Polizza cyber: cosa ti chiede l'assicuratore prima di coprirti

C'è un modo poco romantico ma molto efficace di capire se la tua azienda è messa bene sul fronte informatico: prova a chiedere un preventivo per una polizza cyber. Il questionario che ti arriva è la lista, scritta da qualcuno che ci rimette soldi veri quando le cose vanno male, di ciò che conta davvero. Non è marketing, è attuariale.

Perché le compagnie sono diventate esigenti

Fino a qualche anno fa la copertura cyber si vendeva quasi come un'estensione di polizza qualsiasi. Poi i sinistri sono arrivati tutti insieme. Con l'aumento degli attacchi ransomware i premi sono saliti nell'ordine del 10-15% rispetto al 2024, e soprattutto è cambiato l'approccio: prima si valuta se sei assicurabile, poi si parla di prezzo. Se i requisiti minimi non ci sono, la richiesta viene rifiutata oppure il premio diventa punitivo.

La lista che ti verrà chiesta

I questionari cambiano da compagnia a compagnia, ma il nucleo è ormai sempre lo stesso.

• Autenticazione a più fattori sugli accessi remoti. È il requisito che è passato da "consigliato" a discriminante. Senza MFA su VPN, webmail e accessi da fuori ufficio, molte compagnie non emettono proprio la polizza.
• Backup off-site o offline, cifrato. Non basta dire che i backup ci sono: viene chiesto dove stanno e se sono raggiungibili dalla rete che potrebbe essere compromessa.
• Patch di sicurezza critiche installate entro 30 giorni. Una finestra precisa, non un generico "teniamo tutto aggiornato".
• Conservazione dei log, tipicamente 6 mesi. Serve a ricostruire cosa è successo. Senza log, dopo un incidente, nessuno può dire da dove sia entrato l'attaccante né quali dati abbia toccato.
• Formazione del personale documentata, e in alcuni casi test di sicurezza periodici.

Il termine che ricorre nei questionari è "proof of controls": non conta dichiarare che le misure ci sono, conta poterlo dimostrare. In caso di sinistro, una dichiarazione non veritiera nel questionario è il modo più rapido di trovarsi non coperti proprio quando serve.

Quanto costa, in ordine di grandezza

Per una PMI con fatturato fino a 5 milioni di euro, una copertura con massimali tra 500.000 e 2 milioni si colloca indicativamente tra 2.000 e 8.000 euro l'anno. La forbice è ampia perché dipende dal settore, dai dati trattati e, appunto, dallo stato delle difese. Avere MFA, backup cifrati e formazione documentata può valere sconti nell'ordine del 20-30% sul premio.

Vale la pena notare cosa coprono le polizze oggi, perché non è più solo il riscatto: responsabilità verso terzi, spese legali, gestione della comunicazione dopo un incidente e, in certi casi, le sanzioni delle autorità.

Il punto che conta

Le misure che l'assicuratore pretende sono le stesse che ti servono per non avere il sinistro. È la parte che spesso sfugge: si affronta la spesa della polizza pensando di aver risolto, mentre la polizza è l'ultima linea, non la prima. Un'azienda che mette a posto MFA, backup immutabili, aggiornamenti e log riduce prima di tutto la probabilità di fermarsi per una settimana, e come effetto collaterale paga meno il trasferimento del rischio residuo.

Sono anche, guarda caso, le stesse misure che chiede la direttiva NIS2 e che i clienti più strutturati iniziano a domandare ai propri fornitori.

Come ci muoviamo noi

Partiamo dal questionario che ti ha mandato il broker e lo trasformiamo in un piano di lavoro: verifichiamo cosa c'è già, sistemiamo quello che manca (accessi, backup immutabili, aggiornamenti, raccolta dei log) e ti lasciamo la documentazione da allegare alla richiesta. Se la polizza non l'hai ancora chiesta, il questionario è comunque un ottimo punto di partenza per capire dove sei.

Nota: questa guida ha scopo informativo. Le condizioni e i requisiti variano da compagnia a compagnia e vanno verificati con il tuo intermediario assicurativo.