Una polizza cyber non si ottiene più compilando due righe. L'assicuratore valuta le tue misure di sicurezza prima di emettere il contratto, e alcune sono diventate condizioni di accesso: autenticazione a più fattori sugli accessi amministrativi e remoti, backup isolati e provati, gestione documentata degli aggiornamenti e delle vulnerabilità, capacità di rilevare e gestire un incidente. Quello che scrivi nel questionario ha valore contrattuale: se al momento del sinistro le cose non stavano come dichiarato, la copertura può essere ridotta o negata.
Il mercato assicurativo cyber ha attraversato anni di sinistri molto superiori alle attese, trainati dagli attacchi con richiesta di riscatto e dalle frodi sui pagamenti. La reazione è stata uniforme: premi più alti, franchigie più alte, limiti più bassi e soprattutto una selezione all'ingresso molto più severa.
Da lì deriva il cambiamento che conta per chi compra: l'assicuratore non valuta più solo il settore e il fatturato, ma le misure tecniche specifiche, e le verifica. Il questionario di sottoscrizione è diventato un audit leggero, in diversi casi accompagnato da una scansione dall'esterno del tuo perimetro condotta dall'assicuratore stesso o da un suo fornitore, senza che tu debba autorizzarla nel dettaglio: guardano ciò che è pubblico.
Le condizioni variano molto da compagnia a compagnia e cambiano nel tempo: quanto segue descrive ciò che ricorre nella pratica di mercato, non le condizioni di un contratto specifico. Il testo che vale per te è sempre quello della tua polizza, da leggere con il tuo broker.
Su queste, la risposta negativa porta spesso al rifiuto o a una quotazione volutamente poco attraente.
| Requisito | Cosa viene chiesto in concreto | Perché conta per l'assicuratore |
|---|---|---|
| Autenticazione a più fattori | Su accessi remoti, account amministrativi, posta elettronica e pannelli dei fornitori cloud | Taglia alla radice la via di ingresso più comune, la credenziale rubata |
| Backup isolati e provati | Copia non raggiungibile dalla rete che verrebbe cifrata, e data dell'ultima prova di ripristino | Determina se il sinistro si chiude con un ripristino o con una trattativa |
| Gestione degli aggiornamenti | Tempi di correzione dichiarati per classe di gravità, e prova che vengano rispettati | Le violazioni sfruttano quasi sempre difetti noti da tempo |
| Verifica delle vulnerabilità | Frequenza delle scansioni sui sistemi esposti e data dell'ultima | Misura quanto rapidamente ti accorgi di una nuova esposizione |
| Protezione degli endpoint | Strumenti di rilevamento e risposta, non solo antivirus tradizionale | Riduce la probabilità che una compromissione diventi cifratura totale |
| Rilevamento e risposta | Chi guarda gli allarmi, con quale copertura oraria, entro quanto si interviene | Il tempo fra intrusione e reazione è il fattore che determina il costo |
| Piano di risposta agli incidenti | Documento con ruoli, contatti e procedura di notifica, provato almeno una volta | Un'organizzazione che sa cosa fare costa meno all'assicuratore |
| Segmentazione della rete | Separazione fra ambienti, accessi amministrativi ristretti | Limita quanto si propaga un singolo accesso compromesso |
| Protezione del dominio di posta | SPF, DKIM e policy DMARC in enforcement | È la difesa contro la frode sui pagamenti, verificabile dall'esterno in pochi secondi |
| Formazione del personale | Formazione ricorrente e documentata, spesso con simulazioni | Il primo passo dell'attacco resta quasi sempre una persona |
Le voci sulla verifica delle vulnerabilità e sulla protezione del dominio meritano attenzione particolare: sono le due che l'assicuratore può controllare da fuori, senza chiederti nulla. Una dichiarazione generosa su queste è la più facile da smentire.
È il punto che viene sottovalutato più spesso. Il questionario di sottoscrizione non è un modulo informativo: è la base su cui l'assicuratore valuta il rischio e calcola il premio. Nell'ordinamento italiano le dichiarazioni inesatte o le reticenze rese in fase di stipula hanno conseguenze precise sulla validità del contratto e sull'indennizzo, tanto più gravi quanto più la dichiarazione è stata determinante per il consenso dell'assicuratore.
Tradotto in pratica: la casella spuntata sull'autenticazione a più fattori, se al momento del sinistro si scopre che su tre account amministrativi non era attiva, diventa il primo argomento della compagnia. Lo stesso vale per il backup dichiarato isolato che invece stava su una condivisione di rete, e per la frequenza di scansione dichiarata mensile con l'ultimo rapporto datato quattordici mesi prima.
Tre accortezze che riducono il rischio in modo sostanziale:
Le coperture variano, ma la struttura ricorrente comprende i costi di gestione dell'incidente, cioè indagine tecnica, assistenza legale e comunicazione; il ripristino di dati e sistemi; l'interruzione di attività; le responsabilità verso terzi per i dati compromessi; le spese di notifica agli interessati e la gestione dei rapporti con l'autorità; in alcune forme l'estorsione informatica e, con sottolimiti stretti, la frode sui pagamenti.
