Ti serve un'assicurazione cyber per la tua PMI? Quanto costa davvero, e quando è soldi buttati

Un'azienda di trasporti con dodici dipendenti a Verona ha ricevuto una mail che sembrava del commercialista, con un allegato Excel. L'ha aperta la segretaria. In quattro ore tutti i file del server erano cifrati, con una richiesta di riscatto da 30.000€. L'azienda non ha pagato: ha ricostruito da un backup vecchio di tre settimane, perdendo ordini e fatture recenti. Il danno vero non è stato il riscatto, che non hanno pagato, ma i dieci giorni di fermo per rimettere in piedi i sistemi: stimabili, tra ore di lavoro e clienti persi, in diverse migliaia di euro.

Questo è lo scenario per cui esiste l'assicurazione cyber: non copre solo il danno "informatico", copre il fermo attività, la consulenza per gestire l'emergenza, a volte anche le spese legali se un cliente ti fa causa perché i suoi dati sono finiti online.

Cosa copre davvero (e cosa no)

Business interruption: il mancato guadagno nei giorni in cui l'azienda non può lavorare per l'attacco
Costi di ripristino: tecnici, consulenti forensi, a volte il riscatto stesso (anche se molte polizze italiane oggi lo escludono o lo limitano)
Responsabilità verso terzi: se un cliente o un fornitore ti fa causa per la fuga dei suoi dati
Consulenza legale e di comunicazione: gestire la notifica al Garante Privacy e, se serve, ai clienti coinvolti

Quello che quasi nessuna polizza copre: la negligenza grave (per esempio se non hai mai aggiornato un software con una falla nota da anni) e i danni di reputazione che non si traducono in una perdita economica misurabile.

Quanto costa, con numeri reali

Per una PMI italiana con meno di 50 dipendenti e un fatturato sotto i 5 milioni, i premi annui che si vedono sul mercato vanno di solito da 800 a 3.000€ l'anno per un massimale tra 250.000€ e 1 milione di euro di copertura. Sono numeri indicativi, non un preventivo: cambiano parecchio in base al settore (uno studio medico che tratta dati sanitari paga di più di un negozio di ferramenta), a quanti dati sensibili gestisci, e a cosa hai già fatto per proteggerti — un antivirus aggiornato e un backup funzionante possono abbassare il premio in modo sensibile.

Quando conviene, e quando è uno spreco

Conviene se gestisci dati di clienti online (un e-commerce, un gestionale cloud, un CRM), se un giorno di fermo ti costa più di qualche centinaio di euro, o se un cliente importante te la chiede come requisito contrattuale — succede sempre più spesso nelle filiere che lavorano con aziende più grandi o con la pubblica amministrazione.

È probabilmente uno spreco se lavori quasi solo offline, non tieni dati sensibili di clienti in digitale, e il tuo "sistema informatico" è un pc e una stampante: in quel caso il rischio è basso e il premio, anche se contenuto, non ha nulla da coprire davvero. In questi casi conviene spendere prima in un backup fatto bene — che costa meno di una polizza e riduce il rischio alla radice — e riparlarne quando l'azienda cresce.