Costo di una polizza cyber per PMI: fattori che influenzano il premio

Quanto costa una polizza cyber per una PMI: fasce indicative

Per una PMI con meno di 50 dipendenti, una polizza cyber con copertura base può partire da 800–1.500 euro l'anno. Per le aziende più strutturate il premio può arrivare fino a 10.000 euro.

Sono ordini di grandezza indicativi: il premio varia per dimensione e settore, digitalizzazione, sistemi di sicurezza già presenti, volume di dati trattati e fatturato annuo. Il danno potenziale può superare i 200.000 euro anche per attacchi di modesta entità.

Il contesto italiano: minacce in crescita e PMI nel mirino

Il Rapporto Clusit 2025, presentato l'11 marzo 2025 al Security Summit di Milano, registra un aumento del 169% delle minacce informatiche in Italia negli ultimi cinque anni.

Nel 2024 gli incidenti critici o gravi hanno rappresentato circa l'80% del totale, contro il 50% del 2020. In soli quattro anni la gravità media degli attacchi è aumentata del 60%.

Tra le tipologie più usate dominano i ransomware. Il phishing ha segnato una crescita del 35% nel 2024.

Il peso dell'Italia è sproporzionato rispetto alla sua economia: con appena l'1,8% del PIL mondiale, il Paese subisce il 10% degli attacchi informatici globali.

Le PMI sono il bersaglio privilegiato: il 95% degli attacchi informatici avviene a loro danno. Spesso sono meno preparate sul fronte della sicurezza digitale.

Secondo il Rapporto Clusit 2024, il numero di attacchi cyber gravi in Italia è cresciuto del 12% rispetto al 2023. Per l'assicuratore ciò significa maggiore frequenza attesa dei sinistri e quindi premio più alto.

Trend delle minacce informatiche in Italia (2020–2025)

Dimensione, settore, fatturato e dati trattati

Il peso di questi parametri non è uniforme. A parità di controlli, chi gestisce più dati personali o finanziari, o dipende interamente dai sistemi informatici per erogare il servizio, ha una perdita attesa più elevata e un premio maggiore.

Anche il fatturato conta, perché determina il valore dell'interruzione di attività.

L'esposizione non dipende solo dal codice ATECO.

Secondo il Rapporto Clusit, i settori più colpiti nel 2024 sono sanità, commercio online e retail, studi professionali e consulenza, manifatturiero e logistica. In questi ambiti anche aziende con pochi dipendenti trattano dati sensibili (anagrafiche clienti, dati finanziari, progetti riservati) e sono esposte.

Se un attacco comporta la violazione di dati personali, l'azienda può essere ritenuta responsabile ai sensi del GDPR, con spese legali, risarcimenti e multe. È la voce di costo che le coperture di responsabilità civile verso terzi sono chiamate a sostenere.

Settori più colpiti da attacchi cyber in Italia (2024)

Fattori che influenzano il premio della polizza cyber per PMI

Sistemi di sicurezza, backup e continuità operativa

Il mercato assicurativo ha spostato il baricentro dalla riparazione al contenimento del danno. Le compagnie propongono sempre più un approccio consulenziale: prevenzione dell'incidente invece di indennizzo ex post.

Chiedono un'analisi delle vulnerabilità più dettagliata e pratiche di utilizzo dei sistemi più solide da parte degli utenti. In sottoscrizione valutano positivamente backup dei dati e piani di ripristino.

La documentazione richiesta ruota attorno a pochi controlli verificabili. Serve l'autenticazione a più fattori (MFA) su tutti gli account privilegiati, con i relativi registri di accesso.

Va indicato lo stato di implementazione di antivirus/EDR, con prove di monitoraggio degli endpoint.

Servono valutazioni recenti delle vulnerabilità e registri delle patch che dimostrino scansioni e aggiornamenti regolari. Infine, verifica del backup e del ripristino d'emergenza (BDR).

Vantaggi e limitazioni del contenimento del danno rispetto alla riparazione

Documentazione e governance: cosa l'assicuratore vuole vedere

Dichiarare di avere i controlli non basta. Le richieste di copertura più elevate spingono gli assicuratori a pretendere documentazione dettagliata per valutare la preparazione alla cybersecurity.

