Assicurazione cyber per fornitori IT, software e SaaS

Di quale assicurazione ha bisogno un fornitore di servizi IT?

Fornitori di servizi IT, software house, managed service provider (MSP) e fornitori SaaS dovrebbero modellare separatamente i propri rischi cyber e le possibili pretese dei loro clienti. Un account di amministrazione compromesso può colpire più clienti contemporaneamente. Un errore di consulenza, configurazione o software può invece causare un danno patrimoniale anche senza un attacco informatico.

Per questo la domanda «assicurazione cyber o RC professionale?» non basta. Decisivo è il modo in cui l’assicurazione cyber e la RC professionale IT si integrano e quali lacune restano tra i due contratti.

Assicurazione cyber o RC professionale IT?

Ambito di rischio	Assicurazione cyber	RC professionale IT / RC per danni patrimoniali
Incidente di sicurezza proprio	A seconda della polizza: analisi forense, ripristino, supporto nella crisi e propria interruzione dell’attività	Di norma non è l’aspetto centrale
Violazione di dati o della riservatezza	A seconda delle condizioni: costi propri e pretese di terzi	Può coprire pretese derivanti dall’attività professionale, l’estensione varia
Consulenza o configurazione errata	Solo se espressamente inclusa	Nucleo tipico della RC professionale IT
Software difettoso o prestazione non fornita	Spesso la sola copertura cyber non basta	Dipende dalla descrizione dell’attività, dal contratto e dalle esclusioni
Guasto di un partner cloud o di hosting	Solo con un’adeguata copertura per fornitori di servizi o per interruzione dell’attività	Le pretese dei clienti possono dover essere verificate separatamente

Le denominazioni dei prodotti non sono uniformi. Fatevi indicare per iscritto quale contratto interviene per primo in caso di incidente, come viene trattata l’assicurazione multipla e se clausole di regresso o di esclusione creano una lacuna.

Perché gli accessi dei clienti e degli amministratori concentrano il rischio

Manutenzione remota, strumenti RMM, account di supporto e amministrazioni cloud concentrano diritti. Se un account di questo tipo viene compromesso, l’incidente può estendersi oltre il proprio ambiente. Nel suo aiuto sulla catena di fornitura, l’UFCS distingue espressamente tra partner con accesso privilegiato, fornitori di software e fornitori di servizi importanti come partner SaaS o service desk.

Per la verifica dei rischi dovreste documentare:

se ogni account cliente è assegnato in modo univoco a una persona e a un mandante;
dove l’autenticazione a più fattori è imposta per gli accessi privilegiati ed esterni;
come i diritti vengono concessi, verificati e revocati in caso di uscita;
se i sistemi dei clienti sono separati a livello tecnico e organizzativo;
quali azioni vengono registrate e come vengono gestite le anomalie;
come sono protetti gli accessi di emergenza e come ne viene controllato l’uso.

Concentrazione contrattuale, cloud e MSP

Una piattaforma, un account cloud o un sistema RMM può essere critico per molti clienti contemporaneamente. Ciò genera due diverse concentrazioni:

Concentrazione tecnica: uno strumento, un aggiornamento o un account di amministrazione compromesso raggiunge più ambienti.
Concentrazione contrattuale: un singolo incidente può far scattare contemporaneamente obblighi di segnalazione, impegni sui livelli di servizio e pretese di più clienti.

Verificate quindi non solo la somma assicurata complessiva, ma anche i sottolimiti e i limiti aggregati. Sono inoltre importanti le definizioni di eventi in serie, interruzioni dell’attività dipendenti, guasti cloud, errori software e responsabilità assunta per contratto.

L’UFCS raccomanda di verificare costantemente le catene di fornitura IT/OT, le dipendenze e i requisiti per i provider, e di disciplinare nei contratti con i fornitori, tra l’altro, la responsabilità e i requisiti di qualità. Questa verifica contrattuale non sostituisce un’analisi assicurativa, ma fornisce i dati necessari per svolgerla.

