemi, ricostruzione degli archivi | C'è un sottolimite per queste voci? |
| Interruzione di attività | Mancato margine e costi fissi durante il fermo | Dopo quante ore parte la copertura? Per quanti giorni? |
| Estorsione informatica | Negoziazione e, dove consentito, pagamento del riscatto | Quali condizioni e quali esclusioni? |
| Gestione della violazione | Notifica agli interessati, call center, monitoraggio, comunicazione | Sono incluse le spese legali per la notifica al Garante? |
| Responsabilità verso terzi | Richieste di risarcimento da clienti o partner per dati violati | Il massimale è unico o per singola garanzia? |
| Sanzioni amministrative | Sanzioni, dove assicurabili per legge | Sono coperte? Con quali limiti? |
Sul tema delle sanzioni l'assicurabilità dipende dalla legge applicabile e dalle condizioni: verifica sempre con il broker e non dare per scontata la copertura.
I termini da capire prima di firmare
- Massimale: l'importo massimo che l'assicuratore paga per sinistro o per anno. Può essere unico oppure suddiviso in sottolimiti per garanzia.
- Franchigia: la parte di danno che resta a carico dell'azienda. Può essere fissa o in percentuale. Alcune polizze usano anche una franchigia temporale per l'interruzione di attività.
- Claims made: la copertura vale per le richieste di risarcimento presentate durante il periodo di polizza, non necessariamente per i fatti avvenuti nel periodo.
- Retroattività: indica da quando la polizza copre gli eventi scoperti oggi ma accaduti prima. Un attacco può restare nascosto per mesi.
- Carenza: periodo iniziale in cui alcune garanzie non operano.
- Esclusioni: eventi non coperti, per esempio guerra, infrastrutture di terzi, uso di sistemi non aggiornati o mancato rispetto delle misure dichiarate.
Il questionario di sicurezza: perché è decisivo
Per quotare una polizza cyber l'assicuratore chiede un questionario: autenticazione a più fattori, backup e prove di ripristino, aggiornamenti, protezione delle postazioni, formazione, piano di risposta agli incidenti. Le risposte influenzano il premio e anche la validità della copertura: dichiarazioni inesatte o reticenti possono portare, secondo il codice civile (articoli 1892 e 1893), all'annullamento del contratto o alla riduzione dell'indennizzo. Rispondi solo di ciò che puoi dimostrare, e documenta le misure.
Un buon effetto collaterale: preparare il questionario costringe a mettere in ordine le basi. Puoi usare la checklist di sicurezza di base per prepararti prima di parlare con un broker.
Come confrontare tre preventivi
Il metodo più chiaro è simulare un sinistro. Con il calcolatore confronto preventivi polizza cyber puoi inserire premio, franchigia e massimale di tre offerte e un danno ipotetico.
Esempio illustrativo con danno di 80.000 euro:
| Offerta | Premio | Franchigia | Massimale | A carico dell'azienda | Costo totale nell'anno |
|---|---|---|---|---|---|
| A | 1.800 | 5.000 | 250.000 | 5.000 | 6.800 |
| B | 1.200 | 10.000 | 100.000 | 10.000 | 11.200 |
| C | 2.600 | 2.500 | 500.000 | 2.500 | 5.100 |
In questo scenario l'offerta più cara come premio risulta la più conveniente, perché la franchigia è bassa. Se invece il danno fosse molto piccolo, per esempio 4.000 euro, nessuna polizza pagherebbe (sotto franchigia) e conterebbe solo il premio. Prova più scenari: un danno medio, uno grave e uno estremo.
Poi controlla ciò che il calcolatore non vede: sottolimiti per singola garanzia, esclusioni, periodi di carenza e requisiti di sicurezza.
Dove acquistare e a chi rivolgersi
Puoi sottoscrivere tramite agente, broker o canali diretti di alcune compagnie. Un broker iscritto al registro degli intermediari può confrontare più compagnie; verifica l'iscrizione sul sito dell'IVASS. Chiedi al broker di indicare per iscritto come sono stati scelti i preventivi e come è remunerato.
Cosa fare in caso di sinistro
- Leggi subito la clausola sulla denuncia del sinistro: spesso richiede avviso immediato o entro pochi giorni.
- Attiva il servizio di assistenza della compagnia, se previsto, prima di ingaggiare consulenti: alcune polizze rimborsano solo fornitori approvati.
- Conserva log, email e fatture di tutte le spese.
- Non pagare né negoziare un riscatto senza averne parlato con la compagnia e con un legale.
- Valuta la notifica al Garante entro 72 ore se sono coinvolti dati personali (vedi la guida violazione dei dati e notifica).
Quando consultare un professionista
Le polizze cyber sono contratti tecnici. Per aziende con fatturato rilevante, dati sensibili o obblighi NIS2, una revisione del testo da parte di un broker indipendente o di un legale esperto di assicurazioni può evitare sorprese al momento del sinistro.
Domande frequenti
La polizza cyber è obbligatoria?
In generale non esiste un obbligo di legge per le imprese di sottoscriverla; in alcuni contratti con clienti o in specifici settori può essere richiesta. Verifica contratti e normativa del tuo settore.
Il premio dipende dal fatturato?
Di solito sì, insieme a settore, numero di record trattati, misure di sicurezza e storia dei sinistri. Per questo due aziende simili possono ricevere premi diversi.
La polizza paga il riscatto ransomware?
Dipende dalle condizioni e dalla legge: alcune polizze lo prevedono con limiti e procedure, altre lo escludono. Chiedi una risposta scritta.
Posso avere la polizza senza MFA e backup?
Alcune compagnie rifiutano la quotazione o applicano premi più alti e sottolimiti. Migliorare le misure prima della richiesta spesso riduce il costo.
Fonti ufficiali
- IVASS — vigilanza sulle assicurazioni e registro degli intermediari.
- Garante per la protezione dei dati personali — notifica delle violazioni dei dati.
- Agenzia per la Cybersicurezza Nazionale — misure di sicurezza e indicazioni sugli incidenti.
