Sinistro cyber: cosa serve documentare perché la polizza paghi

Una polizza cyber non risarcisce per il solo fatto che hai subito un attacco. Liquida il danno se riesci a dimostrare, documenti alla mano, di aver mantenuto le misure dichiarate e di aver gestito il sinistro cyber secondo le regole del contratto.

La scena si si ripete con una certa regolarità. Un’azienda subisce un attacco ransomware, blocca la produzione per giorni, sostiene costi pesanti per il ripristino e poi tira un sospiro di sollievo al pensiero della polizza cyber sottoscritta tempo prima. Qualche settimana dopo arriva la lettera dell’assicuratore e il risarcimento viene negato, perché l’azienda non è riuscita a dimostrare qualcosa che il contratto dava per scontato.

1. Avere una polizza non significa essere risarciti
2. Perché un sinistro cyber viene rifiutato
3. Cosa documentare prima che accada qualcosa
4. Cosa documentare durante e dopo il sinistro
5. Le notifiche al Garante e ad ACN

Quello appena descritto è il paradosso del sinistro cyber di cui si parla davvero poco. Diverse analisi di settore indicano che una porzione consistente delle richieste di risarcimento viene respinta, con stime che in alcuni report superano il 40%. Quasi sempre la causa non sta nell’attacco, perfettamente reale, ma nella documentazione mancante o nelle dichiarazioni che non trovano riscontro. La polizza paga a chi sa provare di essere stato come aveva detto di essere.

Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

Avere una polizza non significa essere risarciti

Una polizza cyber non funziona come una garanzia automatica che scatta al primo problema. È un contratto pieno di condizioni, obblighi e dichiarazioni che l’assicurato sottoscrive e si impegna a rispettare. Il questionario compilato in fase di sottoscrizione, dove l’azienda descrive le proprie misure di sicurezza, diventa parte integrante dell’accordo. Se quelle dichiarazioni non corrispondono alla realtà al momento dell’attacco, l’assicuratore ha argomenti per rifiutare la liquidazione o per annullare la copertura.

Negli ultimi anni gli assicuratori hanno affinato gli strumenti di verifica. Una buona parte di loro conduce scansioni esterne sulla rete dell’azienda prima di emettere la polizza, così da confrontare le dichiarazioni con lo stato effettivo dei sistemi. Dopo un attacco entra in gioco una perizia forense che ricostruisce ogni passaggio, da come gli aggressori sono entrati a come si sono mossi all’interno. Quella perizia confronta ciò che era stato dichiarato con ciò che i tecnici trovano sul campo. Ed è qui che inizia la discussione sul diniego.

Perché un sinistro cyber viene rifiutato

I motivi per cui un risarcimento salta si ripetono con regolarità sorprendente. Conoscerli in anticipo è il modo migliore per non trovarsi scoperti nel momento peggiore.

• Dichiarazioni inesatte sui controlli.
  È la causa tecnica più frequente. Se l’azienda ha dichiarato di proteggere ogni accesso con l’autenticazione a più fattori, ma al momento dell’attacco la copertura era parziale o assente su alcuni account, l’assicuratore può contestare la difformità. Nel 2022 un noto contenzioso ha visto un assicuratore annullare la polizza proprio per una dichiarazione non veritiera sull’autenticazione a più fattori.
• Notifica tardiva.
  Le polizze cyber fissano finestre di tempo molto strette per avvisare l’assicuratore, spesso poche decine di ore dalla scoperta. Il conteggio parte dal momento in cui l’azienda sapeva o avrebbe dovuto sapere dell’incidente. Allarmi rimasti inascoltati per settimane possono spostare indietro la data di scoperta agli occhi del perito.
• Prove insufficienti.
  Senza i log dei sistemi, le immagini delle macchine compromesse e le registrazioni delle comunicazioni, diventa difficile dimostrare cosa è accaduto e quantificare il danno subito. La copertura può saltare anche quando i controlli avevano funzionato, semplicemente perché mancano le prove.
• Errori di procedura nella risposta.
  Molte polizze impongono l’uso di periti e legali scelti da una rosa di fornitori autorizzati. Ingaggiare consulenti per conto proprio o pagare un riscatto senza il consenso scritto dell’assicuratore espone al rifiuto del rimborso.
• Esclusioni di polizza.
  Atti di guerra e attacchi attribuiti a uno Stato, eventi già noti prima dell’attivazione della copertura, frodi non coperte da apposita estensione. Le esclusioni vivono spesso nelle clausole che nessuno legge fino al giorno del sinistro.

Cosa documentare prima che accada qualcosa

La parte più trascurata della preparazione riguarda le prove da raccogliere quando ancora va tutto bene. L’assicuratore vorrà la dimostrazione che le misure dichiarate nel questionario erano davvero attive nel momento dell’attacco, non semplicemente promesse sulla carta.

