Rischio Cyber Catastrofale e cat bond

Un solo attacco può colpire migliaia di aziende nello stesso giorno. Come assicuratori e riassicuratori si proteggono dal rischio catastrofale cyber e come funzionano i cyber cat bond, con i dati di mercato al 2026.

Un singolo attacco informatico può colpire migliaia di aziende nello stesso giorno. Per un assicuratore cyber è questo lo scenario che pesa davvero, più dei sinistri isolati. I cat bond, obbligazioni che trasferiscono il rischio catastrofale agli investitori, sono uno degli strumenti con cui il mercato prova a renderlo sostenibile.

In questo articolo vediamo che cos'è un rischio catastrofale cyber, come assicuratori e riassicuratori se ne proteggono e come funzionano i cyber cat bond, con i dati di mercato aggiornati al 2026.

Che cos'è il rischio catastrofale cyber

Il rischio catastrofale cyber è un evento che genera perdite contemporanee su molti assicurati e molti assicuratori. Nel ramo property la causa è un uragano o un terremoto; nel cyber è un malware che si propaga, la compromissione di un software diffuso o il blocco di un fornitore tecnologico da cui dipendono migliaia di imprese.

La differenza rispetto al rischio naturale è che il cyber non ha confini geografici. Due aziende in continenti diversi possono essere colpite dallo stesso evento se usano lo stesso cloud o lo stesso software. Per questo il problema centrale è l'accumulo: la somma delle esposizioni correlate in portafoglio.

Alcuni casi recenti mostrano la dimensione del fenomeno:

NotPetya (2017): è stato il primo evento inserito nell'indice catastrofale cyber di PCS (Verisk), con una perdita assicurata stimata in 3 miliardi di dollari (Artemis). Molti assicuratori property e casualty hanno respinto i sinistri invocando l'esclusione di guerra (Carnegie Endowment).
MOVEit e Change Healthcare: entrambi designati da PCS come Cyber Catastrophe Loss Event.
CrowdStrike (2024): l'interruzione IT globale è stata classificata anch'essa come evento catastrofale, con perdite assicurate attese oltre 250 milioni di dollari. Parametrix ha stimato una forchetta tra 540 milioni e 1,08 miliardi (Artemis).

Per rientrare in questa categoria secondo PCS, l'evento deve colpire più assicurati e più assicuratori. Il caso CrowdStrike conferma inoltre che la catastrofe cyber non richiede un attacco: basta un errore in un aggiornamento software.

Come si proteggono imprese e assicuratori

La protezione dal rischio catastrofale funziona a strati: ogni livello trattiene una parte del danno e trasferisce il resto al successivo.

L'impresa riduce la probabilità e l'impatto degli incidenti con sicurezza informatica, piani di continuità e gestione dei fornitori. Trattiene una parte del danno tramite franchigie e massimali.
L'assicuratore diretto seleziona i rischi, applica sottolimiti ed esclusioni (ad esempio guerra e interruzione di infrastrutture critiche) e monitora l'accumulo del proprio portafoglio.
Il riassicuratore assume una quota del portafoglio con trattati proporzionali o protegge l'assicuratore dalle perdite di picco con coperture in eccesso di sinistro (excess of loss).
Il retrocessionario protegge a sua volta il riassicuratore.
I mercati dei capitali assorbono gli strati più alti e meno probabili tramite gli Insurance-Linked Securities, di cui i cat bond sono la forma principale.

L'ultimo livello è il più recente nel cyber. Esiste perché la capacità riassicurativa tradizionale da sola potrebbe non bastare per un evento estremo. Un esempio: Beazley dichiara oltre 1 miliardo di dollari di protezione cyber in excess of loss, di cui 670 milioni ottenuti tramite cat bond (Beazley).

Che cosa sono i cat bond

Un cat bond è un'obbligazione che l'investitore perde, in tutto o in parte, se si verifica una catastrofe definita nel contratto. In cambio riceve un rendimento più alto di un titolo ordinario.

Il meccanismo coinvolge tre soggetti:

Lo sponsor (assicuratore o riassicuratore) cerca protezione e paga un premio.
Un veicolo dedicato (SPV), di solito con sede alle Bermuda, stipula con lo sponsor un contratto di riassicurazione ed emette le obbligazioni.
Gli investitori (fondi ILS, fondi pensione, gestori patrimoniali) comprano le obbligazioni. Il capitale raccolto viene depositato in un conto vincolato e investito in titoli a basso rischio.

Finché non si verifica l'evento, l'investitore incassa il premio più il rendimento del collaterale e a scadenza riottiene il capitale. Se l'evento si verifica, il collaterale serve a pagare lo sponsor. Il vantaggio per lo sponsor è una copertura interamente garantita, senza rischio di credito verso la controparte, e spesso pluriennale.

