Cyber insurance, cosa copre davvero e cosa esclude sempre

Una polizza cyber tipica copre i costi di ripristino di dati e sistemi, la responsabilità civile verso terzi per una violazione di dati che li coinvolge, i costi di notifica e gestione della crisi, e la perdita di fatturato per interruzione dell'attività — ma quasi sempre esclude gli attacchi legati a conflitti tra Stati e penalizza fortemente chi non ha misure minime di sicurezza in essere, dichiarate al momento della sottoscrizione.

Le coperture principali da aspettarsi

• Costi di ripristino: recupero di dati e sistemi compromessi, incluso l'intervento di specialisti di incident response.
• Responsabilità civile verso terzi: risarcimenti dovuti a clienti, fornitori o altri soggetti i cui dati sono stati coinvolti nella violazione.
• Costi di notifica e gestione della crisi: le spese per adempiere agli obblighi verso il Garante Privacy e per comunicare l'evento a clienti e stakeholder, incluse eventuali consulenze di comunicazione.
• Interruzione di attività (business interruption): la perdita di fatturato nel periodo in cui i sistemi sono fuori uso a causa dell'attacco.
• Sanzioni amministrative, quando assicurabili secondo la normativa applicabile: alcune polizze offrono una copertura per le sanzioni previste dal GDPR, entro i limiti consentiti dalla legge.

Il pagamento del riscatto: un'area delicata

Alcune polizze prevedono un rimborso, entro certi limiti e condizioni, per il pagamento di un riscatto ransomware; altre lo escludono esplicitamente. È un'area in evoluzione normativa e commerciale: vale la pena verificare esplicitamente questa clausola prima di assumere che sia compresa, perché la decisione di pagare o non pagare un riscatto ha anche implicazioni legali indipendenti dalla presenza della copertura assicurativa.

Le esclusioni più comuni

• Attacchi collegati a conflitti tra Stati (war exclusion): molte polizze cyber, sulla scia di quanto avviene nel mercato assicurativo internazionale, escludono gli attacchi attribuibili ad attori statali in un contesto di conflitto, una clausola diventata più rilevante negli ultimi anni.
• Assenza di misure minime di sicurezza dichiarate: se in fase di sottoscrizione si dichiara di avere determinate misure (backup, autenticazione a più fattori, aggiornamenti regolari) e queste risultano assenti al momento del sinistro, la compagnia può rifiutare o ridurre l'indennizzo — il quadro è in PMI e requisiti minimi di sicurezza per la polizza cyber.
• Vulnerabilità note e non corrette: un sistema con una falla di sicurezza nota da tempo e non aggiornata può essere considerato una negligenza che esclude o riduce la copertura.
• Danni reputazionali indiretti non quantificabili economicamente in modo diretto, spesso esclusi o limitati rispetto alle altre voci.

Perché la dichiarazione iniziale conta più che in altre polizze

A differenza di una polizza auto, dove il rischio dipende in gran parte da fattori esterni al conducente, il rischio cyber dipende molto dalle misure di sicurezza effettivamente adottate dall'impresa: una dichiarazione imprecisa in fase di sottoscrizione, anche non intenzionale, espone al rischio concreto di un indennizzo ridotto o negato in caso di sinistro.

Una polizza cyber copre anche gli attacchi subiti tramite un fornitore esterno?

Dipende dalla polizza: alcune coperture si estendono ai danni derivanti da un attacco alla supply chain (per esempio un fornitore di servizi cloud compromesso), altre limitano la copertura ai sistemi direttamente gestiti dall'assicurato — è una clausola da verificare esplicitamente, soprattutto per le imprese che dipendono molto da fornitori terzi.

Il costo della polizza dipende dal settore in cui opera l'azienda?

Sì, generalmente: settori che trattano volumi elevati di dati sensibili (sanità, servizi finanziari, e-commerce) sono valutati con un profilo di rischio diverso rispetto a un'attività con minore esposizione ai dati personali, a parità di dimensione dell'impresa.