GLOSSARIO
Glossario della cyber insurance
Definizioni brevi e citabili dei concetti che orientano sottoscrizione, sinistri e normativa cyber.
Assicurabilità delle sanzioni
Possibilità di coprire con polizza sanzioni amministrative, ad esempio in materia di protezione dei dati. Dipende dal diritto applicabile e dal testo della polizza, e in alcuni ordinamenti è esclusa.
Assicurazione cyber
Polizza che trasferisce all'assicuratore, entro limiti e condizioni contrattuali, una parte delle perdite economiche causate da incidenti informatici: costi di gestione dell'evento, interruzione dell'attività, richieste di terzi e sanzioni assicurabili.
Autenticazione a più fattori (MFA)
Accesso che richiede almeno due prove di identità di tipo diverso, ad esempio password e codice generato da app. È uno dei controlli minimi richiesti dalla maggior parte degli assicuratori cyber.
Betterment
Miglioramento dei sistemi ottenuto durante il ripristino dopo un sinistro. Molte polizze indennizzano il ripristino allo stato precedente e non i costi di potenziamento.
Business Interruption (Cyber)
Copertura che indennizza la perdita di profitto operativo causata da un'interruzione dei sistemi IT a seguito di un evento cyber.
Claims-made
Formula per cui la polizza risponde alle richieste di risarcimento presentate durante il periodo di validità, purché il fatto non sia anteriore alla data di retroattività. È la formula più diffusa nelle polizze cyber di responsabilità.
Costi di gestione dell'incidente
Spese sostenute per rispondere a un evento cyber: indagine forense, consulenza legale, contenimento e ripristino, comunicazione e notifica agli interessati e alle autorità.
Cyber Aggregation
Rischio che un singolo evento, ad esempio il guasto di un fornitore cloud o una vulnerabilità software diffusa, generi perdite simultanee su molti assicurati dello stesso portafoglio.
Cyber Resilience Act (CRA)
Regolamento (UE) 2024/2847 che fissa requisiti di cybersicurezza per i prodotti con elementi digitali. Gli obblighi di segnalazione di vulnerabilità sfruttate e incidenti scattano dall'11 settembre 2026, quelli principali dall'11 dicembre 2027.
Cyber War Exclusion
Clausola che esclude dalla copertura le perdite derivanti da guerra o da operazioni cyber attribuibili a Stati. Il mercato Lloyd's ha richiesto clausole di questo tipo nelle polizze cyber stand-alone dal 31 marzo 2023.
DORA
Regolamento (UE) 2022/2554 sulla resilienza operativa digitale del settore finanziario, in applicazione dal 17 gennaio 2025: impone gestione del rischio ICT, notifica degli incidenti e controllo dei fornitori critici.
Data di retroattività
Data precedente alla quale i fatti dannosi non sono coperti da una polizza claims-made, anche se la richiesta arriva durante la validità della polizza. Un'intrusione già in corso prima di tale data può quindi restare esclusa.
Direttiva sulla responsabilità per danno da prodotti
Direttiva (UE) 2024/2853 che qualifica il software come prodotto e si applica ai prodotti immessi sul mercato dopo il 9 dicembre 2026. Il danno risarcibile esclude, tra l'altro, i beni usati solo a fini professionali e la perdita puramente economica.
EDR (Endpoint Detection and Response)
Strumento che monitora i dispositivi, rileva comportamenti anomali e permette di isolarli e analizzarli. La sua presenza è spesso valutata in fase di sottoscrizione.
Estorsione cyber
Garanzia che copre i costi legati a una minaccia di danneggiare sistemi o divulgare dati a fronte di una richiesta di denaro, compresi, dove la legge e la polizza lo consentono, consulenti di negoziazione e pagamento del riscatto.
Fornitori in panel
Studi legali, società forensi e altri professionisti pre-approvati dall'assicuratore. Molte polizze coprono i costi di risposta solo se si usano questi fornitori o se l'assicuratore autorizza altri.
Frode da social engineering
Truffa che induce una persona a eseguire un pagamento o a rivelare credenziali tramite inganno, ad esempio una falsa email del fornitore o del vertice aziendale. Spesso è coperta solo con sotto-limiti e condizioni di verifica.
Garanzie first party
Garanzie che coprono i danni subiti direttamente dall'assicurato, ad esempio costi di ripristino dei sistemi, indagini forensi, estorsione, perdita di profitto e notifica agli interessati.
Interruzione dipendente (dependent BI)
Perdita di profitto causata dall'interruzione dei sistemi di un fornitore terzo, ad esempio un provider cloud, da cui l'assicurato dipende. Può essere coperta solo per fornitori elencati o con sotto-limite.
Massimale
Importo massimo che l'assicuratore pagherà per sinistro o per periodo assicurativo. Può essere unico per tutta la polizza oppure ridotto da sotto-limiti su singole garanzie.
NIS2
Direttiva (UE) 2022/2555 che rafforza gli obblighi di gestione del rischio cyber e di notifica degli incidenti per i soggetti essenziali e importanti dell'Unione europea.
Periodo di carenza (waiting period)
Numero di ore che devono trascorrere dall'inizio di un'interruzione dei sistemi prima che la garanzia di business interruption inizi a indennizzare la perdita di profitto.
Periodo di osservazione (ERP)
Periodo successivo alla scadenza di una polizza claims-made in cui l'assicurato può ancora denunciare richieste relative a fatti avvenuti durante la copertura. Spesso richiede il pagamento di un premio aggiuntivo.
Questionario assuntivo
Modulo con cui l'assicurato descrive le proprie misure di sicurezza (MFA, backup, aggiornamenti, EDR). Le risposte determinano premio e condizioni, e dichiarazioni inesatte possono compromettere la copertura.
Ransomware
Software malevolo che cifra o blocca dati e sistemi e chiede un riscatto per ripristinarli. Spesso si accompagna alla sottrazione di dati usata come ulteriore minaccia (doppia estorsione).
Responsabilità verso terzi
Garanzia che copre le richieste di risarcimento di clienti, partner o altri soggetti danneggiati da un incidente cyber dell'assicurato, comprese le spese legali di difesa.
Rischio sistemico
Rischio che un evento colpisca contemporaneamente molti soggetti, ad esempio per un fornitore comune o una vulnerabilità diffusa. È il principale limite alla capacità degli assicuratori di offrire copertura cyber.
Ritenzione (SIR)
Importo di ogni sinistro che resta a carico dell'assicurato prima che la polizza intervenga. Nelle polizze cyber è spesso espressa come self-insured retention e può variare per singola garanzia.
Silent Cyber
Rischio cyber non esplicitamente escluso né incluso in polizze assicurative tradizionali (non cyber), che può generare esposizioni non quantificate per l'assicuratore.
Sub-limit
Massimale inferiore al limite complessivo di polizza, applicato a una specifica garanzia, ad esempio ransomware o business interruption.
Surrogazione
Diritto dell'assicuratore che ha pagato un sinistro di agire contro il responsabile del danno, ad esempio un fornitore, per recuperare quanto indennizzato.
System failure
Interruzione dei sistemi non causata da un attacco, ad esempio un errore di configurazione o un aggiornamento difettoso. Alcune polizze la includono nella business interruption, altre la escludono.