L'elemento che decide se e quanto si paga è il trigger:

Indemnity: paga sulle perdite effettive dello sponsor. Copertura precisa, ma liquidazione lenta.
Industry loss: paga sulla perdita stimata dell'intero mercato. Più trasparente per l'investitore, ma lo sponsor sopporta un rischio di base.
Parametrico: paga al superamento di una soglia oggettiva (ad esempio le ore di indisponibilità di un cloud). Pagamento rapido, ma può discostarsi dal danno reale.

Il rischio di base (basis risk) è la differenza tra quanto paga il bond e la perdita reale dello sponsor. Uno studio di Princeton del 2026 sostiene che per il cyber la soluzione migliore sia una combinazione di trigger indemnity e parametrici (Princeton).

I cyber cat bond

I primi cyber cat bond sono arrivati nel 2023, prima come collocamenti privati e poi, nell'ultimo trimestre dell'anno, come emissioni 144A destinate al mercato istituzionale (Appleby). Secondo AM Best, la capacità dei cyber cat bond 144A è passata da 785 milioni di dollari a fine 2024 a 1,235 miliardi a fine 2025 (Artemis).

Le emissioni principali mostrano come il mercato abbia sperimentato strutture diverse:

[Beazley](https://www.artemis.bm/deal-directory/polestar-re-ltd-series-2026-1/), PoleStar Re 2026-1, 300 milioni di dollari: il più grande finora; primo con tre sub-layer, copertura fino a fine 2028.
[Chubb](https://www.artemis.bm/news/chubb-secures-first-annual-aggregate-cyber-cat-bond-150m-east-lane-priced-at-low-end), East Lane Re 2026-1, 150 milioni di dollari: primo cyber cat bond in forma annual aggregate.
[Hannover Re](https://www.artemis.bm/news/cyber-ils-primed-for-future-growth-if-traditional-capacity-constraints-emerge-sp/), Cumulus Re 2026-1, 35 milioni di dollari: trigger parametrico sull'interruzione del cloud.
[AXIS](https://www.businessinsurance.com/axis-completes-cyber-catastrophe-bond/), Long Walk Re 2024-1, 75 milioni di dollari: indemnity per occorrenza su eventi sistemici.
[Swiss Re](https://www.artemis.bm/deal-directory/matterhorn-re-ltd-series-2023-1/), Matterhorn Re 2023-1, 50 milioni di dollari: primo con trigger industry loss, soglia di 9 miliardi di dollari di perdita del mercato USA.

Sul fronte dei prezzi, il premio richiesto dagli investitori per la novità si è in gran parte ridotto, secondo Gallagher Securities (Artemis). I multipli restano però più alti di quelli dei cat bond property, la cui media ponderata nel 2025 era 2,97 secondo AM Best.

Limiti e prospettive

Il cyber resta una nicchia del mercato cat bond. A giugno 2026 il mercato complessivo valeva 65,6 miliardi di dollari (Artemis), e il cyber ne rappresenta l'1,3%. Nelle nuove emissioni del 2026 il suo peso è sceso allo 0,19%.

Secondo S&P, nel 2026 non sono entrati nuovi sponsor, mentre AXIS e Swiss Re non hanno rinnovato le loro emissioni pubbliche (Artemis). Gli ostacoli principali sono tre:

Definizione dell'evento: stabilire quando più incidenti costituiscono un unico evento cyber è ancora oggetto di discussione.
Modellazione: la serie storica è breve e il rischio cambia rapidamente con la tecnologia e le tecniche di attacco.
Esclusioni: guerra, infrastrutture critiche e aggregazione devono essere coerenti tra polizza, trattato e bond, altrimenti si crea un rischio di base.

Le prospettive restano positive. Beazley ha annunciato che dal 2026 si muoverà anche nella cartolarizzazione dei rischi cyber con un fondo ILS dedicato (Beazley). S&P osserva che, se la capacità riassicurativa tradizionale dovesse ridursi, i cyber ILS potrebbero crescere rapidamente.

Conclusioni

I cat bond non sostituiscono la prevenzione né la riassicurazione tradizionale: si collocano all'ultimo livello della catena, dove l'evento è raro ma potenzialmente distruttivo. Nel cyber hanno già dimostrato di poter funzionare con trigger diversi e strutture sempre più evolute. La loro crescita dipenderà da tre fattori: modelli più affidabili, definizioni di evento condivise e un mercato assicurativo cyber abbastanza grande da generare una domanda stabile di capacità.

Per le imprese assicurate il messaggio è indiretto ma concreto: una catena di trasferimento del rischio più solida significa capacità assicurativa più stabile anche dopo un grande evento.