Risposta breve: una polizza sostituisce l’altra?
Di regola no. La RC aziendale è destinata soprattutto a danni corporali e materiali assicurati causati a terzi, oltre ai relativi danni patrimoniali conseguenti. Una cyberassicurazione può coprire danni digitali propri, responsabilità verso terzi e risposta agli incidenti.
Non è una regola universale di copertura. Alcune RC includono estensioni per privacy o danni patrimoniali puri; altre escludono gli eventi cyber. Anche una polizza cyber non copre ogni evento digitale. Occorre leggere entrambi i contratti.
Quale polizza può essere interessata?
| Scenario | RC aziendale | Cyberassicurazione | Verificare anche |
|---|---|---|---|
| Danno corporale o materiale a terzi | Spesso ambito centrale, se assicurato | Spesso escluso o limitato | RC prodotti, professionale e assicurazione cose |
| Ripristino di propri dati e sistemi | In genere non è lo scopo della RC | Possibile se modulo ed evento sono assicurati | Contratti IT, backup e assicurazione cose |
| Interruzione dovuta all’IT | Solo con evento assicurato o estensione adeguati | Possibile dopo un evento cyber assicurato | Carenza, periodo d’indennizzo e guasto di fornitori |
| Pretesa dopo violazione di dati | Secondo estensioni ed esclusioni | Possibile tramite responsabilità cyber | Diritto applicabile, difesa e sottolimite |
| Malware trasmesso a un cliente | Secondo il testo della RC | Possibile per violazione della sicurezza di rete assicurata | Causa, responsabilità e altre assicurazioni |
| Servizio IT professionale difettoso | Più vicino alla RC professionale/tecnologica | Non automaticamente assicurato | Descrizione del servizio e responsabilità contrattuale |
| Phishing o frode del CEO | Non automaticamente assicurato | Spesso opzionale e condizionato | Copertura crime/fedeltà e controlli di pagamento |
| Evento cyber con danno fisico | Può coinvolgere più rami | Danni corporali e materiali spesso esclusi | Cose, RC, prodotti e coperture speciali |
La domanda utile non è «Quale assicurazione paga sempre?», ma: quale contratto risponde a questo evento, questo costo e questo tipo di pretesa?
Dove possono sorgere lacune?
Possibili lacune:
- nessuna polizza nomina i costi propri di ripristino o forensica;
- danni patrimoniali puri o dati elettronici sono esclusi dalla RC;
- la polizza cyber comprende danni propri ma non responsabilità;
- mancano ingegneria sociale, guasto non doloso o cloud;
- un danno fisico di origine cyber cade tra diversi rami;
- l’impresa fornisce servizi IT senza RC professionale adeguata;
- limiti, sottolimiti, franchigie o carenze non corrispondono all’esposizione;
- diversi assicuratori invocano altre assicurazioni o contestano chi deve gestire il caso.
Una sovrapposizione non è necessariamente negativa, ma notifica, autorizzazione dei costi e coordinamento devono essere chiari prima dell’incidente.
Verificare il programma in quattro passi
1. Riunire tutti i contratti
Includete RC aziendale, RC professionale, cose e interruzione, crime/fedeltà ed estensioni cyber esistenti. I nomi dei prodotti non bastano: servono polizza, condizioni generali e particolari e appendici.
2. Mappare scenari concreti
Testate almeno ransomware, esfiltrazione di dati, pagamento fraudolento, guasto cloud, errore di un fornitore IT, malware presso clienti e danno fisico di origine cyber. Separate costi propri, pretese di terzi e assistenza.
3. Confrontare le condizioni
Annotate per ogni modulo:
- evento assicurato e definizione del danno;
- limite complessivo, sottolimite, franchigia e carenza;
- retroattività, periodo di notifica e territorio;
- esclusioni e requisiti di sicurezza;
- fornitori approvati e consenso preventivo;
- trattamento delle altre assicurazioni.
4. Chiarire per iscritto
Non accettate una frase generica come «il cyber è incluso». Descrivete lo scenario e chiedete quale clausola copre ciascun costo. La guida alle coperture offre una checklist; il confronto dei prezzi richiede offerte attuali basate sugli stessi dati.
Notifiche durante un incidente
I contratti possono prevedere termini, contatti d’emergenza e autorizzazioni propri. Se la competenza è incerta, seguite le clausole di notifica di ogni polizza potenzialmente interessata e conservate le prove.
Le notifiche alle autorità sono distinte:
- Secondo l’art. 24 LPD, una violazione con rischio verosimilmente elevato deve essere notificata all’IFPDT il più presto possibile. Non esiste un termine svizzero generale espresso in ore.
- Il termine UFCS di 24 ore riguarda soltanto gli operatori di infrastrutture critiche e gli attacchi che rientrano nella legge.
La guida svizzera agli obblighi di notifica spiega entrambe le valutazioni.
Domande frequenti
La RC aziendale copre il phishing?
Non esiste una risposta generale. Un pagamento dirottato spesso non è un classico danno corporale o materiale. Una copertura cyber, crime o altra risponde solo se definizione della frode, controlli richiesti e sottolimite sono rispettati.
Basta l’assicurazione del mio fornitore IT?
Non dovrebbe sostituire il programma proprio dell’impresa. Può coprire determinati errori del fornitore, ma non finanzia automaticamente la vostra risposta, interruzione, ricostruzione o ogni pretesa contro la vostra azienda.
Ogni PMI necessita di entrambe le polizze?
Una risposta affidabile richiede analisi del rischio e dei contratti. Attività, dipendenza IT, dati, pretese possibili, riserve finanziarie ed estensioni esistenti sono determinanti. L’obiettivo è associare scenari materiali a coperture reali, non acquistare un’etichetta.
Fonti ufficiali
- FINMA: basi legali per contratti e imprese di assicurazione
- IFPDT: linee guida relative all’art. 24 LPD
- UFCS: obbligo di segnalare per infrastrutture critiche
Contenuto verificato il 18 luglio 2026. Questo confronto non costituisce consulenza legale né conferma di copertura; fanno fede le condizioni contrattuali.