Il proprio fermo resta un rischio separato

Anche se nessun cliente avanza pretese, il fornitore stesso può subire danni:

vengono meno i ricavi da abbonamenti o da progetti;
supporto e sviluppo sono impegnati nella risposta all’incidente;
gli ambienti di sviluppo, build o produzione devono essere ricostruiti;
dati e configurazioni devono essere ripristinati e verificati;
servono analisi forense esterna, consulenza legale e comunicazione di crisi.

Utilizzate il calcolatore di scenari per la somma assicurata per sommare in modo comprensibile il proprio fermo e i costi esterni. Le possibili pretese dei clienti dovrebbero essere documentate separatamente, affinché non confluiscano due volte nello stesso calcolo.

Questi punti di copertura dovrebbero figurare nella richiesta d’offerta

risposta agli incidenti, analisi forense, ripristino di dati e sistemi;
propria interruzione dell’attività, incluso un metodo di valutazione e un periodo di attesa adeguati;
guasto o incidente di sicurezza presso fornitori cloud, di hosting e altri fornitori critici;
pretese di terzi in materia di protezione dei dati, riservatezza e sicurezza della rete;
frode informatica e ingegneria sociale solo se questo rischio è necessario ed espressamente offerto;
coordinamento con la RC professionale IT e i contratti di responsabilità civile esistenti;
sottolimiti, aggregati annuali e trattamento di più clienti colpiti;
esclusioni per vulnerabilità note, sistemi non supportati o responsabilità assunta per contratto;
requisiti relativi a hotline di emergenza, fornitori di servizi autorizzati e consenso prima che sorgano costi.

È vincolante di volta in volta solo l’offerta concreta. La sola denominazione di un prodotto non dice se un determinato scenario cliente o cloud è incluso.

Quali documenti servono ad assicuratori e broker

Preparate con precisione la descrizione dell’attività e la ripartizione del fatturato: consulenza, sviluppo su misura, software standard, hosting, SaaS, servizi gestiti e accesso ai sistemi dei clienti generano rischi diversi. Aggiungete:

numero e tipo di clienti con accesso privilegiato;
dipendenze critiche da cloud, hosting, RMM e CI/CD;
processi sicuri di sviluppo, aggiornamento e rilascio;
separazione dei mandanti, registrazione e protezione dei secret;
procedure di backup e di ripristino testate;
limiti di responsabilità contrattuali, livelli di servizio e obblighi di informazione;
incidenti precedenti, vulnerabilità note e miglioramenti in sospeso.

La guida al questionario vi aiuta a preparare queste informazioni in modo strutturato.

Cosa mostrano le fonti svizzere?

Il rapporto semestrale 2025/1 dell’UFCS definisce gli attacchi all’interno della catena di fornitura una sfida centrale: dopo un attacco a un’azienda IT possono essere colpiti anche i suoi clienti commerciali. Ciò corrisponde direttamente al rischio di concentrazione di MSP, fornitori di software e SaaS.

Nel 2023 la FHNW (Scuola universitaria professionale della Svizzera nordoccidentale) ha intervistato complessivamente 502 dirigenti di PMI svizzere con 4-49 collaboratori. L’11% ha riferito di un attacco informatico riuscito che ha richiesto un impegno considerevole per rimediare ai danni; il 55% delle aziende già attaccate ha indicato un danno finanziario. Questi valori descrivono le PMI svizzere nel loro complesso e non sono un tasso di sinistri specifico per le aziende IT.

Il portale PMI della SECO raccoglie misure di protezione e colloca l’assicurazione cyber come possibile ammortizzatore finanziario accanto alla prevenzione e alla preparazione alle emergenze. Per i fornitori IT resta decisivo non riunire danni propri, responsabilità verso i clienti ed errori professionali in un’unica ipotesi forfettaria.

Fonti

Verificare le offerte sugli stessi scenari

Richiedete offerte di assicurazione cyber e di RC professionale IT con la stessa descrizione dell’attività, gli stessi accessi dei clienti e le stesse dipendenze cloud. BTAG può spiegare le differenze di copertura, esclusioni, sottolimiti e coordinamento dei contratti.

Confrontare offerte cyber e RC