Software come prodotto dal 9 dicembre 2026: cosa cambia per l'underwriting tra PI, RC prodotti e cyber

Dal 9 dicembre 2026 il software è un prodotto per la direttiva (UE) 2024/2853. Cosa rientra nella PI, nella RC prodotti e nel cyber, dove le tre coperture si sovrappongono o lasciano vuoti, e cosa cambia nelle domande di sottoscrizione.

di cybercoverinsurance

Dal 9 dicembre 2026 il software immesso sul mercato europeo è un prodotto, e chi lo produce risponde dei danni che un difetto causa anche senza colpa. La domanda che interessa chi sottoscrive è un'altra: cambia il modo di fare underwriting? Sì, ma meno di quanto dicano i titoli e in punti diversi da quelli attesi. La direttiva non crea un rischio nuovo. Sposta una parte del rischio software dal terreno del contratto e della colpa a quello della responsabilità oggettiva verso le persone fisiche. E lo fa nella zona di confine tra tre polizze che finora si sono divise il lavoro senza parlarsi: la PI (o tech E&O), la responsabilità civile prodotti e il cyber.

L'articolo separa cosa rientra in ciascuna, dove si sovrappongono, dove lasciano un buco e cosa cambia nelle domande di sottoscrizione.

Cosa dice davvero la norma

Nel testo, "art." indica una regola vincolante della direttiva; "considerando" indica i paragrafi introduttivi che spiegano come leggere quelle regole.

La direttiva (UE) 2024/2853 si applica ai prodotti immessi sul mercato o messi in servizio dopo il 9 dicembre 2026 e include espressamente il software nella definizione di prodotto (artt. 2 e 4, EUR-Lex). Secondo la direttiva non conta come il software è fornito: installato sul dispositivo, raggiungibile in rete o in cloud, o in modalità software-as-a-service. Resta escluso il software libero e open source sviluppato o fornito fuori da un'attività commerciale (art. 2).

Cinque elementi contano per chi sottoscrive.

Chi può chiedere il risarcimento. Solo le persone fisiche, cioè i privati (art. 5). Un'azienda danneggiata non può usare questa direttiva: per lei valgono il contratto e le regole ordinarie.
Quali danni. La direttiva ammette solo tre tipi di danno (art. 6): la morte o le lesioni, compresi i danni psicologici accertati da un medico; i danni a beni personali, esclusi il prodotto difettoso stesso e i beni usati solo per lavoro; la cancellazione o il danneggiamento di dati non usati per lavoro, per esempio file personali cancellati da un computer. Chi perde solo denaro, per esempio perché un'attività resta ferma, non può chiedere il risarcimento con queste regole (considerando 24). E un dato cancellato o rovinato è cosa diversa da un dato personale rubato o diffuso: quel caso resta regolato dal GDPR (considerando 20).
Cosa rende difettoso un prodotto. Tra i fattori ci sono i requisiti di cybersicurezza rilevanti per la sicurezza e la capacità del prodotto di continuare ad apprendere (art. 7).
Il dopo-vendita. La difesa basata sul fatto che il difetto non esisteva al momento dell'immissione sul mercato non vale se il difetto dipende dal software, dai suoi aggiornamenti o dalla mancanza di aggiornamenti necessari alla sicurezza, quando sono sotto il controllo del produttore (art. 11, par. 2).
La prova e il terzo. Il giudice può ordinare l'esibizione di prove (art. 9) e difetto e nesso causale possono essere presunti (art. 10). Se al danno contribuisce anche qualcun altro, verso il danneggiato la responsabilità del produttore non si riduce (art. 13). L'esempio è quello di un attaccante che sfrutta una falla del software: il produttore non può scaricare su di lui la responsabilità (considerando 55). Il risarcimento può invece ridursi se il danneggiato ha una colpa, per esempio perché non ha installato un aggiornamento di sicurezza.

Chi risponde è una catena: produttore, produttore del componente difettoso, importatore, rappresentante autorizzato, fornitore di servizi logistici, e in certi casi distributori e piattaforme online; chi modifica in modo sostanziale un prodotto fuori dal controllo del produttore diventa produttore (art. 8). Più soggetti rispondono in solido (art. 12) e la responsabilità verso il danneggiato non si può limitare per contratto (art. 15). Il danneggiato ha tre anni per agire da quando scopre il danno, il difetto e chi ne risponde (art. 16). In ogni caso il diritto si perde dieci anni dopo l'immissione del prodotto sul mercato; il termine sale a venticinque anni per le lesioni che si manifestano solo dopo molto tempo (considerando 57).

In Italia il Consiglio dei Ministri ha approvato in via definitiva il 28 ottobre 2026 il decreto legislativo di recepimento, che modifica il Codice del consumo ed elimina la franchigia di 387 euro sui danni a cose (eDotto).

