In breve: Le assicurazioni cyber sembrano simili a prima vista, ma le loro condizioni generali di assicurazione (CGA) differiscono notevolmente. Lo mostra lo studio «Cyberrisiken für KMU» (Rischi cyber per le PMI) del VZ VermögensZentrum e della Scuola universitaria professionale di Lucerna (HSLU), pubblicato a ottobre 2026, che valuta otto assicuratori in tre ambiti. Una classifica complessiva volutamente non c’è: a seconda dell’ambito, in testa ci sono assicuratori diversi.
L’essenziale in breve
- Studio: VZ VermögensZentrum e HSLU, «Cyberrisiken für KMU» (ottobre 2026), pubblicato sul portale PMI della Confederazione
- Rating: 8 assicuratori, 3 ambiti, al massimo 100 punti ciascuno; valutate solo le prestazioni incluse di serie secondo le CGA valide al 1° giugno 2026
- Forbice: condizioni contrattuali 57–86 punti, danni propri cyber 40–83, responsabilità civile cyber 84–100
- Mercato (dati ASA): premi lordi nel segmento aziendale pari a 71 milioni di franchi nel 2021 e 153 milioni di franchi nel 2025; polizze aziendali salite da 38’000 a 72’000; solo circa l’11,5 per cento delle aziende è assicurato
- Sondaggio su 515 piccole imprese: solo il 42 per cento ritiene sufficiente la propria protezione; solo circa il 30 per cento dispone di un concetto di sicurezza IT, di un piano d’emergenza o di formazioni regolari
Il rating VZ in sintesi
| Assicuratore | Condizioni contrattuali | Danni propri cyber | Responsabilità civile cyber |
|---|---|---|---|
| AIG | 62 | 44 | 96 |
| Allianz | 61 | 64 | 92 |
| AXA | 68 | 53 | 88 |
| Chubb | 78 | 68 | 84 |
| Helvetia | 69 | 50 | 88 |
| Liberty | 86 | 58 | 92 |
| Mobiliare | 57 | 40 | 93 |
| Zurich | 65 | 83 | 100 |
Punti per ambito (max. 100), in ordine alfabetico. Fonte: analisi VZ VermögensZentrum. Moduli opzionali e accordi individuali non sono stati valutati.
Le condizioni contrattuali comprendono validità territoriale e temporale, copertura posteriore, disdetta in caso di sinistro e obblighi dell’assicurato. Liberty (86) precede Chubb (78). I danni propri cyber comprendono ripristino di dati e sistemi, interruzione d’esercizio, misure immediate, informatica forense, furto cyber, social engineering ed estorsione cyber; Zurich ottiene 83 punti, la Mobiliare 40. Nella responsabilità civile cyber tutti gli assicuratori ottengono tra 84 e 100 punti.
Il VZ sottolinea che il sistema a punti facilita il confronto, ma non sostituisce un’analisi individuale dei rischi.
Che cosa le polizze spesso escludono
Lo studio cita esclusioni tipiche: il valore economico dei dati persi in sé, spesso multe e penali contrattuali e frequentemente guerra e operazioni cyber statali, dolo e clausole sulle sanzioni. A seconda dell’assicuratore, i riscatti sono assicurati, esclusi o coperti solo con un modulo opzionale, spesso con consenso preventivo e un sottolimite. Nessuna delle CGA analizzate esclude espressamente i danni legati all’IA, ma di regola l’IA non è nemmeno indicata esplicitamente come rischio assicurato.
Come fattori di premio il VZ indica settore, fatturato e numero di collaboratori, livello di sicurezza IT, franchigia, somma assicurata e struttura del prodotto.
Caso modello fittizio: AlpPrecision AG
A titolo illustrativo, lo studio descrive l’azienda fittizia AlpPrecision AG, un’impresa di produzione con 160 collaboratori. Nel caso modello un aggressore accede con una password rubata a un assistente IA interno, manipola i parametri CNC e ricatta l’azienda. Il danno complessivo modellato ammonta a 3,28 milioni di franchi, di cui 960’000 franchi per otto giorni di fermo della produzione e 780’000 franchi per il richiamo e la sostituzione di componenti. Si tratta di un esempio costruito, non di un caso reale.
Che cosa significa per le PMI svizzere?
- Confrontare le CGA, non i prospetti: verificare in particolare validità temporale, copertura posteriore, obblighi e interruzione d’esercizio. Il nostro confronto mostra cosa conta.
- Inquadrare il premio: la pagina Costi di un’assicurazione cyber spiega da cosa dipende il premio e perché solo un’offerta individuale è vincolante.
- Negoziare i moduli opzionali: far chiarire per iscritto social engineering, estorsione e scenari legati all’IA.
- Attuare la protezione di base: secondo il VZ, un livello di sicurezza elevato e documentato (MFA, patch, backup, formazione) incide positivamente sul premio; le lacune possono aumentarlo o portare a un rifiuto. Iniziate con il check rischio cyber; vedi anche obbligo di segnalazione e Assicurazione cyber per PMI.