Il presente contributo esamina il rapporto tra i contratti di assicurazione cyber e gli obblighi di gestione del rischio posti dalla Direttiva NIS 2, con particolare riferimento alla copertura dei rischi di responsabilità civile e ai requisiti di idoneità dei programmi assicurativi rispetto alla dimostrazione di misure di sicurezza appropriate ai sensi dell’articolo 21, comma 2, lettera (d); la conclusione pratica evidenzia che l’assicurazione cyber non costituisce una misura di sicurezza sostitutiva ma strumentale, essendo condizionata alla preesistenza di controlli tecnici e organizzativi conformi agli standard ISO/IEC 27001:2022 e alle linee guida ENISA, e richiede un allineamento tra le clausole contrattuali delle polizze e le procedure di incident response e reporting previste dagli articoli 23 e 24 NIS 2.
La Direttiva (UE) 2022/2555, nota come NIS 2, impone agli operatori di servizi essenziali (OSE) e ai fornitori di servizi digitali (FSD) un quadro obbligatorio di gestione dei rischi informatici, articolato attraverso l’articolo 21, il quale al comma 2, lettera (d), richiede espressamente l’adozione di misure di sicurezza che includono, tra gli altri strumenti, “politiche e procedure relative alla valutazione dei rischi informatici, alla gestione dei rischi, alla sicurezza dei sistemi e all’architettura dei sistemi di informazione”.
In questa prospettiva, la copertura assicurativa dei rischi cyber emerge non come un adempimento autonomo bensì come uno strumento di mitigazione del rischio residuo, subordinato alla dimostrazione che l’ente assicurato abbia implementato un sistema di gestione della sicurezza delle informazioni (ISMS) conforme agli standard riconosciuti e alle determinazioni dell’Autorità per la Cybersicurezza Nazionale (ACN).
La lettera (d) dell’art. 21 NIS 2, infatti, si colloca in un contesto più ampio che include misure tecniche e organizzative quali la gestione delle vulnerabilità, la protezione delle reti e dei sistemi, e la continuità operativa, sicché l’assicurazione non può essere invocata come alternativa all’implementazione di tali controlli ma come componente di un framework integrato di risk transfer.
La Determinazione ACN 164179/2025, concernente le misure specifiche di cui all’art. 21 NIS 2, riconosce implicitamente la rilevanza della copertura assicurativa nell’ambito della gestione dei rischi economici derivanti da incidenti di sicurezza, pur subordinando la validità alla documentazione delle misure preventive adottate.
Inoltre, le Linee guida ENISA 2024 sulle attività di risk management per operatori NIS 2 indicano il risk transfer, inclusa l’assicurazione, come una delle quattro strategie fondamentali di trattamento del rischio, accanto all’avoidance, alla mitigation e all’acceptance, sottolineando tuttavia che il risk transfer richiede una valutazione preliminare della maturità del sistema di gestione dei rischi.
Il Regolamento (UE) 2016/679 (GDPR), pur non imponendo espressamente l’assicurazione cyber, rafforza la rilevanza della copertura assicurativa attraverso l’art. 32, commi 1 e 2, che impone misure tecniche e organizzative adeguate al rischio, e l’art. 33, che prescrive la notifica delle violazioni di dati personali all’Autorità di controllo entro 72 ore.
In tale contesto, le polizze cyber devono necessariamente coprire i costi derivanti dalla notifica di breach, dalle analisi forensi, dalla gestione della reputazione e dalle eventuali azioni risarcitorie di natura collettiva o individuale, configurando un tassello essenziale della compliance complessiva.
La Direttiva (UE) 2017/1132, sebbene non specificamente dedicata al cyber risk, ha aperto la strada alla standardizzazione dei prodotti assicurativi europei, mentre la proposta di Regolamento su una Direttiva assicurativa cyber, attualmente in discussione in sede parlamentare, mira a creare un framework armonizzato per la fornitura transfrontaliera di polizze cyber, risolvendo le attuali disparità tra ordinamenti nazionali che rendono complessa la sottoscrizione di coperture omogenee per gruppi multinazionali.
