Quando l'assicuratore le ha rispedito il contratto di assicurazione cyber da rinnovare, la Dr.ssa Anne P. si aspettava una semplice firma. Ha trovato invece un questionario di sicurezza: l'autenticazione a due fattori è attiva sulle caselle di posta dello studio? I backup della cartella clinica vengono testati? Alla reception, Lucie F. ha ammesso che nessuno aveva mai verificato. Resta una domanda scomoda: il giorno di un incidente, l'assicurazione pagherebbe davvero?
Cosa copre davvero l'assicurazione cyber (e cosa lascia fuori)
Un'assicurazione cyber è un contratto che trasferisce a un assicuratore una parte del costo finanziario di un incidente informatico — un attacco, una fuga di dati, un blocco provocato da un aggressore. Non sostituisce la sicurezza: attutisce il colpo quando, nonostante tutto, qualcosa passa.
In concreto, una buona polizza copre di solito tre famiglie di spese. Prima, la gestione della crisi: far intervenire in fretta degli specialisti per capire l'attacco, ripulire i sistemi e recuperare i dati. Per uno studio medico può voler dire ripristinare l'accesso alla cartella clinica dopo un attacco ransomware — un software malevolo che cifra i vostri file e chiede un riscatto per renderli di nuovo leggibili. Seconda, la perdita d'esercizio: il fatturato perso mentre lo studio lavora a rilento, con agende e fatturazione ferme. Terza, le spese accessorie: notifica alle persone interessate, consulenza legale, comunicazione e talvolta l'accompagnamento di una richiesta di un paziente o di un'autorità.
Una voce spesso sottovalutata merita attenzione: le conseguenze indirette. Una fuga di dati sanitari non è solo una fattura di riparazione — è fiducia incrinata, pazienti che esitano, una reputazione da ricostruire. Alcune polizze coprono una parte di questi effetti (spese di comunicazione, accompagnamento), altre no. È un punto da chiarire prima di firmare, perché non esistono due contratti uguali: quanto segue descrive tendenze di mercato, non la vostra polizza specifica. Per una decisione vincolante, il vostro broker o il vostro assicuratore resta l'interlocutore giusto.
Ma un contratto si legge soprattutto al contrario, dalle sue esclusioni — le situazioni in cui l'assicuratore non paga. Quattro tornano quasi sempre. L'atto intenzionale di un collaboratore, un sabotaggio deliberato, non è coperto. Nemmeno un'infrastruttura obsoleta lasciata senza aggiornamenti: se una falla nota da mesi non è mai stata corretta, l'assicuratore può concludere che il rischio non era sotto controllo. Gli atti di guerra e gli attacchi attribuiti a uno Stato sono esclusi per principio. E soprattutto — è il punto cieco delle PMI — il mancato rispetto dei vostri stessi impegni di sicurezza.
Perché un'assicurazione cyber non è quasi mai incondizionata. Il più delle volte è subordinata a un'igiene minima: al momento della sottoscrizione dichiarate una serie di misure come presenti. Se, il giorno dell'incidente, quelle misure non esistevano davvero, l'indennizzo può essere ridotto o persino rifiutato. È esattamente ciò che verifica il questionario ricevuto dalla Dr.ssa Anne P.: l'assicuratore non vende una rete di sicurezza cieca, controlla che abbiate teso la vostra.
Aggiungete i numeri che si dimentica di leggere. Prima il massimale: l'importo massimo che l'assicuratore rimborserà. Poi la franchigia: la quota che resta a vostro carico a ogni sinistro. A volte un periodo di carenza prima che la copertura si attivi. Una polizza con un massimale di qualche decina di migliaia di franchi non coprirà il fermo di più settimane di uno studio associato.
