Cyber Insurance in Italia: il protection gap delle PMI tra compliance e resilienza digitale
La Cyber Insurance in Italia si trova oggi al centro di una trasformazione profonda, sospesa tra l’urgenza crescente di protezione e la difficoltà strutturale delle PMI di accedere a coperture adeguate. Con meno del 10% delle imprese italiane dotate di polizza cyber e il 40% che non soddisfa i requisiti minimi di assicurabilità, il protection gap rappresenta una delle vulnerabilità sistemiche più critiche del tessuto economico nazionale. Questo articolo analizza le dinamiche del mercato assicurativo cyber italiano alla luce dei nuovi framework normativi NIS2 e DORA, esplorando come la compliance possa trasformarsi da vincolo burocratico a leva strategica per la resilienza digitale.
L’elefante nella stanza: un mercato che cresce ignorando chi ne ha più bisogno
Il report Cyber Insurance – Risks and Trends 2025 di Munich Re proietta il mercato globale delle assicurazioni cyber verso i 32,4 miliardi di dollari entro il 2030, con un tasso di crescita annuo superiore al 10%. In Europa, i premi raccolti nel 2024 hanno toccato i 3,3 miliardi di dollari, rappresentando il 21% del mercato mondiale con un CAGR del 26% nel quinquennio 2020-2024.
Numeri impressionanti che, tuttavia, mascherano una realtà preoccupante: la stragrande maggioranza del rischio cyber resta scoperta. Il termine tecnico è protection gap e indica la distanza tra le perdite economiche potenziali derivanti da incidenti informatici e l’effettiva copertura assicurativa disponibile. Per l’Italia, questo divario assume proporzioni allarmanti.
Secondo i dati più recenti, meno del 10% delle imprese italiane dispone di una copertura cyber dedicata. Nel segmento delle piccole e medie imprese, la penetrazione delle polizze cyber varia significativamente a seconda delle metodologie di rilevazione: dal 5% nelle stime più conservative al 41% secondo il survey QBE Insurance condotto su 400 PMI nel settembre 2024. Eppure, il Rapporto Clusit 2025 documenta che l’Italia ha subito il 10,1% degli attacchi informatici globali nel 2024, una quota sproporzionata rispetto al peso economico e demografico del Paese.
L’allarme Greco e il paradosso dell’assicurabilità
Nel dicembre 2022, Mario Greco, CEO di Zurich Insurance, ha scosso il settore con una dichiarazione destinata a diventare profetica: i cyberattacchi potrebbero diventare uninsurable, non assicurabili. “Cosa succederebbe se qualcuno prendesse il controllo di parti vitali delle nostre infrastrutture?” si chiedeva Greco in un’intervista al Financial Times del 26 dicembre 2022. “Non stiamo parlando solo di dati, stiamo parlando di civiltà.”
Quella dichiarazione, accolta con scetticismo da alcuni e preoccupazione da altri, evidenziava un problema strutturale: la mancanza di dati storici sufficienti, l’evoluzione continua delle minacce e l’interdipendenza sistemica delle infrastrutture digitali rendono la modellizzazione attuariale del rischio cyber estremamente complessa. Gli studi di settore stimano il potenziale di perdite cumulate globali per eventi sistemici tra i 20 e i 46 miliardi di dollari, con un periodo di ritorno fino a 200 anni.
Il paradosso è evidente: proprio le organizzazioni che avrebbero maggiore bisogno di protezione sono quelle che faticano di più a ottenerla. Le PMI italiane, che costituiscono il 92% del tessuto economico nazionale, si trovano intrappolate in un circolo vizioso. Da un lato, mancano delle risorse economiche e delle competenze tecniche per implementare i controlli di sicurezza richiesti dagli assicuratori. Dall’altro, l’assenza di copertura le espone a rischi che possono comprometterne la stessa sopravvivenza.
I numeri del divario: radiografia di una vulnerabilità sistemica
Un’analisi dettagliata del protection gap italiano rivela diverse dimensioni del problema.
Dal punto di vista della consapevolezza, la situazione mostra segnali contrastanti. Una recente ricerca Mastercard indica che il 30% delle PMI ha già attivato una copertura assicurativa cyber, con un ulteriore 39% che si dichiara interessato. Tuttavia, secondo il survey QBE Insurance, il 41% delle PMI italiane ha sottoscritto una polizza cyber, dato che sale al 75% se si considera anche chi sta valutando l’opzione. La penetrazione futura potrebbe rapidamente raggiungere il 61%.