La dottrina specializzata, in particolare i contributi della Association internazionale de Droit des Assurances (AIDA), evidenzia che il mercato assicurativo cyber ha attraversato una fase di rapida evoluzione, passando da polizze generiche che estendevano la copertura “all risk” a prodotti specializzati che escludono esplicitamente i danni causati da negligenza grave o da mancata implementazione di controlli di base, configurando una tendenza alla cosiddetta “warranty-based underwriting” che vincola l’indennizzo al rispetto di specifiche condizioni di sicurezza informatica.
Lo standard ISO/IEC 27001:2022, nel suo approccio basato sui rischi, supporta l’integrazione dell’assicurazione come controllo compensativo nel caso di rischi accettati o mitigati ma non eliminati, mentre il framework NIST SP 800-37, relativo alla gestione del rischio in ambito federale statunitense, riconosce il risk transfer come fase conclusiva del ciclo di risk management, subordinata alla valutazione dell’efficacia dei controlli.
Le linee guida del Lloyd’s Market Association, principale mercato assicurativo specializzato in cyber risk, raccomandano che le polizze includano esplicitamente le clausole di “war exclusion” e “act of state exclusion” per evitare sovrapposizioni con la copertura assicurativa tradizionale, e richiedono una dichiarazione precontrattuale dettagliata dello stato di sicurezza dell’assicurato, che spesso si concretizza in un questionnaire di cybersecurity audit elaborato in conformità ai controlli CIS o al NIST Cybersecurity Framework.
L’articolo 23 NIS 2, concernente la notifica degli incidenti significativi, introduce un ulteriore nodo critico: la tempistica di reporting, fissata in 24 ore per l’alert iniziale e 72 ore per la notifica completa, deve essere necessariamente allineata con le clausole della polizza assicurativa che, in molti casi, subordinano l’indennizzo alla tempestiva comunicazione all’assicuratore e alla conservazione forense delle evidenze.
L’articolo 24 NIS 2, relativo alla nomina del CSIRT referente, accentua ulteriormente la necessità che il team di incident response sia coordinato con il broker assicurativo e con il legale designato dalla polizza, onde evitare che le azioni di contenimento intraprese dal CSIRT alterino le prove digitali necessarie per la liquidazione del sinistro.
La prassi di mercato, consolidata attraverso i modelli contrattuali della International Underwriting Association (IUA) e dei Lloyd’s Syndicates, distingue convenzionalmente le coperture cyber in tre livelli: first-party coverage, che include i danni diretti subiti dall’assicurato (interruzione operativa, ripristino dei dati, costi di crisis management); third-party coverage, che copre la responsabilità civile verso terzi per danni derivanti da violazioni di dati o interruzione di servizi; e crime coverage, che estende la protezione ai danni pecuniari causati da frodi informatiche, social engineering e wire transfer fraud.
La struttura delle clausole di esclusione, particolarmente rilevante nel contesto NIS 2, esclude sistematicamente i danni derivanti da atti di cyber warfare riconducibili a stati nazionali, lasciando una zona grigia rispetto agli APT (Advanced Persistent Threats) sponsorizzati statalmente la cui attribution, in assenza di un framework internazionale di cyber deterrence, risulta spesso controversa e tecnicamente indeterminabile.
La dottrina giuridica italiana, con particolare riferimento ai lavori della Società Italiana degli Avvocati (SIA) e dei contributi del Prof. G. Sica, evidenzia che il ricorso all’assicurazione cyber in ambito NIS 2 comporta un’analisi accurata della compatibilità tra le esclusioni di polizza e l’obbligo di continuità operativa ex art. 21, comma 2, lettera (c), NIS 2: se una polizza esclude i danni causati da ransomware ma l’operatore non ha implementato controlli di backup e segmentazione di rete adeguati, la mancata corresponsione dell’indennizzo potrebbe esporre l’ente a doppie sanzioni, amministrative per violazione NIS 2 e patrimoniali per mancata copertura assicurativa, configurando un rischio di under insurance sistemico.
Il prossimo Cyber Resilience Act (CRA), formalmente Regolamento (UE) 2024/2847, introduce ulteriori elementi di complessità introducendo obblighi di vulnerabilità disclosure e gestione del ciclo di vita della sicurezza per i prodotti con elementi digitali, che si tradurranno inevitabilmente in nuovi parametri di valutazione per i modelli di pricing assicurativo.
