La definizione in breve
Una cyberassicurazione trasferisce all’assicuratore una parte, definita contrattualmente, delle conseguenze finanziarie di un incidente informatico. A seconda della polizza, combina coperture per l’impresa assicurata, responsabilità civile verso terzi e assistenza organizzata in caso di emergenza.
Non sostituisce la sicurezza informatica. La copertura di un danno concreto dipende sempre dalle condizioni, dai massimali, dalle franchigie, dai periodi di carenza e dalle informazioni fornite nella proposta.
Perché è rilevante in Svizzera
I dati disponibili descrivono aspetti diversi della situazione e non devono essere confusi:
- L’UFCS ha registrato 64’733 segnalazioni volontarie nel 2025. Sono segnalazioni di imprese e privati, non automaticamente attacchi confermati o sinistri assicurativi.
- La statistica criminale di polizia ha rilevato 57’761 reati con modalità digitale nel 2025.
- Lo studio svizzero 2024 sulla cibersicurezza delle PMI ha indicato che il 25% delle imprese intervistate disponeva di un concetto di sicurezza informatica.
- L’Associazione Svizzera d’Assicurazioni ha comunicato circa 67’000 polizze aziendali nel 2024, pari al 10,8% delle imprese, e un volume di premi di CHF 172 milioni.
Questi valori mostrano la rilevanza del rischio e una lacuna di protezione. Non indicano la probabilità di danno né la copertura adatta a una singola impresa.
Quali danni propri possono essere coperti?
I danni propri riguardano costi e perdite dell’impresa assicurata. I moduli frequenti comprendono:
- Informatica forense e risposta agli incidenti: analisi, contenimento, conservazione delle prove e coordinamento.
- Ripristino di dati e sistemi: ricostruzione degli elementi colpiti, nei limiti concordati.
- Interruzione dell’attività: perdita di margine assicurata e costi aggiuntivi dopo un periodo di carenza.
- Comunicazione di crisi e consulenza legale: supporto per comunicazione, protezione dei dati e notifiche.
- Estorsione informatica o frode nei pagamenti: solo se espressamente incluse; sono frequenti sottolimiti e procedure di autorizzazione.
Non tutte le polizze contengono tutti questi moduli. Le condizioni variano soprattutto per fornitori, servizi cloud e ingegneria sociale.
Quali danni a terzi possono essere coperti?
I danni a terzi sorgono quando clienti, dipendenti o partner commerciali avanzano pretese. A seconda del contratto, la responsabilità civile può comprendere:
- valutazione e difesa dalle pretese assicurate
- risarcimenti per violazioni della protezione dei dati o della riservatezza
- pretese per danni a reti o sistemi di terzi
- costi di difesa e procedura entro l’ambito assicurato
Multe, penali contrattuali e responsabilità puramente contrattuale non sono automaticamente assicurate. Fanno fede la polizza e il diritto applicabile.
Che cosa significa risposta agli incidenti
Molte offerte mettono a disposizione un numero di emergenza e una rete definita di specialisti in informatica forense, diritto e comunicazione. Prima di stipulare, chiarite:
- Chi può segnalare l’incidente e la linea è disponibile in ogni momento?
- Quali fornitori devono o possono essere coinvolti?
- Quali costi richiedono un’autorizzazione preventiva?
- L’assistenza inizia già in caso di sospetto o solo dopo la conferma del sinistro?
- Come vengono coordinate notifiche, conservazione delle prove e comunicazione?
Un piano interno resta necessario: le prime misure iniziano di solito prima della conferma della copertura.
Esclusioni e sottolimiti frequenti
Punti importanti da verificare:
| Tema | Che cosa controllare |
|---|---|
| Incidenti precedenti | Gli eventi esistenti o noti prima dell’inizio della polizza sono generalmente esclusi. |
| Dichiarazioni e requisiti di sicurezza | Informazioni incomplete o obblighi non rispettati possono influire sulla prestazione. |
| Atti intenzionali | I danni causati volontariamente sono di norma esclusi. |
| Guerra e attori statali | Definizioni e criteri di attribuzione variano tra le clausole. |
| Infrastrutture e fornitori | Guasti di elettricità, telecomunicazioni o cloud possono essere esclusi o limitati. |
| Frode ed estorsione | Sono frequenti sottolimiti, franchigie e autorizzazioni separate. |
| Interruzione dell’attività | Periodo di carenza, metodo di valutazione e durata massima sono determinanti. |
| Danni fisici e materiali | Spesso non rientrano nella copertura cyber o sono disponibili solo come estensione. |
Il titolo di una garanzia nell’opuscolo non basta. Confrontate il testo completo, le definizioni e le relative esclusioni.
Quali requisiti valutano gli assicuratori?
Il questionario può riguardare, tra l’altro:
- autenticazione a più fattori per gli accessi critici e remoti
- backup testati, separati o immutabili
- gestione tempestiva di patch e vulnerabilità
- protezione degli endpoint, registrazione e accessi privilegiati
- formazione e controlli su pagamenti o cambi di coordinate bancarie
- un piano documentato di risposta e ripristino
- dipendenza da fornitori IT, cloud e altri servizi
- incidenti precedenti e vulnerabilità note
Le risposte devono essere complete e aggiornate. Nessuna singola misura garantisce accettazione, sconto o indennizzo.
Lista di controllo per il confronto
Confrontate le offerte sullo stesso profilo di rischio e rispondete almeno a queste domande:
- Quali danni propri e a terzi sono espressamente inclusi?
- Quali massimali, sottolimiti, franchigie e periodi di carenza si applicano?
- Sono coperti i guasti di cloud, fornitori IT e catena di approvvigionamento?
- Come sono trattati ransomware, frodi nei pagamenti e ingegneria sociale?
- Quali dichiarazioni di sicurezza diventano obblighi contrattuali?
- Chi fornisce la risposta agli incidenti e quando serve un’autorizzazione?
- Quali Paesi, entità, dati e sistemi sono assicurati?
- Quali esclusioni colpirebbero gli scenari di danno più importanti?
Limiti e trasparenza
Una cyberassicurazione può fornire mezzi finanziari e specialisti, ma non impedisce un attacco, non garantisce un risarcimento integrale e non sostituisce backup ed esercitazioni. Una raccomandazione sostenibile richiede dati di rischio aggiornati e offerte confrontabili; prezzi fissi online o classifiche generiche degli assicuratori non bastano.
Cyberversicherung.ch informa e organizza la consulenza tramite BTAG Versicherungsbroker AG. Un’eventuale provvigione è pagata dall’assicuratore. L’ambito del prodotto e la remunerazione vengono comunicati prima della stipula.