Le aree richieste quasi sempre riguardano tre blocchi: rapporti sulla postura di sicurezza; verifica del backup e del ripristino d'emergenza; governance continua sugli ambienti e strategie di risposta agli incidenti ben definite.

Un approccio strutturato alla documentazione può aumentare le possibilità di approvazione della polizza. I requisiti variano per tipo di copertura e assicuratore: meglio evidenze datate e aggiornate che dichiarazioni generiche.

Documentazione richiesta dagli assicuratori per la sottoscrizione

Formazione del personale e prevenzione del phishing

Il phishing è cresciuto nonostante le numerose campagne di sensibilizzazione. Il dato indica che la formazione del personale deve essere continua e aggiornata costantemente sulle nuove tecniche dei criminali informatici.

Il fattore umano resta centrale nel rischio cyber. Le compagnie chiedono più educazione in azienda e un'analisi delle vulnerabilità più dettagliata.

Per il profilo assicurativo conta la prova che la formazione sia ricorrente. Servono sessioni periodiche sul riconoscimento dei messaggi sospetti, tracciamento della partecipazione e collegamento con le procedure interne di segnalazione.

Sono elementi che l'assicuratore può inserire nel questionario di sottoscrizione insieme ai controlli tecnici.

Mercato assicurativo e condizioni: perché il premio si muove

Il premio risente del ciclo assicurativo oltre che del rischio del singolo cliente.

Secondo un commento pubblicato su Insurance Review il 24 marzo 2023, il mercato assicurativo cyber globale contava circa 10 miliardi di dollari di premi raccolti. La crescita era stimata a 25 miliardi entro il 2025.

Il Global Insurance Market Index ha rilevato che nel secondo trimestre 2022 i prezzi delle assicurazioni cyber sono cresciuti mediamente del 79% negli Stati Uniti e del 68% nel Regno Unito. Nel trimestre precedente gli aumenti erano stati rispettivamente del 110% e del 102%.

Dopo quella fase, gli incrementi delle polizze sembrano vicini alla stabilizzazione. Le compagnie continuano a intervenire su premi e condizioni per ridurre i rischi.

Il risultato può essere un corto-circuito: alcune aziende restano senza copertura, alcune compagnie affrontano perdite rilevanti.

Il quadro dei sinistri spiega la prudenza. Il costo medio di un attacco ransomware per le aziende che lo hanno subito è stato di 4,35 milioni di dollari. In media sono stati necessari dai 9 ai 12 mesi per identificare e contenere le conseguenze dell'incidente.

Come ridurre il premio senza svuotare la copertura

Le leve su cui una PMI può agire coincidono con i controlli tecnici e documentali valutati dagli assicuratori. Rafforzarli riduce il profilo di rischio e può sostenere la trattativa sul premio senza intaccare la copertura.

Sul fronte documentale, presentarsi alla sottoscrizione con un profilo di rischio chiaro può aumentare le possibilità di approvazione della polizza. Può anche sostenere la trattativa su premio e condizioni.

Resta il punto di equilibrio commerciale. Ridurre il premio tagliando massimali o sottolimiti espone l'azienda sulle voci di costo più probabili. Esempi: cyber estorsione, spese di notifica obbligatorie in caso di data breach, responsabilità verso terzi ai sensi del GDPR.

Premio vs danno potenziale: il confronto che conta

Per una PMI italiana sotto i 250 dipendenti un attacco ransomware può costare in media tra 80.000 e 350.000 euro. Il tempo medio di ripristino è di 24 giorni di operatività ridotta.

Su questi valori, il premio annuo indicativo per una copertura base va letto come il costo di trasferire una perdita potenziale molto più alta.

Il confronto va fatto includendo le voci che la polizza intercetta. Tra queste: ripristino dei dati e ricostruzione dei sistemi IT; perdita di fatturato per interruzione dell'attività. Poi spese legali e risarcimenti per violazione di dati personali; costi di notifica e gestione delle violazioni. Infine spese investigative e intervento di esperti in incident response in caso di estorsione.