Pubblicato il · di Dott. Alessandro Pisaroni
In breve: se la tua azienda si ferma quando i computer si fermano, o se conservi dati di clienti e dipendenti, una polizza cyber merita almeno una valutazione. Non sostituisce backup e buone pratiche: interviene quando, nonostante tutto, qualcosa va storto.
Le piccole imprese sono davvero un bersaglio?
Sì, e spesso proprio perché sono piccole. Molti attacchi non sono mirati: un'email con un allegato infetto o un link a una finta pagina di accesso arriva a migliaia di indirizzi, e basta un clic. Le PMI hanno in genere meno difese di una grande azienda e meno persone che se ne occupano.
Cosa copre una polizza cyber?
Di solito due blocchi. Il primo riguarda i danni che subisci tu: tecnici che ripristinano sistemi e dati, consulenza legale nelle prime ore, perdita di fatturato mentre l'attività è ferma. Il secondo riguarda i danni che causi ad altri: per esempio le richieste di clienti o fornitori i cui dati sono stati esposti. Molte polizze includono anche un servizio di assistenza da attivare subito in caso di incidente, che spesso è la parte più utile.
Cosa di solito non copre?
Le esclusioni cambiano molto da un contratto all'altro. Ricorrono spesso: sistemi non aggiornati da tempo, mancanza di backup, guasti senza attacco, danni già noti prima della firma. Le sanzioni amministrative del Garante privacy sono un tema delicato e in molti casi non sono assicurabili. Il pagamento di un riscatto non va dato per scontato: va letto nel contratto, e le compagnie su questo sono prudenti.
Le truffe via email rientrano?
Dipende. La classica email che sembra del fornitore e chiede di pagare su un nuovo IBAN non sempre è coperta dalla parte cyber: a volte serve una garanzia specifica per la frode. È una delle domande da fare prima di firmare, perché è il caso che vedo più spesso nelle piccole aziende.
Che obblighi ho se subisco un attacco?
Se l'incidente riguarda dati personali, il GDPR prevede che tu lo notifichi al Garante entro 72 ore da quando ne vieni a conoscenza, salvo che il rischio per le persone sia improbabile. In quelle ore servono competenze tecniche e legali che una piccola impresa raramente ha in casa: è uno dei motivi per cui l'assistenza inclusa nella polizza ha valore.
Come capisco se mi serve?
Prova a rispondere a tre domande. Se domattina non potessi accedere a gestionale, email e fatture, per quanti giorni reggeresti? Quanti dati di clienti o dipendenti conservi? Hai un contratto con clienti che ti chiedono garanzie sulla sicurezza dei dati? Se almeno una risposta ti preoccupa, vale la pena parlarne.
Anche la tua responsabilità civile o la RC professionale potrebbero già contenere qualcosa sui dati: prima di aggiungere una polizza, conviene sapere cosa hai.
Nota. Contenuto informativo: non sostituisce la lettura del contratto e del set informativo, né il parere del tuo commercialista o consulente del lavoro.
Domande frequenti
Ho l'antivirus e il backup: mi serve comunque?
Antivirus e backup riducono il rischio e spesso sono richiesti dalla compagnia per assicurarti. Non coprono però il fermo dell'attività, le spese legali o le richieste di terzi: sono cose diverse.
La polizza cyber paga il riscatto?
Non si può dare per scontato. Dipende dal contratto e dalla normativa applicabile, e molte compagnie sono prudenti. Va verificato voce per voce.
Quanto tempo ho per notificare un data breach?
Il GDPR prevede 72 ore da quando si viene a conoscenza della violazione di dati personali, salvo che sia improbabile un rischio per le persone interessate.
È obbligatoria per le PMI?
No, non c'è un obbligo generale di assicurazione cyber. Alcuni clienti o contratti però possono richiederla.
Vuoi sapere se le tue polizze reggono? Mandami quello che hai: ti dico dove sei coperto e dove no.
Verifica le tue polizze