La differenza si gioca al momento del sinistro. Prendete due strutture sanitarie colpite dallo stesso ransomware un lunedì. La prima aveva dichiarato l'autenticazione a due fattori e backup testati — e li aveva davvero: il suo assicuratore copre l'intervento d'urgenza, le giornate di attività perse e le spese legali, e lo studio riparte con fiducia. La seconda aveva spuntato le stesse caselle sulla carta, ma l'autenticazione era attiva solo su una parte degli account e l'ultimo backup era vecchio di mesi e mai testato. Il risultato: un indennizzo ridotto, discussioni faticose e una fattura in gran parte a suo carico. Stesso contratto, stesso sinistro — due esiti opposti, decisi molto prima dell'attacco.
Cosa ricordare
Tre idee bastano a cambiare lo sguardo sul tema.
L'assicurazione cyber è un ammortizzatore, non uno scudo. Interviene dopo l'incidente per limitare il danno finanziario; non impedisce l'attacco e non sostituisce alcuna misura di protezione. Presentarla ai soci come «siamo coperti, quindi è tutto risolto» è il modo più sicuro di sbagliarsi.
Va meritata. La maggior parte dei contratti richiede una base di igiene cyber — autenticazione a due fattori, backup testati, sistemi aggiornati, gestione degli accessi — e può rifiutare di pagare se quella base non c'era. In altre parole, le azioni che vi rendono assicurabili sono esattamente quelle che riducono il rischio: non lavorate mai per niente.
Il contratto vive nei dettagli. Massimali, franchigie, esclusioni, obblighi dichiarati: sono quelle righe, non l'argomentario commerciale, a decidere cosa riceverete davvero. In Svizzera, un incidente che riguarda dati sanitari rientra anche nella nLPD, la legge federale sulla protezione dei dati, che impone al titolare del trattamento — qui lo studio — misure «adeguate» e la notifica di certe violazioni all'autorità. Nessuna assicurazione vi solleva da questa responsabilità.
Le azioni da attivare questa settimana
Non servono budget né un informatico per procedere. Tre azioni concrete, alla portata della Dr.ssa Anne P. e di Lucie F.
1. Tirare fuori il contratto e leggere le esclusioni
Aprite la polizza — o chiedetela al vostro broker — e individuate tre cose: il massimale, la franchigia e l'elenco delle esclusioni e delle condizioni. Annotate le frasi che iniziano con «a condizione che» o «fatto salvo che»: sono i vostri obblighi. Se una clausola richiede l'autenticazione a due fattori o dei backup, vi vincola. Un broker non è lì solo per vendere: può spiegarvi, senza gergo, cosa avete davvero firmato.
2. Spuntare i prerequisiti di base
Usate il questionario dell'assicuratore come una lista di controllo. Attivate l'autenticazione a due fattori (MFA) sulle caselle di posta e sull'accesso alla cartella clinica: oltre alla password, una seconda prova, per esempio un codice sul telefono. Verificate che esista un backup recente e che qualcuno sappia ripristinarlo — un backup mai testato è un backup che si spera soltanto. Installate gli aggiornamenti in sospeso sui computer della reception. Queste tre azioni coprono l'essenziale di ciò che l'assicuratore guarda.
3. Tenere traccia
Il giorno di un sinistro, l'assicuratore chiederà delle prove: chi aveva accesso a cosa, quando il backup è stato testato, quando una certa correzione è stata applicata. Aprite un semplice documento condiviso e annotatevi, man mano, le misure in atto e le loro date. Questa memoria scritta vale oro al momento di una richiesta di indennizzo — e rassicura anche un paziente o un'autorità che ponesse domande.
A che punto siete davvero?
Un'assicurazione cyber non si decide nel vuoto: la si negozia tanto meglio quanto più si conosce la propria posizione. Sapere dove il vostro studio è solido e dove si regge sulla fiducia è proprio ciò che vi permette di rispondere onestamente al questionario dell'assicuratore — e di ottenere una copertura migliore, al prezzo giusto.
È qui che entra in gioco l'autovalutazione Cyber Passport. Non certifica nulla e non vende alcuna polizza: domanda dopo domanda, vi mostra lo stato reale delle vostre misure rispetto alle buone pratiche riconosciute e alle attese della nLPD. Quanto basta per affrontare il vostro prossimo rinnovo di assicurazione cyber a occhi aperti, senza brutte sorprese il giorno in cui conta.