Questi numeri, apparentemente incoraggianti, vanno contestualizzati. Il 37,8% delle PMI intervistate per il Rapporto Clusit 2025 ha dichiarato di aver subito uno o più attacchi informatici. Nel 2024, oltre il 60% delle PMI italiane ha sperimentato almeno un tentativo di attacco, e più del 40% non dispone ancora di una copertura dedicata.
Sul versante dei costi, il costo medio di un attacco informatico per una PMI italiana supera i 95.000 euro secondo il Rapporto Clusit, ma nei casi più gravi può arrivare oltre i 300.000 euro. Un caso reale del 2024, relativo a una media azienda di e-commerce lombarda, ha visto un attacco ransomware causare un blocco di 14 giorni, con perdite di fatturato per 70.000 euro e spese tecniche per il recupero dati superiori ai 40.000 euro. Senza copertura assicurativa, il danno totale ha superato i 110.000 euro.
Riguardo ai requisiti di assicurabilità, circa il 40% delle aziende italiane non soddisfa i requisiti minimi richiesti dalle compagnie per la sottoscrizione. Le ragioni includono l’assenza di antivirus avanzati con aggiornamento automatico, la mancanza di sistemi EDR/XDR per il rilevamento delle minacce, l’assenza di autenticazione multifattoriale, policy di backup inadeguate e piani di continuità operativa inesistenti o obsoleti.
NIS2 e DORA: quando la compliance diventa prerequisito assicurativo
L’evoluzione del quadro normativo europeo sta ridisegnando profondamente il rapporto tra sicurezza informatica e assicurabilità. La convergenza tra obblighi regolamentari e requisiti assicurativi non è casuale: entrambi mirano a elevare la postura di sicurezza delle organizzazioni, con approcci complementari.
La Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, ha esteso significativamente il perimetro dei soggetti obbligati rispetto alla precedente versione. Come comunicato dall’Agenzia per la Cybersicurezza Nazionale (ACN) nell’aprile 2025, sono state individuate oltre 20.000 organizzazioni sul territorio nazionale, di cui oltre 5.000 soggetti essenziali. La direttiva impone misure minime di cybersicurezza che includono l’analisi dei rischi, la gestione degli incidenti, la continuità operativa e la sicurezza della supply chain.
I soggetti essenziali, tenuti a registrarsi entro il 28 febbraio 2025 presso la Piattaforma nazionale NIS dell’ACN, devono adottare autenticazione multifattoriale per tutti gli accessi, implementare processi di gestione delle vulnerabilità e garantire la segmentazione delle reti. Sono requisiti che coincidono significativamente con quanto richiesto dalle compagnie assicurative per la sottoscrizione di polizze cyber.
Il Regolamento DORA (Digital Operational Resilience Act), applicabile dal 17 gennaio 2025, introduce requisiti ancora più stringenti per il settore finanziario. Con 37 articoli su 64 dedicati a sicurezza e resilienza, DORA rappresenta la normativa più prescrittiva in materia di resilienza operativa digitale mai emanata a livello europeo. Per le organizzazioni che ricadono sotto entrambi i regimi normativi, DORA costituisce lex specialis e prevale sulla NIS2.
L’aspetto più rilevante per il mercato assicurativo è l’attribuzione di responsabilità dirette agli organi di gestione. Sia NIS2 che DORA richiedono che il board approvi le politiche di sicurezza, supervisioni l’implementazione delle misure e mantenga competenze aggiornate attraverso formazione specifica. Il D.Lgs. 23/2025, che coordina DORA con l’ordinamento italiano e pubblicato in Gazzetta Ufficiale l’11 marzo 2025, introduce sanzioni amministrative graduate fino al 10% del fatturato o a un massimo di 20 milioni di euro per i depositari centrali di titoli.
Questa responsabilizzazione del top management sta generando una domanda crescente di soluzioni assicurative integrate che coprano tanto i danni all’organizzazione quanto le eventuali azioni di responsabilità nei confronti degli amministratori. L’integrazione tra coperture cyber e polizze Directors & Officers (D&O) rappresenta una delle evoluzioni più significative del mercato.
Le coperture disponibili: anatomia delle polizze cyber per PMI
L’indagine IVASS sulle polizze cyber risk dell’ottobre 2023, che ha esaminato 50 contratti assicurativi di cui 26 dedicati alle PMI, ha evidenziato un’offerta caratterizzata da significative eterogeneità e ambiguità contrattuali. Circa 30 compagnie propongono prodotti specifici, ma le differenze in termini di coperture, esclusioni e franchigie rendono complesso il confronto.
