Polizza cyber risk in Italia: cosa copre e come confrontarla

Una polizza cyber risk paga le conseguenze di un attacco informatico: rimettere in piedi dati e sistemi, gestire il data breach, a volte i danni a terzi. Il resto dipende da righe che quasi nessuno legge, come la definizione di attacco, le esclusioni e la franchigia.

Il massimale in copertina dice poco: conta quali voci pescano da quella cifra e quale evento fa scattare la copertura. Abbiamo riletto l’indagine IVASS su 50 polizze cyber, due documenti di prodotto e gli obblighi italiani di notifica. Del modulo che l’assicuratore ti fa compilare si occupa la guida al questionario cyber.

Cosa copre una polizza cyber e quando scatta: serve un attacco

IVASS ha letto 50 polizze in commercio al 30 luglio 2023, 26 delle quali rivolte alle PMI. Quelle stand alone per le imprese hanno tre famiglie di garanzie: perdite pecuniarie per ripristino e fermo, responsabilità civile verso terzi, tutela legale. Il premio è spesso rapportato al fatturato.

Poi c’è una frase che cambia la lettura del resto: ogni prestazione presuppone un attacco al sistema informatico dell’impresa. Alla copertura base si aggiungono costi di istruttoria, notifica agli interessati, consulenti e, in alcuni contratti, una diaria per ogni giorno di inattività forzata.

Due prodotti con lo stesso nome possono non somigliarsi affatto. Sotto la parola «cyber» non darei niente per scontato, neppure i giorni di fermo, che uno dei due esclude in modo esplicito. Chi guida un’organizzazione più grande ha spesso un contratto su misura, da leggere con lo stesso metodo.

Errore umano e intelligenza artificiale: quando l’attacco non c’è

Per il GDPR una violazione di dati personali può essere accidentale o illecita: conta l’effetto, cioè perdita, divulgazione o accesso non autorizzato (art. 4, punto 12). La mail con l’allegato sbagliato o il contratto di un cliente incollato in una chat possono rientrarci, come spieghiamo nella guida sulla fuga di dati con l’IA.

Le polizze ragionano a partire dalla causa. Nelle condizioni di Net Insurance l’attacco informatico è un atto doloso o un malware contro il sistema dell’assicurato. Un collaboratore che sbaglia destinatario non è né l’uno né l’altro.

Abbiamo cercato l’espressione «intelligenza artificiale» nei due documenti di prodotto citati qui: non compare. Prima di firmare vorrei una risposta scritta su un punto solo, se l’errore senza attacco è coperto.

Nel resoconto di settembre 2026 ACN riporta l’analisi di una botnet che sui sistemi compromessi cercava credenziali, mettendo al primo posto le chiavi API dei servizi di intelligenza artificiale. Quello è un attacco. Lo stesso dato perso con un copia e incolla resta un’altra storia.

Data breach e notifica al Garante entro 72 ore: cosa paga l’assicurazione

L’orologio parte quando il titolare viene a conoscenza della violazione: notifica al Garante senza ingiustificato ritardo e, se possibile, entro 72 ore; oltre, servono i motivi del ritardo. Se il rischio per le persone è elevato, vanno avvisati anche gli interessati (artt. 33 e 34 del GDPR).

Dal 1° luglio 2021 si notifica con la procedura telematica del Garante, che offre anche uno strumento di autovalutazione. Chi rientra nella NIS2 ha un secondo canale verso il CSIRT Italia per gli incidenti significativi, con tempi propri (D.Lgs. 138/2024, art. 25).

La polizza paga consulenti e spese di notifica, non la decisione, che resta del titolare. Le 72 ore non aspettano il perito: il numero della centrale lo terrei a portata di mano, insieme al link del Garante. Il caso dei dati finiti in un assistente lo trattiamo nella guida al data breach con l’IA.

Ransomware: chi paga le spese e chi il riscatto

Nell’indagine IVASS otto compagnie indennizzavano le spese per un’estorsione cyber, come il ripristino dei dati e la rimozione del malware, mentre restituire quanto pagato come riscatto risultava generalmente escluso. Net Insurance lo scrive due volte, nella garanzia e tra le esclusioni.

Le eccezioni ci sono: due compagnie estere coprivano le perdite da richiesta di riscatto, e un’impresa includeva le somme pagate, a patto di tenere riservata la polizza e di informare subito le autorità della minaccia. Una clausola così la leggerei con un avvocato accanto.

Chi in studio può rispondere a un ricatto va deciso prima, nelle regole interne per chi lavora con te. Intanto ACN pubblica ogni mese i numeri del ransomware in Italia, e la maggior parte delle vittime non sono soggetti critici.

Esclusioni e condizioni di assicurabilità: antivirus, backup, fornitori

Prima di prendere il rischio, la compagnia chiede requisiti minimi: presidi informatici, antivirus e firewall aggiornati, backup frequenti, connessione per l’assistenza remota, procedure e formazione, un contratto di manutenzione per tutta la durata. Per IVASS la stessa mancanza è un rifiuto per alcuni, un’esclusione per altri.

Tra le esclusioni delle perdite pecuniarie IVASS ha trovato una soglia: niente antivirus, aggiornamenti fermi da oltre sei mesi o solo un antivirus gratuito. Net aggiunge i dispositivi mobili senza blocco con password entro 15 minuti o senza cifratura. Il portatile tra casa e studio va messo per primo nelle regole interne.