Cosa resta fuori

Prima di parlare di polizze conviene dire cosa la direttiva non tocca, perché è la parte che ridimensiona molte letture allarmistiche.

Il fermo di un'azienda per un aggiornamento difettoso del fornitore non è un danno risarcibile ai sensi della direttiva: è perdita economica di un soggetto professionale. Lo stesso vale per i dati aziendali corrotti. Questi casi restano dove erano: contratto, responsabilità ordinaria, e quindi PI o tech E&O del fornitore e cyber dell'assicurato. Restano fuori anche i prodotti immessi sul mercato prima del 9 dicembre 2026, che continuano a seguire la vecchia disciplina.

La direttiva pesa dove il software tocca persone e beni di consumo: dispositivi medici connessi, auto e mobilità, domotica e impianti, elettrodomestici, wearable, app che gestiscono funzioni di sicurezza o dati personali non professionali.

Tre polizze, tre logiche

La responsabilità civile prodotti nasce per danni a persone e cose causati da un prodotto. È la polizza che la direttiva chiama in causa per prima. Il problema è che molti produttori di software non la comprano, perché si considerano fornitori di servizi, e molte wording descrivono il prodotto assicurato in termini di beni fisici. Covington e Airmic raccomandano di allargare la definizione di prodotto a software, aggiornamenti e componenti, e di rileggere le definizioni di danno (Covington, Airmic). La terza voce di danno, i dati non professionali, è la più scomoda per questa polizza: occorre verificare se la wording RC tratta i dati come bene materiale o li esclude, e Reed Smith prevede che gli assicuratori rivedranno le definizioni di danno a cose e di danno ai dati.

La PI o tech E&O nasce per la perdita economica causata da un errore nella prestazione professionale. Copre bene il cliente B2B che subisce un fermo, cioè proprio la parte che la direttiva lascia fuori. Spesso però esclude o limita lesioni e danni a cose, che sono il cuore della direttiva. Covington suggerisce che la definizione di danno vada estesa a lesioni, danni materiali e danno psicologico riconosciuto, e che la definizione di servizi professionali sia allineata al concetto di prodotto della direttiva.

Il cyber nasce per l'incidente informatico dell'assicurato: costi di risposta, interruzione, ripristino dei dati propri, responsabilità per violazione di dati e sicurezza della rete. Di norma esclude lesioni e danni materiali. Covington e Airmic indicano cyber e tech E&O come le coperture più adatte al software difettoso, ma avvertono che il rischio della direttiva può non entrare in modo pulito nelle wording cyber e che possono comparire sottolimiti ed esclusioni dedicate.

In sintesi: la direttiva produce danni da RC prodotti (persone e cose), causati spesso da eventi tipici del cyber (vulnerabilità, aggiornamenti), a carico di soggetti che comprano soprattutto PI. Nessuna delle tre polizze è stata scritta per questo incrocio.

Le sovrapposizioni, una per una

1. Lesione causata da una vulnerabilità sfruttata. È il caso più netto. Un dispositivo connesso viene compromesso e una persona si fa male. Per la direttiva il produttore risponde e l'intervento dell'attaccante non riduce la responsabilità (art. 13). La RC prodotti è la polizza naturale per la lesione, ma può contenere esclusioni per atti informatici malevoli. Il cyber conosce l'evento ma esclude la lesione. La PI può escludere entrambi. Il risultato possibile non è una sovrapposizione ma un vuoto, ed è la forma più concreta di silent cyber al contrario: un rischio cyber che nessuna polizza intende coprire.

2. Aggiornamento mancato. La direttiva tratta la mancanza di un aggiornamento di sicurezza come fonte di difetto (art. 11). Per la PI è un'omissione nella prestazione, per la RC prodotti è un prodotto difettoso. Le due polizze hanno trigger diversi: la RC prodotti spesso lavora per evento o manifestazione del danno, cyber e tech E&O sono di norma claims made con data di retroattività (Reed Smith). Con una decadenza fino a venticinque anni, lo stesso difetto può attivare due polizze in anni diversi, oppure nessuna se la retroattività o la postuma non arrivano abbastanza lontano.

3. Dati del consumatore corrotti. Un aggiornamento difettoso cancella i dati personali non professionali di molti utenti. Per la direttiva è danno risarcibile. La RC prodotti può non considerarlo danno a cose. Il cyber copre la responsabilità verso terzi se c'è un incidente di sicurezza, ma un errore di programmazione senza attacco può non farlo scattare. La tech E&O risponde all'errore, ma può escludere i danni a terzi che non sono clienti. Qui il rischio è doppio: buco se nessuna wording riconosce il dato come danno, sovrapposizione se due polizze lo riconoscono e si contendono il sinistro con le clausole di altra assicurazione.

