Al giorno d’oggi, in piena dematerializzazione di ogni processo e attività, il 30% di tutti i reati si verifica nel mondo digitale. Di questi, oltre il 70% sono frodi. Per proteggersi da virus, malware, phishing, attacchi hacker, data breach o semplici errori umani, sono sempre più diffuse le assicurazioni contro i rischi cyber, ovvero polizze che preservano la sicurezza informatica dal rischio di assalti, truffe e incidenti e dal loro impatto.
Un report di Cybersecurity Ventures ha stimato in 10,5 trilioni di dollari il costo annuale causato dalla criminalità informatica nel 2025. Non solo: si calcola che il 75% della crittografia attualmente in uso sia a forte rischio. Questa percentuale è destinata ad aumentare con l’affermazione e la diffusione del quantum computing. Il cyber risk è particolarmente elevato per le imprese, che al momento sono le principali destinatarie di questo tipo di polizze tutte da scoprire.
In questo articolo:
- Cosa sono le assicurazioni contro i rischi cyber
- Come funzionano le polizze cyber risk e cosa coprono
- Quanto costa una polizza di cyber insurance
Cosa sono le assicurazioni contro i rischi cyber
La cyber insurance è il ramo di polizze assicurative che permettono ad aziende e privati di introdurre la cybersecurity nel proprio ecosistema, in modo da prevenire gli attacchi informatici, la violazione dei dati, la manomissione di sistemi e software e i conseguenti danni economici che questi assalti hacker comportano. I contratti di questo genere possono essere stand alone, vale a dire delineati espressamente per la copertura del rischio cyber, oppure modulari, ovvero con una gamma più ampia di garanzie. Alcune polizze sono sotto il regime di claims made e spesso includono una clausola di retroattività.
Le imprese, in particolare le Pmi, scelgono polizze per la protezione dal rischio cyber perché identificare un attacco hacker richiede un tempo molto lungo per le aziende: in media dai sei ai nove mesi. Spesso, infatti, i criminali informatici rimangono nei sistemi per più di duecento giorni prima di essere scoperti, a fronte di una fase di ricognizione e di intrusione che dura anche meno di cinque ore.
Le assicurazioni contro i rischi cyber si rivolgono ad attività commerciali, imprese e professionisti, ma anche a singoli individui e famiglie che vogliono avere protezione dai rischi online come il furto o l’hacking della carta di credito o del conto online oppure la truffa del fake shop. Per grandi aziende e Pmi i danni potenziali più frequenti sono le perdite pecuniarie, il danneggiamento dei sistemi informatici, l’interruzione dell’attività, la richiesta di risarcimento da parte di terzi, la lesione dell’immagine aziendale e il calo di credibilità.
Nel caso della clientela retail, le garanzie più diffuse nelle polizze stand alone riguardano i danni diretti all’assicurato (la classica truffa con tecniche come il phishing e i siti e-commerce contraffatti), la responsabilità civile per danni a terzi e la tutela legale per le conseguenze che derivano dall’evento criminoso. In aggiunta, è spesso contemplata l’assistenza alla persona: la consulenza psicologica quando avvengono il furto dell’identità digitale, episodi di cyberbullismo e cyberstalking.
Come funzionano le polizze cyber risk e cosa coprono
Il funzionamento di una polizza cyber risk è piuttosto semplice. Un’azienda o un privato che decide di sottoscrivere un contratto si rivolge ad una compagnia, che effettua in primo luogo il cyber risk assessment: un’analisi approfondita del sistema informatico da assicurare, che permette di fornire una valutazione del rischio, identificando le minacce, le vulnerabilità e i punti deboli e misurando l’esposizione al rischio reale.
Superata questa fase, si stabiliscono le coperture. Le polizze contro i rischi cyber coprono innanzitutto i danni propri e le perdite pecuniarie: il danneggiamento dell’hardware, il ripristino dei dati, della rete e degli archivi, i costi investigativi, i soldi sottratti dai criminali, l’interruzione dell’attività e il riscatto in caso di ransomware, ossia un malware che infetta il computer criptando i file o bloccando l’accesso al dispositivo e che chiede il pagamento di un riscatto per sbloccare i dati.
Per le attività commerciali specialmente, è fondamentale la responsabilità civile, le garanzie offerte per il risarcimento dei danni involontariamente arrecati ai clienti da un attacco informatico che ne provoca una violazione della privacy su dati riservati e per il furto dei dati personali. Alcune compagnie assicurano le sanzioni amministrative, le spese legali e di difesa, le violazioni della proprietà intellettuale, i danni reputazionali del terzo interessato e quelli patrimoniali e di immagine.
In aggiunta, una polizza cyber risk copre la tutela legale in caso di imputazione penale, la gestione della crisi e i conseguenti costi per notificare la violazione agli interessati e le spese di pubbliche relazioni per proteggere la reputazione. Le coperture offerte includono i danni causati a terzi per delitti dolosi e colposi o per contravvenzioni connesse all’utilizzo del web e dei social media nel corso dell’attività d’impresa o professionale.
Quanto costa una polizza di cyber insurance
Sottoscrivere una polizza cyber risk ha un costo variabile, a seconda di diversi parametri presi in considerazione dalla singola compagnia. Le agenzie valutano anzitutto il costo di riparazione e la messa in sicurezza dei sistemi informatici e dei dati violati, le somme rubate dagli autori dell’attacco hacker e i riscatti pagati per recuperare i dataset. In secondo luogo, il danno reputazionale e l’esposizione di clienti e fornitori.
Le franchigie delle polizze cyber sono fisse (si deducono dall’indennizzo) oppure temporali, in base al numero di giorni d’interruzione dell’attività aziendale stabilito nel contratto, trascorso il quale matura il diritto d’indennizzo. I massimali vengono fissati per singolo incidente oppure per un importo massimo risarcibile nell’anno di riferimento. Garanzie come la tutela legale o l’interruzione dell’attività prevedono periodi di carenza contrattuale anche di novanta giorni.
Naturalmente per poter assicurare i rischi cyber, le compagnie richiedono condizioni e requisiti minimi di assicurabilità: la tipologia di tecnologia adottata, la sicurezza preventiva messa a punto, l’installazione e l’aggiornamento abituale di antivirus e firewall adeguati, lo svolgimento di backup periodici e frequenti. Nel caso delle aziende, è fondamentale la formazione digitale e l’aggiornamento professionale dei responsabili della sicurezza e dei dipendenti.
Le esclusioni, invece, sono quelle tipiche dei contratti assicurativi, con la differenza che nelle polizze contro i rischi cyber si aggiungono esclusioni specifiche che limitano le garanzie. Tra queste, spiccano le clausole relative a guerre ed attacchi terroristici e le interruzioni di attività delle infrastrutture elettriche ed informatiche e dei data center. Non mancano, infine, alcuni limiti di territorialità a seconda delle garanzie prestate, ad esempio nell’Unione europea o extra Ue.
