- La Direttiva NIS2, recepita in Italia dal D.Lgs. 138/2024, rafforza gli obblighi di cybersicurezza per soggetti essenziali e importanti, con attenzione anche alla sicurezza della catena di fornitura.
- Molte PMI fornitrici possono non essere direttamente soggette alla NIS2, ma ricevere richieste contrattuali da clienti obbligati: standard minimi, audit, procedure di incident reporting e continuità operativa.
- Una polizza cyber non sostituisce gli adempimenti tecnici e organizzativi, ma può fornire pronto intervento, supporto specialistico e coperture per costi e responsabilità derivanti da un incidente informatico.
Cyber risk e NIS2: il rischio non si ferma alla grande impresa
La cybersicurezza non riguarda più soltanto banche, grandi gruppi industriali o infrastrutture critiche. Una PMI che gestisce software, manutenzione IT, logistica, componenti, servizi amministrativi, consulenza tecnica o assistenza post-vendita può diventare il punto di ingresso di un attacco verso clienti più grandi.
È uno dei motivi per cui la Direttiva (UE) 2022/2555, nota come NIS2, ha introdotto un approccio più strutturato alla gestione del rischio informatico. In Italia la disciplina è stata recepita dal D.Lgs. 138/2024. Il perimetro diretto riguarda i soggetti essenziali e importanti nei settori individuati dalla norma, secondo criteri e procedure da verificare caso per caso. Tuttavia, il tema centrale per molte PMI è un altro: gli obblighi di sicurezza tendono a propagarsi nella supply chain.
In concreto, un’impresa cliente soggetta alla NIS2 deve presidiare anche i rischi collegati ai propri fornitori. Di conseguenza può chiedere alla PMI fornitrice requisiti più stringenti, clausole contrattuali specifiche, evidenze documentali e tempi rapidi di comunicazione in caso di incidente.
Gli obblighi “a catena” nella supply chain
La NIS2 richiede misure tecniche, operative e organizzative proporzionate al rischio. Tra i temi espressamente rilevanti rientra la sicurezza della catena di approvvigionamento, compresi i rapporti con fornitori e prestatori di servizi.
Questo significa che una PMI, anche quando non rientra direttamente tra i soggetti obbligati, può essere coinvolta attraverso il contratto. Il cliente può pretendere condizioni minime per continuare o avviare la collaborazione.
Che cosa può chiedere il cliente alla PMI fornitrice
Le richieste variano per settore, ruolo del fornitore e criticità del servizio. In termini pratici, possono includere:
- adozione di procedure di gestione degli incidenti informatici;
- obbligo di comunicare tempestivamente eventi che possano impattare il cliente;
- controlli su accessi, autenticazione, password e privilegi amministrativi;
- backup periodici e piani di ripristino verificati;
- protezione degli endpoint e aggiornamento dei sistemi;
- valutazioni di sicurezza sui subfornitori rilevanti;
- diritti di audit o questionari di autovalutazione;
- obblighi di riservatezza e gestione sicura dei dati;
- coperture assicurative cyber con massimali coerenti con il rischio contrattuale.
Non si tratta di formalità. Una clausola di notifica rapida, ad esempio, può incidere molto sulla gestione dell’incidente: se il fornitore scopre un’intrusione ma non avvisa il cliente, quest’ultimo può perdere tempo prezioso per contenere il danno sulla propria rete o sui propri dati.
Perché la polizza cyber diventa rilevante per le PMI
Per una PMI, il rischio cyber ha due dimensioni. La prima è interna: blocco dei sistemi, perdita di dati, interruzione dell’attività, costi di ripristino, gestione della comunicazione. La seconda è esterna: responsabilità verso clienti, fornitori, interessati al trattamento dei dati personali o altri soggetti danneggiati.
La polizza cyber serve proprio a gestire queste conseguenze, nei limiti, condizioni, esclusioni e massimali previsti dal contratto. Non è una garanzia di immunità e non sostituisce firewall, backup, formazione del personale o compliance normativa. È però uno strumento finanziario e operativo che può fare la differenza nelle prime ore dell’emergenza.
