La polizza Cyber Risk è un’assicurazione che fornisce protezione contro le minacce informatiche e le violazioni dei dati. È fondamentale per le aziende che lavorano nel mondo digitale e gestiscono grandi quantità di dati, e per i professionisti che trattano dati sensibili, come medici, avvocati, commercialisti e consulenti.

Perché serve

La digitalizzazione ha rivoluzionato il modo in cui le aziende operano, ma si è verificato anche un preoccupante aumento delle minacce informatiche. Il cyber risk è oggi una delle principali vulnerabilità per le imprese di ogni settore e dimensione, non solo per le grandi multinazionali. Negli ultimi anni si è registrato un incremento significativo di furti di dati sensibili, attacchi ransomware che bloccano interi sistemi, frodi telematiche e accessi non autorizzati, violazioni della privacy con conseguenti sanzioni.

Secondo il Rapporto Clusit 2024, oltre il 50% delle PMI italiane ha subito almeno un attacco informatico.

Cosa copre

Tutte le garanzie presuppongono un attacco informatico al sistema dell’assicurato. Le principali sono:

  • Violazione dei dati: i costi associati alla perdita, al furto o all’esposizione di dati sensibili o personali.
  • Attacchi informatici: i costi derivanti da malware, ransomware, phishing e altre forme di attacco, compresi i danni causati da social engineering.
  • Recupero e ripristino: le spese per recuperare i dati persi o compromessi e ripristinare i sistemi informatici.
  • Interruzione dell’attività: la perdita di reddito e i costi operativi aggiuntivi dovuti all’interruzione delle attività.
  • Responsabilità verso terzi: i danni e le richieste di risarcimento avanzate da clienti, partner commerciali o altre terze parti, per esempio per la perdita di dati personali.
  • Spese legali e di difesa: la difesa contro reclami o cause derivanti da violazioni dei dati o attacchi. Alcune polizze possono prevedere anche la copertura delle sanzioni imposte dalle autorità, secondo le condizioni di contratto.
  • Risposta agli incidenti: l’accesso a una rete di esperti in sicurezza informatica, legale e gestione delle crisi che assistono l’azienda nella risposta a un attacco e nella prevenzione.
  • Reputazione: i costi per le campagne di comunicazione e per le pubbliche relazioni necessarie a gestire e riparare la reputazione dopo un attacco.

Cyber crime e infedeltà dei dipendenti

Le coperture di responsabilità professionale e cyber risks proteggono l’azienda dalle perdite patrimoniali conseguenti ad appropriazione indebita e frode informatica, sia per pericoli interni, come l’infedeltà dei dipendenti, sia esterni, come attacchi di hacker, virus e malware. Le principali garanzie comprendono:

  • responsabilità verso terzi, con risarcimento di danni e costi di difesa per la violazione della proprietà intellettuale di terzi o per negligenza nei contenuti digitali;
  • danni da attacchi di cyber crime, con il rimborso delle somme pagate a terzi per prevenire o porre fine a una minaccia alla sicurezza dei sistemi, compresi gli onorari dei consulenti esterni incaricati;
  • danni da interruzione dell’attività;
  • perdite pecuniarie dirette conseguenti a infedeltà e danno, distruzione o sparizione di denaro o titoli;
  • copertura per nuove società controllate e possibilità di una copertura retroattiva.

Cosa non copre

L’indagine IVASS del 2023 su 50 polizze cyber, 26 delle quali rivolte alle PMI, mostra che le polizze hanno esclusioni specifiche. Le più frequenti nelle polizze per le PMI riguardano:

  • l’assenza di antivirus o di aggiornamenti da più di 6 mesi, oppure l’uso esclusivo di antivirus gratuiti;
  • l’uso di credenziali predefinite non modificate;
  • i guasti delle reti esterne o dell’alimentazione elettrica dei servizi pubblici;
  • il dolo dei dipendenti dell’assicurato;
  • la guerra e il terrorismo: la clausola è presente nella maggior parte dei contratti e non sempre chiarisce se include la “cyber war”;
  • in generale, il rimborso del riscatto pagato in caso di ransomware, anche quando l’evento principale è assicurato (solo alcune polizze coprono le estorsioni informatiche);
  • in alcuni casi, i danni all’hardware, mentre i danni ai software aziendali sono indennizzabili.

Prima di sottoscrivere è importante leggere le esclusioni: possono ridurre in modo significativo la copertura.

Cosa serve per assicurarsi

Molte polizze richiedono requisiti di assicurabilità, tra cui:

  • adeguate misure informatiche per prevenire e contrastare gli attacchi;
  • antivirus e firewall installati e aggiornati di frequente;
  • backup regolari e frequenti dei sistemi;
  • misure organizzative adeguate, come procedure, strutture interne o esterne dedicate alla supervisione dei sistemi informatici e formazione continua del personale digitale;
  • un contratto di assistenza e manutenzione di hardware e software per tutta la durata della polizza.

Per questo conviene partire da una valutazione del rischio: capire quali minacce riguardano l’azienda e quali misure ha già adottato permette di scegliere la copertura giusta e di soddisfare le condizioni richieste. Mizar Brokers affianca le aziende nella valutazione del rischio cyber e nella definizione della copertura più adatta al proprio profilo operativo, con un approccio che tiene conto di fattori tecnici, legali e di business. Per il metodo è disponibile la pagina sul risk management.

Come sono fatte le condizioni

  • Claims made: in molte polizze cyber le garanzie funzionano a richiesta fatta, cioè coprono le richieste presentate per la prima volta nel periodo di validità del contratto.
  • Massimali: sono stabiliti per singolo sinistro o come massimo indennizzabile nell’anno di riferimento.
  • Franchigie: le polizze per le PMI prevedono franchigie fisse, detratte dall’indennizzo, e franchigie temporali, cioè i giorni di interruzione dell’attività dopo i quali nasce il diritto all’indennizzo.
  • Periodi di carenza: alcune garanzie, come la tutela legale e l’interruzione dell’attività, possono avere periodi di carenza fino a 90 giorni.

Per le definizioni è disponibile la guida su franchigia, scoperto e massimale.

Quanto costa

Il premio dipende da fattori tecnici, legali e di business: le dimensioni e l’attività dell’azienda, i dati trattati, le misure di sicurezza adottate, il massimale e le garanzie scelte. Viene definito dopo la valutazione del rischio.

Per chi

La polizza è pensata per le aziende di ogni dimensione che dipendono da sistemi informatici e per i professionisti che gestiscono dati sensibili. Aiuta a mantenere la conformità con le normative sulla protezione dei dati, come il GDPR, e a garantire la continuità operativa riducendo i tempi di inattivazione dopo un incidente.

Approfondimenti

Domande frequenti

Cos’è la polizza Cyber Risk?

È un’assicurazione che protegge contro le minacce informatiche e le violazioni dei dati, coprendo i costi di ripristino, le spese legali e la gestione delle emergenze.

Il riscatto di un ransomware è coperto?

In generale no: l’indagine IVASS del 2023 rileva che il rimborso del riscatto pagato è di norma escluso, anche quando l’attacco è assicurato. Alcune polizze coprono le spese sostenute per le estorsioni informatiche, come il ripristino dei dati e la rimozione dei malware.

Serve una valutazione del rischio prima di assicurarsi?

È consigliabile: molte polizze richiedono misure di sicurezza minime, come antivirus aggiornati, backup regolari e formazione del personale, e le mancanze possono diventare cause di esclusione.

Per una consulenza sulla copertura cyber della propria azienda è possibile contattare Mizar Brokers.