Le coperture tipiche includono danni diretti hardware (apparecchiature elettroniche, server, apparati di rete), costi di ripristino della rete e riconfigurazione dei sistemi, costi di ricostituzione archivi e recupero dati da backup, costi di notifica breach of privacy alle autorità e agli interessati, costi di incident response per indagini forensi, perdite finanziarie da sottrazione fraudolenta di moneta elettronica, perdite patrimoniali verso terzi per violazione di obblighi di legge, responsabilità per danni da trattamento illecito di dati personali e copertura per interruzione dell’attività (business interruption).
Le esclusioni critiche comprendono atti di guerra e attacchi state-sponsored (dopo il caso NotPetya/Mondelez), eventi sistemici che colpiscono infrastrutture critiche, sanzioni GDPR (raramente assicurabili in Europa), danni derivanti da mancato aggiornamento dei sistemi e conseguenze di violazioni preesistenti alla polizza.
Un elemento distintivo delle polizze più evolute è la componente di servizio. Come sottolinea Cesare Burei, esperto di cyber risk insurance: “Il supporto finanziario della polizza cyber è fondamentale, ma la componente di gestione della crisi è un asset altrettanto importante. Aiuta l’azienda con le spese inevitabili in caso di incidente e fornisce esperti su aspetti di incident management dove questi non ci sono.”
I premi per le PMI italiane variano tipicamente tra 600 e 2.500 euro annui per massimali fino a 1 milione di euro, con variazioni significative in base al settore, alle dimensioni, al livello di digitalizzazione e allo storico sinistri.
Il ruolo delle piattaforme dedicate: Helmon e il nuovo paradigma InsurTech
La difficoltà di raggiungere il segmento PMI con soluzioni tradizionali ha stimolato lo sviluppo di piattaforme tecnologiche innovative. Helmon, startup nata nel luglio 2024 da una joint venture tra CDP Venture Capital e Cy4Gate e lanciata ufficialmente nel marzo 2025, rappresenta un esempio significativo di questo nuovo paradigma.
Il modello operativo si articola su tre pilastri: cyber protection, cyber resilience e cyber insurance. Alla base c’è Cyberon, un motore tecnologico proprietario che alimenta tutte le funzioni core del sistema. Il processo inizia con una fase di assessment automatizzato che richiede l’inserimento di pochi dati essenziali per attivare l’analisi iniziale, basata su fonti OSINT e CLOSINT, dati amministrativi e feed di threat intelligence.
La polizza Cyber Protection 2.0, sviluppata in collaborazione con Munich Re e Bene Assicurazioni, copre attacchi informatici, errori umani e difetti di sistema, anche quando l’IT è in outsourcing. Comprende 11 garanzie sempre attive, con indennizzi automatici calcolati in base a criteri oggettivi. Soprattutto, include strumenti di prevenzione attiva come monitoraggio continuo del perimetro con scan non invasivi, formazione del personale con simulazioni di phishing e servizio di incident response 24/7 in italiano.
Questo modello rappresenta una risposta pragmatica al gap di assicurabilità: invece di escludere le PMI che non soddisfano i requisiti, le accompagna verso la conformità integrando assessment, protezione attiva e copertura finanziaria in un unico sistema.
La Cyber Insurance come driver di miglioramento della postura di sicurezza
Una delle dinamiche più interessanti del mercato cyber insurance è il suo effetto trasformativo sulla sicurezza delle organizzazioni. Il processo di sottoscrizione stesso diventa un momento di consapevolezza: la compilazione del questionario assicurativo costringe le aziende a interrogarsi sulla propria postura di sicurezza.
Come osserva Burei: “Nei casi di maggiore inconsapevolezza, grazie anche al solo questionario si innesca un processo di miglioramento. Per essere più sicuri sia dagli attacchi che per discutere con gli assicuratori in fase di sinistro, bisognerebbe effettuare un digital inventory e un vulnerability assessment interno prima della copertura.”
Alcune compagnie stanno sviluppando modelli di pricing che premiano le organizzazioni certificate ISO/IEC 27001:2022, riconoscendo un valore economico alla dimostrazione di processi strutturati e verificati da enti terzi. Altre offrono sconti sui premi per chi implementa formazione interna e penetration test preventivi.