Due esclusioni sono larghe. La clausola guerra spesso non dice se comprenda quella informatica, e quella sulle infrastrutture esterne c’è quasi ovunque. Net la toglie per i fornitori IT e cloud sotto contratto: un’eccezione da cercare se server e posta dello studio stanno da un fornitore esterno.

Franchigia, scoperto e massimale: quanto resta a tuo carico

IVASS descrive due franchigie: quella fissa, tolta dall’indennizzo, e quella temporale, cioè i giorni di fermo dopo i quali matura il diritto all’indennizzo. I massimali valgono per sinistro o per anno. Garanzie come tutela legale e interruzione di attività possono avere carenze anche di 90 giorni.

Net Insurance mette in fila tre voci: capitale unico di 50.000 euro per anno, franchigia di 1.000 euro per sinistro (art. 21), scoperto del 10 per cento con minimo di 1.000 euro per ogni garanzia (art. 22). Se si sommino, il testo non lo dice.

Capitale unico vuol dire che ripristino, consulenti e notifiche pescano dallo stesso plafond. Se lo studio custodisce dati di altri, come chi è tenuto al segreto professionale, il secondo sinistro dell’anno può trovare il conto quasi vuoto.

Claims made, discovery basis, retroattività: la data che decide

In molte polizze cyber vale il claims made: conta la richiesta denunciata per la prima volta mentre la polizza è in vigore, anche per fatti precedenti. Net Insurance usa il discovery basis: sono coperti i sinistri scoperti per la prima volta durante la durata del contratto.

La data di retroattività, per IVASS, è quella prima della quale un evento non è coperto, e in diversi prodotti si compra a parte nelle versioni Top, Premium o Full. Net esclude anche gli attacchi che conoscevi prima della decorrenza (art. 23, n. 17).

Tra l’ingresso di un intruso e la sua scoperta può passare tempo, e la polizza guarda una data precisa. Strano che la retroattività si venda come optional: copre proprio quel tempo morto. Quello che dichiari alla firma pesa anche dopo: è il terreno del questionario assicurativo.

Set informativo e provvigione: cosa leggere prima di firmare la polizza cyber

Il Regolamento IVASS n. 41/2018 obbliga la compagnia a pubblicare sul proprio sito DIP Danni, DIP aggiuntivo, condizioni con glossario e modulo di proposta appena il prodotto va in vendita, e a lasciarli lì finché resta in commercio. In prima pagina c’è la data dell’ultimo aggiornamento.

Il DIP aggiuntivo dichiara anche la quota di premio che va all’intermediario: 35,00 per cento per Net Insurance, 18 per cento per Intesa Sanpaolo Protezione. Non dice quale polizza sia migliore, dice quanto del premio paga la distribuzione. Io partirei dal glossario, non dalla copertina.

Chi te la propone può agire per una compagnia o su incarico tuo: chiedigli il numero di iscrizione al registro degli intermediari tenuto da IVASS. Un broker serio sa dirti anche come si sommano franchigia e scoperto: fattelo mettere per iscritto.

Il file incollato in chat, che la polizza cyber non vede

Tra le righe lette per questa pagina, a mio avviso la più sottovalutata è la definizione di attacco. In uno studio il rischio che vedo più vicino non è un intruso: è un collega che incolla la pratica di un cliente in un assistente per fare prima.

Lì la polizza serve a poco, e prevenire costa meno. Nonimo sostituisce codice fiscale, partita IVA, IBAN, telefoni e indirizzi email con etichette prima che il testo parta verso la chat.

Cosa lasciare nel testo resta una scelta tua. Il nome dell’azienda serve quasi sempre al riassunto, l’IBAN quasi mai; per una pratica intera c’è la guida sui dati da togliere da un documento.

Fonti

• IVASS, Indagine sulle polizze a copertura del cyber risk, ottobre 2023: 50 polizze, garanzie, presupposto dell’attacco, riscatto, condizioni di assicurabilità, esclusioni, claims made, franchigie e carenze.
• Regolamento IVASS n. 41/2018, testo consolidato: art. 27, composizione e pubblicazione del set informativo.
• Garante per la protezione dei dati personali, violazione dei dati personali: 72 ore, procedura telematica dal 1° luglio 2021, autovalutazione.
• Regolamento (UE) 2016/679 su EUR-Lex: art. 4, punto 12, e artt. 33 e 34.
• D.Lgs. 4 settembre 2024, n. 138, art. 25, su Normattiva: pre-notifica in 24 ore, notifica in 72, relazione finale entro un mese al CSIRT Italia.
• ACN, Operational Summary settembre 2026: vittime ransomware per criticità, 19 rivendicazioni, botnet a caccia di chiavi API di servizi di IA.
• Net Insurance, Cyber Protection, set informativo ed. 09.2024: definizione di attacco, discovery basis, capitale, franchigia, scoperto (artt. 21-23), esclusioni, categorie non assumibili, quota di intermediazione.
• Intesa Sanpaolo Protezione, Cyber Protection Business, DIP aggiuntivo Danni del 24.01.2026: garanzie, tre mesi di interruzione, penalità PCI, provvigione del 18 per cento.

Consultate il 10 novembre 2026.