Un ransomware cifra il server di fatturazione un venerdì sera, il team informatico è in servizio ridotto, e il fornitore di backup impiega 48 ore per ripristinare un backup parziale. Nel frattempo, gli ordini dei clienti non partono più, la linea telefonica è satura, e l’assicurazione multirischi professionale non prevede alcun risarcimento per questo tipo di sinistro.
Questo scenario si incontra sempre più spesso nelle aziende di tutte le dimensioni, comprese quelle che pensavano di avere “abbastanza sicurezza informatica” internamente.
Prove richieste dagli assicuratori cyber: cosa blocca realmente l’indennizzo
La maggior parte dei dirigenti immagina che un’assicurazione cyber rischi funzioni come un’assicurazione auto: si dichiara il sinistro e si attende il pagamento. La realtà sul campo è molto diversa. Gli assicuratori hanno inasprito le loro richieste negli ultimi anni, e senza prove materiali dettagliate, l’indennizzo può essere rifiutato.
In concreto, al momento della dichiarazione del sinistro, ci viene chiesto di fornire un inventario preciso degli attivi colpiti, i registri degli incidenti con data e ora, le attestazioni di formazione del personale sulla cybersicurezza, e la prova che le patch software erano state implementate prima dell’attacco. Se i test di backup non sono stati documentati, l’assicuratore può invocare la “negligenza manifesta” per ridurre o annullare la copertura.
Prima ancora di confrontare i contratti, è quindi necessario comprendere i vantaggi dell’assicurazione cyber rischi rispetto a ciò che ogni polizza richiede come prerequisiti tecnici. Un contratto poco costoso con ampie esclusioni costa più di un contratto rigoroso che indennizza realmente.
- Mantenere un registro aggiornato dei fornitori e subappaltatori che hanno accesso al sistema informativo, con i loro livelli di autorizzazione
- Documentare ogni test di ripristino del backup (data, ambito testato, risultato) per dimostrare che il piano di ripristino funziona
- Conservare le prove di implementazione degli aggiornamenti di sicurezza sui posti di lavoro e server critici
- Archiviare i materiali e le attestazioni di formazione cyber fornite ai dipendenti, anche le sessioni brevi
Direttiva NIS2 e responsabilità personale dei dirigenti
Si parla molto di conformità al GDPR, ma la direttiva NIS2 cambia le regole su un punto specifico. L’articolo 20 di NIS2 impone agli organi di direzione di approvare personalmente le misure di gestione dei rischi cyber, di supervisionarne l’attuazione e di seguire una formazione adeguata.
Non è simbolico. Per le entità qualificate come importanti, i dirigenti possono essere sospesi temporaneamente dalle loro funzioni in caso di inadempienza. La cybersicurezza non è più un tema delegato al servizio informatico: è un obbligo di governance che impegna personalmente il dirigente.
Questa responsabilità personale rafforza l’interesse per un’assicurazione cyber che copre anche la responsabilità dei dirigenti. Le polizze RC dirigenti classiche non integrano sempre questo aspetto. È necessario verificare che il contratto copra esplicitamente le sanzioni amministrative e le spese di difesa legate a un inadempimento agli obblighi di cybersicurezza.
Trasposizione nel diritto francese: anticipare nonostante il ritardo
La trasposizione francese di NIS2 tarda, ma gli obblighi stanno arrivando. Aspettare la pubblicazione del testo nazionale per agire equivale a preparare le proprie prove di conformità in emergenza, esattamente lo scenario che gli assicuratori sanzionano. Anticipare la messa in conformità NIS2 migliora direttamente le condizioni di assicurazione, poiché gli assicuratori integrano già questi criteri nei loro questionari di sottoscrizione.
Assicurazione cyber e catena di subappalto: un angolo morto frequente
NIS2 impone anche una responsabilità sulla catena di approvvigionamento. Se un subappaltatore subisce un cyber attacco e questo impatta la tua attività, devi essere in grado di dimostrare che avevi valutato il suo livello di sicurezza. I feedback variano su questo punto a seconda dei settori, ma la tendenza è chiara: i committenti richiedono sempre più attestazioni di assicurazione cyber dai loro fornitori.
L’assicurazione cyber diventa un criterio commerciale, non solo una protezione finanziaria. Alcuni bandi di gara includono già una clausola che impone una copertura cyber minima al fornitore. Non essere assicurati può significare perdere un contratto, prima ancora di aver subito un attacco.
Ciò che copre realmente un contratto cyber sul subappalto
Un buon contratto di assicurazione cyber copre le perdite operative causate da un guasto informatico presso un fornitore legato da contratto. Si fa carico delle spese di notifica ai clienti se dati personali sono transitati attraverso il subappaltatore compromesso. Al contrario, se non esiste un contratto formale che leghi le due parti, la copertura è spesso esclusa.
Costi di un cyber attacco senza assicurazione: perdite dirette e indirette
Secondo il cabinet Asterès, 385.000 cyber attacchi riusciti hanno colpito organizzazioni francesi nel 2022, per un costo globale stimato di 2 miliardi di euro. Questi numeri aggregano le perdite dirette (riscatti, ripristino dei sistemi, sostituzione di hardware) e i costi indiretti spesso sottovalutati.
I costi indiretti rappresentano la parte più pesante: interruzione dell’attività per diversi giorni, perdita di clienti che non tornano dopo una fuga di dati, spese legali legate a denunce, e danni alla reputazione che nessuna campagna di comunicazione ripara rapidamente. Un’azienda non assicurata assorbe l’intera entità di queste perdite sulla sua liquidità.
- Spese di gestione della crisi: esperti forensi, comunicazione di crisi, hotline dedicata ai clienti colpiti
- Perdite operative durante il periodo di indisponibilità del sistema informatico
- Responsabilità civile verso terzi i cui dati sono stati compromessi
- Sanzioni amministrative (CNIL, e presto NIS2) che possono raggiungere importi significativi a seconda delle dimensioni dell’azienda
La protezione informatica (firewall, antivirus, formazione) riduce la probabilità di un attacco. L’assicurazione cyber copre le conseguenze finanziarie quando la protezione fallisce. Entrambi funzionano insieme, non uno al posto dell’altro. Anche un sistema ben protetto rimane esposto ad attacchi riusciti, e questo è precisamente ciò che rende necessaria la copertura assicurativa per qualsiasi azienda che dipende dal proprio sistema informativo quotidianamente.