Il mercato francese dell’assicurazione cyber presenta un paradosso raramente commentato: i premi diminuiscono mentre i sinistri esplodono. Lo studio LUCY 2025 dell’AMRAE, basato su oltre 20.000 polizze, rivela che i sinistri risarciti sono passati da 54,5 milioni di euro a 83,2 milioni di euro in un anno, con un aumento del 53 %.
Nel frattempo, i premi per le grandi aziende sono diminuiti in media del 32 %. Questo scostamento tra il costo reale degli attacchi e il prezzo della copertura pone una domanda diretta a ogni azienda: quanto vale realmente oggi il tuo contratto di assicurazione cyber?
Vedi anche : Scarica la mappa del parco Disney in PDF per ottimizzare la tua visita e evitare l'attesa
Premi in calo e sinistri in aumento: cosa cambia il soft market per le PMI
Il termine “soft market” indica una fase in cui la concorrenza tra assicuratori spinge i prezzi verso il basso e amplia le garanzie offerte. Liberty Specialty Markets conferma questa tendenza a livello europeo, nonostante perdite elevate e rischi amplificati dall’intelligenza artificiale.
Per una PMI, questa congiuntura sembra favorevole: accedere a una copertura cyber costa meno rispetto a due anni fa. Tuttavia, questa diminuzione dei premi non riflette una riduzione del rischio. Essa traduce un appetito commerciale degli assicuratori che potrebbe tornare a colpire bruscamente se la sinistralità continua a salire.
Ulteriori letture : Scopri le migliori offerte immobiliari per trovare la tua futura casa
Il pericolo concreto per le aziende che sottoscrivono ora è di trovarsi, al rinnovo, di fronte a improvvisi aumenti tariffari o a esclusioni di garanzia aggiunte nel corso del contratto. Un contratto firmato in soft market non impegna l’assicuratore a mantenere le sue condizioni. Prima di firmare, è necessario esaminare le clausole di rinnovo e i meccanismi di revisione tariffaria, non solo l’importo del premio iniziale.
Per comprendere l’assicurazione cyber rischi nei suoi meccanismi fondamentali, è necessario prima afferrare che il prezzo di una polizza non dice nulla sulla qualità della protezione offerta.
Sottoassicurazione cyber: il vero problema delle aziende francesi
L’indagine 2025 dell’Associazione svizzera delle assicurazioni rivela un dato sorprendente: solo il 10,8 % delle aziende dispone di un’assicurazione cyber, nonostante un aumento del 22 % dei premi raccolti nel 2024. I dati francesi disponibili suggeriscono una situazione comparabile, se non più marcata per le micro e piccole imprese.
La sottoassicurazione non si limita all’assenza totale di contratto. Riguarda anche le aziende che detengono una polizza i cui massimali di garanzia sono scollegati dalla loro esposizione reale. Un’azienda che archivia i dati personali di diverse migliaia di clienti, ma la cui copertura è limitata a poche decine di migliaia di euro in spese di notifica, si trova in difficoltà già al primo incidente serio.
Tre segnali di allerta di una copertura inadeguata
- Il contratto non menziona esplicitamente la copertura delle spese di gestione della crisi (comunicazione, perizia forense, assistenza legale), che rappresentano spesso la parte più consistente di un sinistro cyber.
- I dati ospitati presso un fornitore cloud non sono coperti, o lo sono solo se il fornitore è specificamente designato nella polizza, escludendo qualsiasi cambio di fornitore durante il contratto.
- La clausola di dichiarazione del sinistro impone un termine molto breve (a volte 48 ore) mentre la rilevazione di un’intrusione richiede in media diverse settimane.
L’outsourcing informatico accentua la sottoassicurazione: quando una parte del sistema informativo è gestita da un terzo, il confine tra ciò che è coperto e ciò che non lo è diventa sfocato. Verificare questa articolazione nel contratto è un prerequisito, non un’opzione.
Direttiva NIS 2 e assicurazione cyber: una convergenza normativa in corso
La trasposizione della direttiva europea NIS 2 modifica il quadro di responsabilità dei dirigenti in materia di cybersicurezza. Le aziende interessate (e sono molte di più rispetto a quelle sotto NIS 1, poiché il perimetro si allarga alle PMI e a determinati fornitori critici) devono dimostrare di aver implementato misure di gestione del rischio cyber proporzionate.
In questo contesto, l’assicurazione cyber passa progressivamente dallo status di garanzia opzionale a quello di requisito commerciale. Alcuni committenti iniziano a condizionare le loro gare alla presentazione di un’attestazione di copertura cyber. Non essere assicurati può diventare un freno commerciale prima ancora di essere un rischio finanziario.
I feedback sul campo divergono su questo punto: non tutti i settori hanno ancora integrato questo requisito, e la maturità varia notevolmente a seconda dei settori. Le CCI degli Hauts-de-France, ad esempio, invitano già le aziende ad anticipare queste obbligazioni. Altre regioni rimangono indietro.
Responsabilità del dirigente e assicurazione RC
NIS 2 introduce la possibilità di sanzioni personali per i dirigenti in caso di inadempimento agli obblighi di cybersicurezza. Questa responsabilità non è sistematicamente coperta da un’assicurazione cyber classica. Essa rientra piuttosto nella RC dirigenti (D&O), un contratto distinto le cui interazioni con la polizza cyber meritano di essere verificate.
L’articolazione tra assicurazione cyber e RC dirigenti è un angolo morto frequente nella protezione delle aziende di dimensioni intermedie.
Leggere una polizza cyber: le clausole che determinano la vera copertura
Oltre all’importo del premio e al massimale globale, tre elementi contrattuali condizionano l’utilità reale di un’assicurazione cyber in caso di incidente.
- Il perimetro dei dati coperti: alcune polizze escludono i dati non crittografati, o i dati archiviati su dispositivi personali (BYOD), il che riduce considerevolmente la portata della garanzia.
- La definizione dell’evento scatenante: un ransomware rilevato ma non attivato costituisce un sinistro dichiarabile? La risposta varia da un assicuratore all’altro e condiziona l’attivazione della copertura.
- Le obbligazioni di prevenzione imposte all’assicurato: alcune polizze prevedono una decadenza della garanzia se l’azienda non ha mantenuto aggiornati i propri correttivi di sicurezza o se non ha effettuato un audit negli ultimi dodici mesi.
Queste clausole tecniche non figurano sempre nella documentazione commerciale. Si trovano nelle condizioni particolari, a volte in allegati. Un contratto cyber si legge al contrario, partendo dalle esclusioni.
Il mercato dell’assicurazione cyber evolve rapidamente, sostenuto da dinamiche contraddittorie: diminuzione dei prezzi, aumento dei sinistri, inasprimento normativo. Un’azienda che sottoscrive senza analizzare queste tre dimensioni (tariffa, perimetro reale di copertura, obbligazioni normative) si espone al rischio di pagare per una protezione che non si attiverà al momento critico.