Cyber assicurazione per PMI: cosa copre e come scegliere nel 2026
Lettura 8 min · AstraLoop Studio
Un ransomware blocca il gestionale il lunedì mattina. Niente accesso agli ordini, niente fatture, niente anagrafica clienti. Il tecnico che segue l'azienda dice che il ripristino richiederà tre giorni, forse cinque, e nel frattempo il magazzino si muove a mano, su carta, mentre i clienti aspettano risposte che non arrivano. È lo scenario per cui esiste la cyber assicurazione: non evita l'attacco, quello resta compito della sicurezza informatica quotidiana, ma limita il danno economico quando l'attacco arriva comunque.
Il problema è che molti titolari e responsabili operations arrivano a valutare una polizza cyber solo dopo un incidente, o dopo che un cliente grande la chiede come requisito contrattuale. A quel punto si trovano davanti a un questionario tecnico che non sanno compilare, a clausole scritte in un linguaggio che non è il loro, e al rischio concreto di pagare un premio per una copertura che poi, al momento del sinistro, esclude proprio quello che gli è successo. Vale la pena capire come funziona prima di firmare, non dopo.
Cosa copre davvero una cyber assicurazione
Le polizze cyber serie coprono quattro macro aree, anche se ogni compagnia le declina con nomi diversi:
- Fermo attività: il mancato guadagno nei giorni in cui i sistemi sono bloccati, calcolato di solito sul fatturato medio del periodo. È la voce più concreta per chi vende ogni giorno, un negozio, un e-commerce, un laboratorio con turni di produzione.
- Riscatto ed estorsione: le spese legate a un tentativo di estorsione digitale, comprese in alcuni casi le trattative con negoziatori specializzati. Il pagamento effettivo del riscatto è un tema delicato, alcune polizze lo rimborsano solo a precise condizioni e dopo autorizzazione della compagnia, altre lo escludono del tutto.
- Danni a terzi: se dai dati esposti derivano conseguenze per clienti o fornitori (email compromesse usate per truffe, dati personali diffusi), la polizza può coprire la responsabilità civile verso chi ha subito il danno.
- Spese di ripristino: recupero dati, consulenza forense per capire cosa è successo, notifica al Garante Privacy quando previsto, comunicazione di crisi verso clienti e fornitori. Sono i costi che nessuno mette in conto finché non li vede in fattura.
Nota bene: queste voci non sono automatiche e uguali per tutti. Ogni polizza ha massimali distinti per ciascuna, e capita che il fermo attività sia coperto largamente mentre le spese di notifica privacy abbiano un tetto molto più basso.
Cosa esclude, quasi sempre
Qui sta la parte che va letta con più attenzione. Le esclusioni tipiche riguardano gli attacchi riconducibili ad attori statali o a conflitti (le cosiddette clausole di guerra cibernetica), i danni causati da software non aggiornato quando l'azienda aveva dichiarato il contrario in fase di sottoscrizione, e le sanzioni amministrative dirette (in molti casi le multe del Garante non sono assicurabili per legge, mentre lo sono le spese legali per difendersi). Anche l'errore umano grossolano, tipo una password condivisa su un foglio pubblico o un accesso amministratore lasciato senza controllo, può far cadere la copertura se contrasta con quanto dichiarato nel questionario iniziale.
Il punto centrale è questo: la polizza non copre la negligenza dichiarata come assente. Se al questionario hai risposto che fai backup regolari e in realtà l'ultimo backup funzionante risale a sei mesi prima, in caso di sinistro la compagnia può contestare la copertura.
I requisiti minimi che la polizza ti chiede prima ancora di firmare
La maggior parte delle compagnie non assicura chiunque a qualunque condizione. Prima di quotare il premio, chiedono un questionario di valutazione che tocca punti molto concreti:
- Backup dei dati con una copia separata dalla rete principale (il classico schema 3-2-1: tre copie, due supporti diversi, una fuori sede o offline).
- Autenticazione a più fattori almeno sugli accessi amministrativi e sulla posta elettronica.
- Aggiornamenti di sicurezza applicati con una certa regolarità sui sistemi esposti a internet.
- Gestione dei permessi: chi ha accesso amministratore al gestionale, al server, al conto bancario online, e se questi accessi sono tracciati.
- Un piano minimo di risposta all'incidente, anche solo "chi chiamiamo per primo" scritto da qualche parte.
Chi tiene tutto questo dentro un foglio Excel condiviso, senza log e senza controllo su chi modifica cosa, parte già con una risposta debole al questionario. Un gestionale su misura, progettato con permessi granulari e tracciamento delle modifiche fin dall'inizio, aiuta proprio su questo fronte: non è un requisito assicurativo in sé, ma rende più semplice rispondere in modo credibile e ottenere condizioni migliori. Ne parliamo più nel dettaglio nella pagina dedicata al gestionale su misura.
L'esigenza cambia molto in base al tipo di azienda
Qui vale la pena essere concreti, perché "cyber assicurazione" non è un prodotto uguale per tutti.
Un'agenzia di servizi con cinque postazioni e un CRM in cloud ha un rischio principalmente legato alla posta elettronica compromessa e ai dati dei clienti: il fermo attività pesa meno, la responsabilità verso terzi pesa di più. Un'azienda di produzione con linee collegate in rete, PLC e magazzino automatizzato ha invece un rischio operativo enorme: un attacco che blocca il gestionale di produzione ferma la fabbrica, non solo l'ufficio, e lì il fermo attività va calcolato su volumi molto più alti. Un e-commerce con pagamenti online continui ha un'esposizione diversa ancora, legata ai dati delle carte e alla continuità del sito nelle ore di punta: anche poche ore di blocco durante una campagna possono valere più del premio annuo della polizza.
