Cyber insurance per PMI: come funziona, cosa copre, quando ha senso

La cyber insurance (polizza cyber) è entrata nel radar delle PMI italiane post-2023, complice l'esplosione del ransomware e l'arrivo della NIS2. Ma le polizze hanno regole complesse, esclusioni importanti, e prerequisiti tecnici che se non rispetti, la polizza non paga. Capire come funziona prima di stipularla evita brutte sorprese.

Cosa copre tipicamente una polizza cyber

Le polizze cyber moderne per PMI hanno generalmente tre macro-aree di copertura:

1. Danni diretti dell'attacco (first-party)

• Costi di incident response: ingaggio team forense per ripristino sistemi, analisi compromise, identificazione attaccanti
• Costi di ripristino dati: recovery da backup, ricostruzione database, decryption (se tecnicamente possibile)
• Business interruption: copertura mancato guadagno per il periodo di inattività (tipicamente esclusi i primi 8-24h di franchigia)
• Estorsione cyber: copertura del pagamento del riscatto ransomware solo se autorizzato dall'assicurazione e se non sanzionato (vedi sezione esclusioni)

2. Responsabilità verso terzi (third-party)

• Data breach: notifica obbligatoria al Garante Privacy (legali specializzati), costo del help desk dedicato ai data subject, eventuali sanzioni GDPR (con limiti)
• Responsabilità civile verso clienti/fornitori per dati compromessi
• Difesa legale in caso di azioni di rivalsa

3. Servizi di supporto pre/post incidente

• Assessment iniziale compreso (alcune polizze)
• Hotline 24/7 per segnalazione incidenti
• Crisis communication: PR per gestione comunicazione media e clienti

Cosa NON copre (importante)

Prerequisiti tecnici richiesti dalle assicurazioni 2026

Le polizze cyber 2026 richiedono ormai standard tecnici minimi prima di accettare la sottoscrizione. Senza questi requisiti, semplicemente non vendono (o le franchigie diventano proibitive):

1. MFA su tutti gli account amministrativi e accessi remoti (incluso email amministrative, accessi cloud)
2. EDR / Antivirus enterprise attivo su tutti gli endpoint (non solo "Windows Defender base")
3. Backup gestito con test ripristino documentati nell'ultimo anno
4. Patch management con processo documentato (no PC con sistema operativo non più supportato)
5. Segmentazione di rete (separazione almeno tra rete amministrativa, ospiti, IoT/produzione)
6. Formazione anti-phishing al personale ricorrente (annuale minimo)
7. Incident response plan documentato
8. Audit log centralizzati (per PMI strutturate)

Coincidenza interessante: questi 8 prerequisiti coincidono in larga parte con le misure tecniche minime NIS2 dell'art. 24. Chi è già NIS2 Ready ha tutti i prerequisiti per cyber insurance a tariffe convenienti.

Quanto costa una cyber insurance per PMI italiana 2026

Range tipici (premio annuo) raccolti da broker italiani specializzati in cyber:

• Micro impresa (1-5 dipendenti, no dati sensibili): € 500 - 1.500/anno per massimale € 100K
• Studio professionale (5-15 PC, dati clienti): € 1.200 - 3.500/anno per massimale € 250K
• PMI 20-50 dipendenti: € 3.000 - 8.000/anno per massimale € 500K
• PMI strutturata 50+ in supply chain critica: € 8.000 - 25.000/anno per massimale € 1M-5M

Tre fattori che aumentano il premio: fatturato alto + settore regolamentato + storia di incidenti pregressi. Tre fattori che riducono: NIS2 Ready certificato, EDR enterprise con SOC, backup multi-cloud testati.

Quando ha senso stipulare

✓ Conviene se

• Hai dati clienti sensibili (studio medico, legale, finanza) il cui leak farebbe danno reputazionale + sanzioni GDPR
• Sei in settore critico NIS2: anche se NIS2 non lo richiede esplicitamente, l'assicurazione integra protezione finanziaria
• Hai fatturato significativo (>€ 1M) e un fermo di 1-2 settimane sarebbe materialmente devastante
• I tuoi contratti B2B con clienti grandi cominciano a richiederla esplicitamente

⚠ Non vale la pena se

• Sei una micro-attività senza dati sensibili (es. piccolo retail con solo gestionale fatturazione) — il premio costa più del rischio statistico
• Non hai i prerequisiti tecnici e non vuoi/puoi investire per averli — pagheresti franchigie astronomiche
• Pensi che la polizza sostituisca le misure tecniche — non è così, è complementare

Come scegliere broker e polizza

1. Broker specializzato in cyber, non generalista: chiedi referenze, anni di esperienza nel ramo cyber, casi gestiti con sinistri pagati
2. Compagnie con track record: AIG, Chubb, Hiscox, Munich Re, Generali Cyber, Allianz hanno esperienza pluriennale e gestione sinistri provata
3. Leggi le esclusioni prima delle coperture (è la parte che fa la differenza in caso di sinistro)
4. Audit tecnico onesto: se rispondi falsamente al questionario pre-polizza, la polizza non paga in caso di sinistro
5. Aggiornamento annuale: rifare il questionario ogni rinnovo, segnalare cambiamenti significativi infrastruttura

Il ruolo del tuo MSP

Un buon MSP (come Digytech) NON vende polizze cyber — quella è competenza di broker e compagnie specializzate. Quello che facciamo è:

• Implementare i prerequisiti tecnici che ti permettono di stipulare a tariffe convenienti
• Documentare tutto (asset inventory, log, patch level, backup test) per il questionario assicurativo
• Supportare in caso di sinistro: incident response tecnico, fornitura log forensi, coordinamento con team peritale dell'assicurazione
• Raccomandarti broker specializzati con cui abbiamo lavorato (senza commissioni: pure raccomandazioni)

Conclusione

La cyber insurance è uno strumento finanziario di trasferimento rischio, non una scorciatoia per evitare di fare cybersecurity. Funziona quando hai già le misure tecniche solide e vuoi proteggerti dalle code di evento estremo (l'attacco che riesce comunque). Per la maggior parte delle PMI italiane il rapporto premio/copertura è ragionevole nel 2026, ma solo se hai fatto i compiti tecnici prima. Per i prerequisiti tecnici parti dal nostro audit sicurezza gratuito.