Questo meccanismo virtuoso trasforma la cyber insurance da mero strumento di trasferimento del rischio a componente integrale della strategia di risk management. Le compagnie assicurative, disposte a investire risorse significative nei servizi pre e post sinistro, diventano di fatto partner nella costruzione della resilienza cyber.
Le sfide del mercato: tra esclusioni sistemiche e appetiti di rischio
Nonostante le prospettive di crescita, il mercato della cyber insurance in Italia affronta sfide strutturali che ne limitano l’espansione.
La volatilità del rischio rappresenta la prima criticità. A differenza di altri rami assicurativi con serie storiche pluridecennali, il cyber è un settore giovane dove la frequenza e la severità dei sinistri possono variare drasticamente da un anno all’altro. L’incidente CrowdStrike del 19 luglio 2024, che ha causato uno dei più grandi outage IT della storia colpendo circa 8,5 milioni di sistemi Windows secondo le stime Microsoft, ha ricordato quanto rapidamente possano materializzarsi scenari catastrofici.
Il rischio sistemico costituisce la preoccupazione principale degli assicuratori. Un attacco che comprometta un cloud provider dominante o un’infrastruttura critica potrebbe generare perdite cumulate ben oltre la capacità del mercato. Lloyd’s of London, attraverso il Market Bulletin Y5381 del 16 agosto 2022, ha richiesto che le polizze sottoscritte nel suo mercato escludano esplicitamente gli attacchi state-sponsored a partire dal 31 marzo 2023, cercando di limitare l’esposizione a eventi sistemici.
La mediazione culturale resta una sfida quotidiana. Cesare Burei la descrive efficacemente: broker e consulenti devono spesso agire come “mediatori culturali”, facendo dialogare figure aziendali con basi completamente diverse – CEO, CFO, direttore di produzione, responsabile IT – attorno a un tavolo dove si decide la protezione dell’azienda.
Prospettive: verso un ecosistema di cyber resilience
Il mercato italiano della cyber insurance è proiettato a crescere dell’11% annuo fino al 2035, con un potenziale di crescita dei premi per Germania, Francia, Italia e Spagna stimato in 700 milioni di euro. Ma la crescita quantitativa non basta: serve una trasformazione qualitativa dell’intero ecosistema.
Per le PMI, le priorità dovrebbero includere la valutazione realistica del proprio livello di esposizione al rischio cyber, l’implementazione dei controlli di sicurezza minimi richiesti per l’assicurabilità, la considerazione della compliance NIS2/DORA come opportunità di rafforzamento e la valutazione delle piattaforme integrate che offrono assessment, protezione e copertura.
Per il settore assicurativo, l’imperativo è lo sviluppo di prodotti scalabili per il segmento PMI, l’investimento in modelli attuariali più sofisticati, la collaborazione con provider tecnologici per servizi integrati e la definizione di standard contrattuali più chiari e confrontabili.
Per le istituzioni, le direttrici strategiche comprendono l’incentivazione fiscale per investimenti in cybersecurity e assicurazione, la promozione di schemi pubblico-privati per rischi sistemici, il supporto alla formazione e alla consapevolezza nel tessuto imprenditoriale e il monitoraggio dell’effettiva implementazione di NIS2 e DORA.
Conclusioni: la Cyber Insurance in Italia come indicatore di maturità
Il protection gap della cyber insurance in Italia non è solo un problema assicurativo: è un indicatore della maturità complessiva del sistema economico nazionale rispetto alle sfide della trasformazione digitale. Colmare questo divario richiede uno sforzo coordinato che coinvolga imprese, assicuratori, regolatori e istituzioni.
La buona notizia è che i framework normativi europei stanno creando le condizioni per un circolo virtuoso: la conformità a NIS2 e DORA eleva la postura di sicurezza, rendendo le organizzazioni più assicurabili; l’accesso alla copertura assicurativa fornisce risorse per ulteriori investimenti in sicurezza; il miglioramento della sicurezza riduce la frequenza e la severità dei sinistri, stabilizzando il mercato.
La sfida per i prossimi anni sarà trasformare questo potenziale in realtà, raggiungendo le centinaia di migliaia di PMI italiane che oggi restano esposte senza protezione. La Cyber Insurance in Italia non può più essere un prodotto di nicchia per grandi organizzazioni: deve diventare una componente standard del risk management aziendale, accessibile e comprensibile anche per il tessuto imprenditoriale che costituisce la spina dorsale dell’economia nazionale.
