In breve
- Anche piccole aziende e indipendenti vengono attaccati, per lo più con campagne automatizzate che ignorano le dimensioni del bersaglio.
- A seconda della polizza, l’assicurazione cyber copre analisi forensi, ripristino, interruzione dell’attività e pretese di terzi.
- Gli assicuratori esigono standard minimi come backup, aggiornamenti e autenticazione a due fattori. Chi non li rispetta rischia riduzioni delle prestazioni.
- La polizza ha senso soprattutto dove un fermo di più giorni o una fuga di dati metterebbe seriamente a rischio l’azienda.
Perché anche le piccole aziende sono bersagli
L’idea che “da noi non c’è niente da prendere” raramente regge a un’analisi lucida. Ogni PMI dispone di dati dei clienti, gestisce pagamenti e dipende da sistemi senza i quali l’attività si ferma. L’Ufficio federale della cibersicurezza (UFCS) riceve ogni anno decine di migliaia di segnalazioni, e phishing, tentativi di truffa e ransomware colpiscono regolarmente anche le microimprese.
Punti deboli tipici delle piccole realtà:
- L’informatica è gestita a margine, senza un responsabile chiaro per aggiornamenti, backup e diritti d’accesso.
- Password deboli o riutilizzate, nessuna autenticazione a due fattori.
- Scarsa sensibilizzazione su fatture false, phishing e truffe del finto CEO.
- Le conoscenze sui sistemi sono concentrate in una sola persona o in un unico partner esterno.
- I backup esistono, ma il ripristino non è mai stato testato.
Cosa copre di solito un’assicurazione cyber
I prodotti sul mercato svizzero sono modulari e nei dettagli differiscono parecchio. La tabella riassume i moduli abituali e i punti da verificare nel contratto.
| Modulo | Cosa copre | Cosa verificare |
|---|---|---|
| Danni propri | Analisi forense, recupero dati, ripristino dei sistemi | Se è inclusa la sostituzione dell’hardware |
| Interruzione dell’attività | Mancato guadagno e costi supplementari dopo un attacco | Periodo di carenza in ore e durata dell’indennizzo |
| Responsabilità civile | Pretese di terzi, ad esempio dopo una fuga di dati | Difesa da pretese infondate, copertura all’estero |
| Assistenza e gestione della crisi | Hotline, specialisti IT, consulenza legale e di comunicazione | Reperibilità 24 ore su 24, lingua, tempi di intervento |
| Frode e ingegneria sociale | Bonifici errati su falsi ordini di pagamento | Spesso solo come opzione e con un sottolimite basso |
Riscatti
Se e a quali condizioni il pagamento di un riscatto sia coperto varia da polizza a polizza ed è controverso sul piano giuridico ed etico. Le autorità sconsigliano in linea di principio di pagare. Chiarisca espressamente questo punto con l’assicuratore.
Obblighi ed esclusioni frequenti
Prima della conclusione l’assicuratore pone di norma domande sul livello di sicurezza. Le risposte diventano parte del contratto. Indicazioni inesatte o misure promesse e poi non attuate possono comportare riduzioni o il rifiuto della prestazione in caso di sinistro.
- Backup regolari, separati dalla rete, con test di ripristino documentati.
- Aggiornamenti di sicurezza tempestivi per sistemi operativi, programmi e firewall.
- Autenticazione a due fattori per e-mail, accesso remoto e account amministratore.
- Protezione antivirus aggiornata e regole chiare sui diritti d’accesso.
- Formazione di sensibilizzazione del personale almeno una volta all’anno.
Le esclusioni frequenti riguardano vulnerabilità note ma non corrette, danni da sistemi obsoleti senza supporto del produttore, eventi bellici e guasti infrastrutturali su vasta scala, come interruzioni della rete elettrica o di Internet. Decide la formulazione esatta: legga queste clausole per intero.
Per chi conviene la polizza
L’assicurazione cyber è un tassello della gestione dei rischi, non un sostituto delle misure di protezione. Il vantaggio pratico maggiore è spesso l’aiuto immediato: chi in un’emergenza non sa chi chiamare perde ore preziose. È particolarmente utile quando:
- ordini, fatture e appuntamenti dipendono interamente dai sistemi informatici;
- si trattano dati personali degni di particolare protezione, ad esempio sanitari o finanziari;
- manca un reparto IT interno e l’aiuto esterno d’emergenza non è garantito per contratto;
- un fermo di una settimana peserebbe seriamente sulla liquidità.
Il premio dipende da settore, fatturato, somma assicurata, franchigia e livello di sicurezza. Richieda più offerte e confronti non solo il prezzo, ma anche l’estensione della copertura, i sottolimiti e i periodi di carenza. Anche le associazioni di categoria offrono soluzioni; secondo l’offerente, ad esempio, l’Associazione svizzera dei quadri SKV ha sviluppato con un assicuratore specializzato un prodotto stipulabile online per indipendenti e PMI.
Quadro giuridico
Con la legge sulla protezione dei dati riveduta, in vigore da settembre 2023, le violazioni della sicurezza dei dati che comportano un rischio elevato vanno notificate all’IFPDT. I gestori di infrastrutture critiche devono inoltre segnalare i ciberattacchi all’UFCS. Verifichi le regole attualmente in vigore e, in caso di dubbio, consulti uno specialista.
Domande frequenti
Basta un’assicurazione cyber se per il resto non cambiamo nulla?
La RC aziendale non copre già i danni cyber?
Quanto costa un’assicurazione cyber per una PMI?
Cosa fare per prima cosa in caso di incidente?
Anche ditte individuali e indipendenti sono assicurabili?
Per una PMI la domanda decisiva non è se sia troppo piccola per interessare gli aggressori, ma quanto sia preparata a un incidente. Una polizza adeguata completa questa preparazione, senza sostituirla.