Le esclusioni e le limitazioni che compaiono più spesso, e che vale la pena cercare nel testo prima di firmare:
Una domanda utile al broker, che sposta il valore reale della copertura più di qualunque altra: il servizio di risposta all'incidente è incluso e chi lo eroga? Nella pratica dei sinistri, avere una squadra raggiungibile e già contrattualizzata nelle prime ore conta quanto il massimale.
Un ordine di lavoro che, nell'esperienza comune, cambia sia l'esito sia il premio.
Il lavoro si riusa quasi interamente: le stesse evidenze rispondono alla NIS2, alle misure dell'articolo 32 GDPR e al controllo sulla gestione delle vulnerabilità della ISO 27001.
Nessun prodotto rende assicurabile un'azienda da solo, perché diversi requisiti sono organizzativi. Questi però coprono le voci tecniche più pesanti.
Questa pagina descrive prassi di mercato e non costituisce consulenza assicurativa. Le condizioni, le esclusioni e i requisiti applicabili sono solo quelli del contratto proposto, da valutare con un broker o un intermediario abilitato.
Le richieste variano da compagnia a compagnia, ma alcune ricorrono come condizioni di accesso: autenticazione a più fattori su accessi remoti, account amministrativi e posta; backup isolati dalla rete e con prova di ripristino documentata; gestione degli aggiornamenti con tempi dichiarati per classe di gravità; verifica periodica delle vulnerabilità sui sistemi esposti; strumenti di rilevamento e risposta sugli endpoint; un piano di risposta agli incidenti; e protezione del dominio di posta con SPF, DKIM e DMARC.
Non è un obbligo di legge, ma nella pratica di mercato è diventata una condizione di ingresso per la maggior parte delle compagnie, almeno su accessi remoti e account amministrativi. La ragione è statistica: la credenziale rubata o riutilizzata è la via di ingresso più frequente nei sinistri che costano di più. Una risposta negativa su questa voce porta spesso al rifiuto, oppure a una quotazione con premio e franchigia tali da renderla poco interessante.
È il rischio più serio e il meno considerato. Le dichiarazioni rese in fase di sottoscrizione sono la base su cui la compagnia valuta il rischio e calcola il premio, e dichiarazioni inesatte o reticenti hanno conseguenze precise sulla validità del contratto e sull'indennizzo, tanto più gravi quanto più sono state determinanti per il consenso. In concreto, al momento del sinistro la compagnia rilegge il questionario e verifica proprio le voci che risultano collegate alla causa del danno.
Il questionario chiede quasi sempre sia se le scansioni vengono eseguite sia con quale frequenza, e la seconda domanda è quella che pesa. Una verifica continua o almeno mensile sui sistemi esposti si difende bene; un rapporto isolato di dodici mesi prima viene letto come assenza di processo. Il vantaggio pratico della verifica continua è che la risposta resta vera nel tempo senza che nessuno debba ricordarsi di rifare la scansione prima del rinnovo.
Dipende dal contratto e va verificato voce per voce. Alcune forme includono la gestione dell'estorsione informatica, spesso con sottolimiti, condizioni operative stringenti e l'obbligo di coinvolgere i consulenti indicati dalla compagnia prima di qualsiasi decisione. Vanno considerati anche i vincoli normativi sui pagamenti verso soggetti sanzionati. La parte che nella pratica dei sinistri conta di più resta comunque un'altra: se i backup isolati esistono e sono stati provati, il pagamento diventa una questione marginale.
Sempre più spesso sì, almeno per la parte visibile dall'esterno. Diverse compagnie eseguono una scansione del perimetro pubblico prima della quotazione e al rinnovo, guardando i servizi esposti, i certificati, le versioni del software raggiungibile e la configurazione del dominio di posta. Per il resto la verifica avviene al momento del sinistro, quando i consulenti tecnici ricostruiscono l'accaduto e confrontano quello che trovano con quanto era stato dichiarato.
Non è richiesta. Aiuta perché sostituisce diverse risposte con la prova di un controllo esterno periodico, e in alcuni casi incide sul premio, ma le compagnie assicurano regolarmente aziende non certificate che dimostrano misure concrete. Quello che conta è la sostanza tecnica delle singole voci, in particolare autenticazione a più fattori, backup provati, gestione delle vulnerabilità e capacità di rilevare un incidente, ciascuna con la propria evidenza datata.
Per una PMI che parte da una situazione ordinaria, di solito da uno a tre mesi. L'autenticazione a più fattori e la verifica dei backup si fanno in giorni. La verifica continua delle vulnerabilità si attiva subito ma serve qualche settimana perché produca una cronologia presentabile. Il percorso DMARC fino al reject richiede in genere da quattro a sei settimane, perché occorre osservare un ciclo completo di invii. Il piano di risposta agli incidenti si scrive in un paio di giorni e va provato almeno una volta.
Frequenza delle scansioni, perimetro esposto e protezione del dominio sono le tre voci che l'assicuratore verifica da solo. Parti dal vulnerability assessment continuo, da 59 € al mese IVA esclusa.