4. La catena dei regressi. Il produttore del dispositivo paga il consumatore con la propria RC prodotti, poi si rivale sul fornitore del software. Per il fornitore quel regresso arriva come richiesta contrattuale di un cliente professionale: è perdita economica, quindi territorio della PI. Lo stesso difetto produce così due sinistri su due polizze di due assicurati diversi, e magari presso lo stesso assicuratore. La direttiva aggiunge un dettaglio: il produttore che integra il software di una micro o piccola impresa non ha regresso se vi ha rinunciato per contratto (art. 12, par. 2). Per chi sottoscrive la PI del piccolo fornitore le clausole di manleva e rinuncia nei contratti con i clienti diventano un dato di rischio, e per chi sottoscrive la RC prodotti del cliente la rinuncia toglie una fonte di recupero.

5. Spese di difesa. Presunzioni ed esibizione delle prove aumentano costi e durata delle cause. Covington e Reed Smith raccomandano di rivedere i limiti delle spese di difesa. Se tre polizze possono essere chiamate in causa, conta chi gestisce la difesa e come si ripartiscono i costi: in assenza di regole chiare, il rischio è una lite tra assicuratori mentre l'assicurato aspetta.

6. Aggregazione. Un aggiornamento difettoso distribuito su migliaia di dispositivi è, per la RC prodotti, un possibile danno in serie; per la tech E&O una serie di richieste collegate; per il cyber un evento sistemico. Ogni polizza ha la propria definizione di sinistro unico. Le stesse migliaia di danneggiati possono valere un massimale in una polizza e molti massimali in un'altra. Per l'assicuratore che scrive più linee sullo stesso cliente, questo è accumulo non misurato.

Cosa cambia nell'underwriting

La domanda "prodotto o servizio" perde valore. Finora la distinzione decideva quale polizza proporre. Per la direttiva questa distinzione non conta più: anche il software venduto come servizio in abbonamento è un prodotto (considerando 13). Il sottoscrittore deve chiedere invece che cosa fa il software, su quali dispositivi gira e se può causare danni a persone, cose o dati di consumatori.

La base di esposizione cambia. Il fatturato misura male questo rischio. Contano di più la base installata, il numero di dispositivi connessi, la presenza di funzioni rilevanti per la sicurezza e la durata del supporto. Un software con pochi ricavi installato su milioni di dispositivi pesa più di un gestionale molto venduto ma usato solo da aziende.

Il ciclo di vita entra nel questionario. Se l'aggiornamento mancato è un difetto, la politica di aggiornamento è un dato di sottoscrizione: per quanti anni si garantiscono patch di sicurezza, in quanto tempo si correggono le vulnerabilità note, come si documenta che l'utente le ha ricevute. Il Cyber Resilience Act andrà nella stessa direzione e i suoi requisiti obbligatori, se violati, possono far presumere il difetto (art. 10).

La coda si allunga. Con dieci e venticinque anni di decadenza, retroattività e postume diventano clausole centrali per chi vende tech E&O e cyber a produttori di dispositivi e software.

Il programma va letto insieme. Marsh osserva che il software come prodotto potrebbe portare a unire parti di tech PI, RC prodotti e cyber (Marsh). Che si arrivi a una polizza combinata o no, il sottoscrittore deve vedere le tre wording dell'assicurato e sapere quale risponde a quale scenario.

Cosa portare nei rinnovi

Il software o i servizi dell'assicurato possono causare lesioni, danni a beni di consumatori o perdita di dati non professionali? Su quali prodotti e con quale base installata?
La descrizione del rischio nella RC prodotti include software, aggiornamenti e servizi digitali collegati, anche forniti in cloud?
La tech E&O esclude lesioni e danni a cose? Se sì, quale polizza copre lo scenario della lesione causata da un difetto software?
La RC prodotti contiene esclusioni per atti informatici malevoli o per dati? Il cyber esclude lesioni e danni materiali? Lo scenario della vulnerabilità sfruttata che ferisce qualcuno è coperto da qualche parte?
Per quanti anni l'assicurato garantisce aggiornamenti di sicurezza, e in quanto tempo corregge le vulnerabilità note?
Quali contratti con i clienti contengono rinunce al regresso o manleve, e con quali massimali?

Sul lato portafoglio, la domanda è di accumulo tra linee. Quanti assicurati, in RC prodotti, tech E&O e cyber, dipendono dallo stesso componente software o dallo stesso fornitore di aggiornamenti? Un difetto in quel componente non produce un sinistro: ne produce uno per ogni linea e per ogni anello della catena.

Questo articolo ha scopo informativo e non è consulenza legale né assicurativa.