• L’autenticazione a più fattori.
  Conviene conservare le configurazioni e i registri che mostrano la copertura su tutti gli account, compresi quelli tecnici e amministrativi, spesso il punto debole anche nelle aziende più rigorose sulla sicurezza.
• Le patch e gli aggiornamenti.
  Un calendario documentato degli interventi dimostra che le vulnerabilità note venivano chiuse con regolarità. La mancata applicazione di una correzione disponibile da tempo è un classico motivo di contestazione.
• I backup verificati.
  Non basta affermare di avere copie di sicurezza. Servono le prove dei test di ripristino, con le relative date, perché un backup mai collaudato vale poco davanti a un perito.
• La formazione del personale.
  Molte polizze chiedono evidenza di attività periodiche di sensibilizzazione. Se un dipendente abbocca a una email di phishing e l’azienda non può mostrare i registri della formazione svolta, il risarcimento rischia grosso.
• Gli strumenti di protezione attivi.
  Vale la pena tenere traccia del funzionamento dei sistemi di difesa sugli endpoint e del loro stato di copertura, così da poter dimostrare che erano operativi e aggiornati.

Tutto ciò che è stato dichiarato all’assicuratore va conservato in un archivio ordinato e datato, pronto a essere mostrato. Le dichiarazioni valgono quanto le prove che le sostengono.

Cosa documentare durante e dopo il sinistro

Quando l’attacco arriva, il modo in cui si gestiscono le prime ore incide direttamente sull’esito della richiesta di risarcimento. Qui la documentazione si costruisce in tempo reale, sotto pressione.

• La cronologia dell’incidente.
  Annotare data e ora della scoperta, le modalità con cui è emerso il problema, i sistemi coinvolti e una prima stima dei danni. Questa linea temporale serve a rispettare la finestra di notifica e a reggere il confronto con la data di scoperta ricostruita dal perito.
• La conservazione delle prove forensi.
  L’istinto di spegnere tutto e ripristinare al più presto è comprensibile, ma cancella le tracce che l’assicuratore pretende. I log, le immagini dei sistemi e le configurazioni vanno preservati prima di qualsiasi intervento di pulizia.
• Le ricevute delle notifiche.
  Ogni comunicazione all’assicuratore e alle autorità va registrata e conservata, con orari e contenuti. Sono la prova del rispetto degli obblighi di tempestività.
• La quantificazione delle perdite.
  Fermo della produzione, costi di ripristino, spese legali, eventuali notifiche ai clienti. Ogni voce di danno va documentata con prove datate, perché senza numeri sostenuti da evidenze l’assicuratore tende a liquidare al ribasso.
• Le autorizzazioni.
  Prima di ingaggiare un perito esterno o di valutare il pagamento di un riscatto, serve il via libera scritto dell’assicuratore. Agire di testa propria mette a rischio l’intero rimborso.

Le notifiche al Garante e ad ACN

In Italia la gestione di un sinistro cyber si incrocia con precisi obblighi di legge. In questo caso si nasconde un piccolo vantaggio, poiché lo stesso lavoro che mette l’azienda in regola con le autorità costruisce buona parte delle prove che l’assicuratore richiederà.

Quando l’attacco comporta una violazione di dati personali, il GDPR impone la notifica al Garante per la protezione dei dati personali entro 72 ore dalla scoperta. Per le aziende che rientrano nel decreto NIS2 si aggiunge la notifica degli incidenti al CSIRT Italia dell’ACN, con obblighi che si applicano dal gennaio 2026, accanto a quanto previsto dalla Legge 90/2024 per i soggetti del Perimetro di Sicurezza Nazionale Cibernetica. L’ACN ha anche pubblicato una tassonomia dedicata per descrivere gli incidenti in modo uniforme.

Ognuna di queste notifiche obbliga l’azienda a ricostruire l’accaduto in modo ordinato, con tempi, sistemi coinvolti e natura dell’attacco. È esattamente il materiale che serve a sostenere la richiesta di risarcimento. Curare bene gli adempimenti normativi e curare bene il fascicolo per l’assicuratore diventano allora due facce della stessa attività. Trascurarli significa rischiare insieme la sanzione dell’autorità e il rifiuto della polizza.

In conclusione

Un sinistro cyber non si vince nel momento in cui si invia la richiesta di risarcimento, ma molto prima, nel modo in cui l’azienda ha documentato la propria sicurezza e ha gestito l’emergenza. La polizza è un contratto che premia la coerenza tra ciò che si dichiara e ciò che si dimostra, non la semplice sfortuna di essere stati colpiti. Le prove dei controlli attivi, la cronologia dell’incidente, le ricevute delle notifiche e la quantificazione ordinata dei danni fanno la differenza tra un premio versato a vuoto e un danno effettivamente coperto.