Per anni la polizza cyber è stata percepita dalle piccole e medie imprese italiane come un lusso da multinazionali. Oggi non è più così. La spinta non arriva solo dalla cronaca — ransomware, furti di credenziali, frodi sui bonifici — ma da un intreccio di pressioni normative e contrattuali che sta rendendo la copertura, pur senza essere obbligatoria per legge, di fatto necessaria per lavorare con clienti strutturati e filiere regolate.

Vale la pena capire cosa si compra, perché qui più che altrove la differenza tra una garanzia utile e una inutile sta nelle clausole, non nel prezzo.

Perché il tema è diventato attuale

Il recepimento italiano della direttiva NIS2, avvenuto con il d.lgs. 138/2024, ha ampliato in modo significativo la platea dei soggetti tenuti ad adottare misure di sicurezza informatica e a notificare gli incidenti. Molte PMI dei settori elencati negli allegati del decreto — dai comparti «altamente critici» dell'Allegato I, come energia e sanità, a quelli «critici» dell'Allegato II, come la produzione e distribuzione alimentare, il manifatturiero e i fornitori di servizi digitali — si ritrovano per la prima volta dentro un perimetro di obblighi che prima riguardava solo le grandi infrastrutture. La polizza non sostituisce gli adempimenti: non mette in regola chi non lo è. Molte imprese, però, la adottano come tassello di una strategia di gestione del rischio che la stessa normativa chiede di documentare.

A questo si aggiunge l'effetto filiera. Il regolamento europeo DORA (Regolamento UE 2022/2554), applicabile dal 17 gennaio 2025, impone agli operatori finanziari requisiti rigorosi sui fornitori tecnologici terzi: chi vende software o servizi IT a banche, assicurazioni o intermediari si vede ormai chiedere, in sede contrattuale, garanzie e coperture assicurative come condizione per restare in gara. È un meccanismo a cascata: la regola colpisce il soggetto vigilato, ma l'onere ricade sulla PMI fornitrice, anche quando questa non rientra direttamente nel perimetro normativo.

Che cosa copre, in concreto, una polizza cyber

Una copertura ben costruita lavora su due fronti distinti, che è bene non confondere.

Le garanzie di primo rischio (first-party) indennizzano i danni subiti direttamente dall'impresa: costi di ripristino dei sistemi e dei dati, perdite da interruzione dell'attività (business interruption) nelle ore o nei giorni di fermo, spese di gestione dell'incidente — periti informatici, consulenza forense, eventuale negoziazione in caso di estorsione. Alcune polizze includono anche il rimborso del riscatto da ransomware, voce delicata sulla quale conviene leggere con attenzione condizioni, sottolimiti ed eventuali esclusioni.

Le garanzie di responsabilità civile (third-party) intervengono invece quando il danno lo subiscono altri: clienti i cui dati sono stati violati, fornitori, terzi che agiscono per il risarcimento. Qui il collegamento con il GDPR è diretto. La violazione di dati personali può generare richieste di risarcimento ai sensi dell'art. 82 del Regolamento (UE) 2016/679 e, sul fronte amministrativo, sanzioni del Garante. Va però chiarito un punto che genera molti equivoci: la sanzione amministrativa in sé non è assicurabile. Trasferirne il peso economico all'assicuratore ne svuoterebbe la funzione deterrente, ed è per questo considerata contraria all'ordine pubblico — un principio ribadito anche dal mercato assicurativo italiano. La polizza interviene quindi su altro: le spese legali e peritali per difendersi nel procedimento del Garante e le somme dovute a titolo di risarcimento ai terzi danneggiati, non la multa.

A queste due aree si affiancano spesso servizi accessori sempre più rilevanti: la risposta all'incidente con un team dedicato, l'assistenza nella gestione degli obblighi di notifica, il presidio reputazionale. Per una PMI senza un proprio reparto di sicurezza è frequentemente questa la parte di maggior valore pratico: nelle prime ore dopo un attacco, sapere chi chiamare conta più del massimale.

Dove si nascondono i problemi: le esclusioni

Il punto critico di ogni polizza cyber sta nelle condizioni di operatività. Tre meritano attenzione particolare.

La prima è la manutenzione minima dei sistemi. Molti contratti subordinano l'indennizzo all'adozione di misure di base — backup regolari, aggiornamenti, autenticazione a più fattori. Se al momento del sinistro queste misure mancavano, l'assicuratore può ridurre o negare la prestazione. Le dichiarazioni rese in fase di sottoscrizione, di conseguenza, pesano: un questionario impreciso può ritorcersi contro l'assicurato.

La seconda riguarda gli atti di guerra e gli attacchi attribuibili a Stati. Dopo alcuni contenziosi internazionali su grandi attacchi informatici, il mercato ha rivisto le clausole di esclusione legate alla cosiddetta "cyber warfare". Per una PMI il rischio concreto è marginale, ma la formulazione contrattuale va comunque letta, perché la linea tra attacco criminale e attacco geopolitico non è sempre netta.

La terza è la catena di fornitura: un incidente che parte da un fornitore IT esterno è coperto? E un attacco che sfrutta una vulnerabilità nota e non corretta da tempo? Sono le domande che, a danno avvenuto, fanno la differenza tra rimborso e diniego.

Il ruolo della consulenza e il contesto IVASS

Il mercato assicurativo italiano sui rischi cyber è in crescita ma ancora giovane, con prodotti molto eterogenei tra loro. Questo rende difficile il confronto sul solo premio: due polizze allo stesso prezzo possono avere massimali, sottolimiti ed esclusioni profondamente diversi.

In questo quadro vale il principio rafforzato dalla direttiva IDD sulla distribuzione assicurativa, recepita in Italia e vigilata da IVASS: la copertura proposta deve essere coerente con le richieste ed esigenze effettive del cliente. Per una PMI significa pretendere dall'intermediario un'analisi del proprio profilo di rischio reale — tipo di dati trattati, dipendenza dai sistemi, esposizione contrattuale verso terzi — prima ancora di guardare il listino. La regola di adeguatezza non è un formalismo: è lo strumento che dovrebbe evitare di acquistare una garanzia tarata su un'impresa diversa dalla propria.

Questo articolo ha finalità informative e non costituisce consulenza assicurativa o legale: la scelta di una copertura va valutata caso per caso con un intermediario abilitato, sulla base delle condizioni contrattuali specifiche e del profilo della singola impresa.

La domanda giusta da porsi, prima della firma, non è "quanto costa", ma "che cosa succede nelle prime 48 ore dopo un attacco, e chi paga cosa". Una polizza che risponde con chiarezza a questa domanda vale il premio. Una che lascia spazio all'interpretazione, qualunque sia il prezzo, è un rischio in più, non in meno.