Il pronto intervento: il valore delle prime ore
Molte polizze cyber prevedono un servizio di pronto intervento, spesso attivabile tramite una centrale operativa o un numero dedicato. È un aspetto essenziale, perché durante un attacco l’impresa non sempre sa a chi rivolgersi: tecnico informatico interno, consulente esterno, legale privacy, cliente, autorità, commercialista, società di comunicazione.
Il pronto intervento può includere, secondo quanto previsto dalla polizza:
- supporto di specialisti informatici per contenere l’incidente;
- analisi forense per capire origine, estensione e impatto dell’attacco;
- assistenza legale per valutare obblighi contrattuali e normativi;
- supporto nella gestione di eventuali violazioni di dati personali;
- coordinamento delle attività di ripristino dei sistemi;
- consulenza per comunicazioni a clienti, controparti e stakeholder.
La rapidità non elimina il danno, ma può ridurne l’estensione. Soprattutto in una relazione di fornitura, poter dimostrare un processo strutturato di gestione dell’incidente può aiutare a mantenere il rapporto con il cliente e a rispettare le clausole contrattuali.
Cosa copre una polizza cyber
Le coperture cambiano da compagnia a compagnia e devono essere lette con attenzione. In generale, una polizza cyber per PMI può comprendere diverse aree di protezione.
Danni e costi propri dell’impresa
Rientrano spesso tra le garanzie, se previste:
- costi di investigazione informatica e analisi forense;
- ripristino di dati, sistemi e programmi danneggiati;
- spese per consulenti tecnici e legali;
- costi di notifica e assistenza in caso di data breach;
- perdita di margine o maggiori costi da interruzione dell’attività, se inclusi;
- gestione della crisi reputazionale e comunicazione, quando prevista;
- assistenza in caso di estorsione informatica, nei limiti di legge e di polizza.
È importante verificare franchigie, scoperti, sottolimiti, periodi di indennizzo, esclusioni e requisiti minimi di sicurezza richiesti dalla compagnia. Alcune coperture possono essere subordinate alla presenza di backup, autenticazione multifattore, aggiornamenti regolari o altre misure.
Responsabilità verso terzi
La componente di responsabilità civile può intervenire quando un terzo contesta un danno derivante da un incidente informatico imputabile all’assicurato. Per una PMI fornitrice, questo punto è cruciale: un malware partito da un account compromesso, un accesso non autorizzato a un ambiente condiviso o la perdita di dati del cliente possono generare richieste di risarcimento o contestazioni contrattuali.
Anche in questo caso non bisogna dare nulla per scontato. Le responsabilità contrattuali, le penali, le violazioni di accordi di servizio e le sanzioni amministrative hanno trattamenti diversi a seconda del testo di polizza e della normativa applicabile. Prima della firma è opportuno confrontare il wording con i contratti principali dell’impresa.
Esempi realistici: tre situazioni tipiche per una PMI fornitrice
1. Fornitore IT con credenziali compromesse
Una piccola società che gestisce manutenzione software accede da remoto agli ambienti di alcuni clienti. Un account tecnico viene compromesso tramite phishing. L’attaccante prova a utilizzare quell’accesso per muoversi verso i sistemi del cliente.
In uno scenario simile servono intervento tecnico immediato, revoca delle credenziali, analisi dei log, comunicazione al cliente e valutazione legale degli obblighi di notifica. Una polizza cyber adeguata può mettere a disposizione professionisti specializzati e coprire alcuni costi di gestione, secondo condizioni e limiti previsti.
2. Azienda manifatturiera bloccata da ransomware
Una PMI produce componenti per un cliente industriale. Un attacco ransomware blocca gestionale, documenti di produzione e posta elettronica. L’impresa non riesce a confermare ordini, spedizioni e avanzamento lavorazioni.
Il problema non è soltanto tecnico. Il cliente può chiedere informazioni sui tempi di ripristino e sull’impatto sulla fornitura. Se esistono clausole di continuità o livelli di servizio, il fermo può avere conseguenze contrattuali. La polizza può contribuire ai costi di forensic, ripristino e interruzione di attività, se tali garanzie sono state acquistate.
3. Consulente amministrativo vittima di frode via email
Uno studio che lavora per diverse imprese riceve una comunicazione apparentemente proveniente da un cliente e modifica coordinate di pagamento o invia documenti riservati a un indirizzo fraudolento. L’errore nasce da una combinazione di social engineering e casella email compromessa.