Anche i volumi contano nel definire il massimale giusto: chi fattura poche centinaia di migliaia di euro l'anno non ha bisogno degli stessi massimali di chi ne fattura dieci milioni con centinaia di transazioni al giorno. Un buon broker assicurativo dovrebbe partire proprio da qui, dal tuo processo reale, non da un pacchetto standard pensato per una media aziendale che non esiste.
Se il tuo gestionale attuale non ti permette di controllare davvero chi accede a cosa, è il primo punto da sistemare prima ancora di parlare di polizza. Scopri come lavoriamo sul gestionale su misura di AstraLoop Studio.
Franchigie e massimali: come si scelgono senza sorprese
La franchigia è la parte di danno che resta a tuo carico prima che scatti la copertura. Una franchigia più alta abbassa il premio annuo, ma aumenta l'esposizione nel momento in cui serve davvero. La regola pratica che usano molti consulenti è ragionare in giorni di fermo attività: quanti giorni di blocco puoi sostenere con la liquidità disponibile prima che il danno diventi ingestibile? Il massimale del fermo attività dovrebbe coprire almeno quella soglia, con un margine.
Sui massimali per danni a terzi, il ragionamento cambia: dipende da quanti dati personali gestisci e da quanto sono sensibili. Un'azienda che tratta dati sanitari o finanziari di migliaia di clienti ha un'esposizione potenziale molto diversa da un'attività locale con un centinaio di nominativi in anagrafica.
Il rapporto tra la polizza e le misure tecniche che hai già
Un errore comune è pensare alla cyber assicurazione come un'alternativa alla sicurezza informatica, quasi un modo per "delegare" il problema pagando un premio. Funziona al contrario: la polizza è complementare alle misure tecniche, non le sostituisce. Più solide sono le misure che hai già (backup verificati, accessi tracciati, aggiornamenti regolari, formazione minima del personale sul phishing), più il premio scende e più la copertura regge davvero al momento del sinistro.
Questo vale anche per come sono organizzati i tuoi processi digitali in generale. Chi ha già lavorato sulla digitalizzazione dei processi aziendali e su una gestione ordinata della documentazione, penso a un gestionale documentale con permessi e versioning, parte da una posizione migliore sia per il questionario assicurativo sia, più in generale, per limitare i danni in caso di incidente. Anche chi si affida a un ERP per PMI dovrebbe verificare come sono gestiti gli accessi e i log su quel sistema, perché è spesso il cuore di tutta l'operatività aziendale e il primo bersaglio in caso di attacco mirato.
Prudenza: le condizioni variano molto, fatti leggere la polizza da un esperto
Le condizioni tra una compagnia e l'altra cambiano parecchio, sia nei massimali per singola voce sia nelle esclusioni scritte in piccolo. Due polizze che sulla carta sembrano equivalenti possono comportarsi in modo molto diverso al momento del sinistro. Non firmare basandoti solo sul confronto dei premi annui: fatti leggere il testo, riga per riga, da un broker assicurativo specializzato in rischi cyber o da un consulente che non abbia interesse a venderti proprio quella polizza. È un passaggio che costa poco rispetto al rischio di scoprire, nel momento sbagliato, che la voce che ti serviva non era coperta.
Cosa fare, in pratica
Prima di cercare un preventivo, vale la pena mappare due cose: quali sistemi sono davvero critici per la tua attività (il gestionale, l'e-commerce, il centralino, la produzione), e chi ha accesso a cosa oggi. Se questa mappa non esiste, o esiste solo nella testa di una persona, è il primo problema da risolvere, prima ancora della polizza. Un gestionale costruito sul tuo processo reale, con permessi definiti per ruolo e non genericamente per tutti, rende sia la sicurezza sia l'assicurazione molto più semplici da gestire nel tempo. In AstraLoop Studio progettiamo gestionali su misura partendo esattamente da questo: capire come lavora davvero la tua azienda e costruire attorno un sistema che protegge i dati per come li usi tu, non per come li userebbe un'azienda tipo che non esiste.
Domande frequenti
La cyber assicurazione paga il riscatto di un ransomware?
Dipende dalla polizza. Alcune coprono le spese di negoziazione e, a certe condizioni e con autorizzazione della compagnia, anche il rimborso del riscatto pagato. Altre escludono del tutto questa voce. Va verificato riga per riga, non è uno standard di mercato.
Quanto costa una cyber assicurazione per una PMI?
Non esiste un prezzo fisso: il premio dipende da fatturato, settore, dati trattati e dalle misure di sicurezza già in campo. In generale si tratta di un costo annuo proporzionato al rischio dichiarato, non di una cifra standard uguale per tutti.
Serve avere già antivirus e backup per stipulare la polizza?
Sì, quasi tutte le compagnie chiedono un questionario di valutazione con requisiti minimi: backup separati dalla rete principale, autenticazione a più fattori sugli accessi critici e aggiornamenti regolari. Senza questi, o si paga un premio più alto o la copertura viene negata.
La cyber assicurazione copre i danni causati a un cliente per una fuga di dati?
Sì, questa è la voce di responsabilità civile verso terzi, spesso inclusa. Copre le conseguenze economiche subite da clienti o fornitori a causa dei tuoi dati esposti, entro il massimale previsto per questa voce specifica.
Come scelgo il massimale giusto per il fermo attività?
Un criterio pratico è calcolare quanti giorni di blocco operativo la tua azienda può sostenere con la liquidità disponibile prima che il danno diventi ingestibile, e impostare il massimale su quella soglia, con un margine di sicurezza.
Vuoi un gestionale su misura che protegga i tuoi dati con permessi e controlli pensati sul tuo processo, non su uno standard generico? Parliamo del tuo caso con AstraLoop Studio.