In questi casi occorre distinguere tra frode informatica, responsabilità professionale, tutela dei dati e possibili obblighi verso il cliente. Non tutte le polizze cyber coprono allo stesso modo le frodi da pagamento o il social engineering: il tema va analizzato prima, non dopo il sinistro.
Assicurazione cyber e compliance NIS2: due piani diversi ma collegati
Assicurarsi non significa essere automaticamente conformi alla NIS2. La compliance riguarda governance, processi, misure tecniche, gestione dei rischi, formazione, continuità operativa e rapporti con la supply chain. L’assicurazione interviene sul piano della gestione economica e operativa del sinistro.
Tuttavia, i due piani sono collegati. Per ottenere una copertura cyber, l’impresa deve spesso descrivere il proprio livello di sicurezza: backup, aggiornamenti, protezione email, gestione accessi, procedure interne, eventuali incidenti precedenti. Questo percorso può far emergere lacune da correggere e aiutare la PMI a presentarsi meglio nei questionari dei clienti.
Una valutazione assicurativa ben fatta dovrebbe partire da alcune domande semplici: quali dati trattiamo? Da quali sistemi dipende la continuità aziendale? Abbiamo accessi ai sistemi dei clienti? Quali obblighi abbiamo firmato nei contratti? In quanto tempo possiamo ripartire dopo un blocco? Chi decide cosa comunicare e a chi?
Come prepararsi prima di chiedere una polizza cyber
Prima di richiedere un preventivo, è utile raccogliere informazioni essenziali. Non serve trasformare la PMI in una grande struttura IT, ma occorre conoscere il proprio profilo di rischio.
- Elenco dei principali sistemi informatici e fornitori tecnologici.
- Tipologia di dati trattati, inclusi eventuali dati personali o informazioni riservate dei clienti.
- Presenza di backup, frequenza e test di ripristino.
- Uso dell’autenticazione multifattore per email, VPN, cloud e accessi amministrativi.
- Contratti con clienti che contengono clausole cyber, NIS2, audit, continuità o penali.
- Procedure interne per segnalare email sospette e incidenti.
- Eventuali certificazioni, policy o assessment già disponibili.
Questi elementi consentono di impostare una copertura più coerente e di evitare equivoci su garanzie, esclusioni e requisiti di sicurezza. È consigliabile verificare sempre il testo aggiornato della normativa e le richieste specifiche del cliente, perché gli adempimenti possono variare in base al settore, alla dimensione e al ruolo svolto nella filiera.
Un tema strategico per continuità e contratti
Per molte PMI fornitrici, il cyber risk non è più soltanto un problema informatico: è un requisito di accesso al mercato. Un cliente soggetto a obblighi NIS2 può chiedere maggiore affidabilità digitale ai propri partner. Chi non è preparato rischia ritardi nelle gare, difficoltà nel rinnovo dei contratti o contestazioni in caso di incidente.
ASSI-ONE, divisione assicurativa di Credit-One S.p.A., opera con broker partner per analizzare i rischi e individuare soluzioni assicurative coerenti con il profilo dell’impresa. È possibile richiedere un’analisi o un preventivo gratuito per valutare una polizza cyber adeguata ai contratti, alla supply chain e alle esigenze operative della PMI.
Domande frequenti
La NIS2 si applica automaticamente a tutte le PMI?
No. L’applicazione diretta dipende da settore, dimensioni, attività svolta e criteri previsti dalla normativa. Tuttavia molte PMI possono essere coinvolte indirettamente tramite richieste contrattuali dei clienti soggetti alla NIS2.
Una polizza cyber rende l’azienda conforme alla NIS2?
No. La polizza cyber non sostituisce misure tecniche, organizzative e procedure di compliance. Può però supportare l’impresa nella gestione economica e operativa di un incidente informatico.
Cosa significa pronto intervento cyber?
È un servizio previsto da molte polizze che consente di attivare specialisti informatici, legali e consulenti per contenere l’incidente, analizzarne le cause, ripristinare i sistemi e gestire le comunicazioni necessarie.
Le frodi via email sono sempre coperte dalla polizza cyber?
Non sempre. Frodi da pagamento, social engineering e compromissione della posta elettronica possono essere coperte, escluse o soggette a sottolimiti. Occorre verificare attentamente il testo di polizza.