La convergenza tra NIS 2, CRA e DORA (Digital Operational Resilience Act, Regolamento UE 2024/2554) per il settore finanziario, sta generando un’armonizzazione dei requisiti di resilienza che i contratti di assicurazione dovranno riflettere, con particolare attenzione al capability maturity model (CMM) del sistema informativo assicurato e alla certificazione dei fornitori di servizi ICT critici ai sensi della Determinazione ACN 127437/2026.
La Determinazione ACN 127437/2026, relativa ai fornitori qualificati di servizi ICT, impatta direttamente sulle clausole di sub-assicurazione e coassicurazione, poiché la qualificazione di un fornitore come “critico” o “importante” ai sensi della medesima determinazione influenza la valutazione del rischio residuo e, conseguentemente, il premio assicurativo applicato al contratto principale.
Sul piano pratico, la determinazione del premio assicurativo cyber si basa su metriche tecniche che comprendono: il security score derivato da vulnerability assessment e penetration testing; il tasso di patch management e la mean time to patch (MTTP) dei sistemi critici; la presenza di multi-factor authentication (MFA) su tutti gli accessi privilegiati; l’implementazione di zero-trust architecture e micro-segmentazione della rete; la conformità ai controlli CIS Benchmarks per le piattaforme in uso; e il livello di maturità del Security Operations Center (SOC) e della threat intelligence capability.
Le linee guida ENISA 2024 sui KPI di cybersecurity per operatori NIS 2 raccomandano di documentare tali metriche in un Information Security Policy Statement, che costituisce allegato tecnico al contratto di assicurazione e viene aggiornato annualmente o in caso di significativi cambiamenti dell’asset inventory.
La prassi del mercato londinese, consolidata attraverso le Joint Cyber War Committee (JCWC) guidelines, richiede inoltre la certificazione del board of directors sulla veridicità delle dichiarazioni precontrattuali, introducendo un elemento di responsabilità dirigenziale che si allinea all’art. 21, comma 2, lettera (g) NIS 2, concernente la governance e la responsabilità della direzione nella gestione del rischio informatico.
Le implicazioni per gli operatori NIS 2 italiani sono immediatamente operative: la sottoscrizione di una polizza cyber richiede un pre-audit della conformità agli standard ISO/IEC 27001:2022, alla Determinazione ACN 164179/2025 e alle linee guida ENISA 2024, con la produzione di un Gap Analysis che documenti le aree di rischio non coperte dai controlli esistenti e quantifichi il risk transfer residuo.
La dottrina comparata, in particolare i contributi della ENISA Insurance Market Analysis 2023 e dei report del European Insurance and Occupational Pensions Authority (EIOPA), evidenzia che il mercato assicurativo cyber europeo ha raggiunto una capacità di sottoscrizione stimata in 1,2 miliardi di euro per il 2024, con un tasso di crescita annuo composto (CAGR) del 25%, ma con una significativa concentrazione di offerta nei mercati di UK, Germania e Francia, lasciando l’Italia in una posizione di relative arretratezza per quanto concerne la disponibilità di prodotti specializzati e la consapevolezza assicurativa dei board aziendali.
La prassi consigliata, ispirata al modello FERMA (Federation of European Risk Management Associations), prevede l’istituzione di un Cyber Insurance Committee interfunzionale che riunisca risk manager, CISO, DPO, responsabile acquisti e legal counsel, con il compito di definire annualmente il Cyber Risk Appetite Statement, di negoziare le clausole di rinnovo in ottica NIS 2 e CRA, e di validare il Report di Incidente prima della trasmissione all’assicuratore, garantendo così l’allineamento tra gli obblighi di notifica regolamentari e le condizioni di polizza.
In conclusione, l’assicurazione cyber rappresenta uno strumento di risk transfer essenziale ma non autonomo nel contesto NIS 2, la cui efficacia è subordinata alla dimostrazione di un sistema di gestione del rischio maturo e documentato. Gli operatori di servizi essenziali e i fornitori di servizi digitali devono considerare la polizza cyber come il tassello conclusivo di un framework di sicurezza già implementato, non come una scorciatoia per eludere gli investimenti in controlli tecnici e organizzativi.
L’allineamento tra le clausole contrattuali, i tempi di notifica di incidente di cui all’art. 23 NIS 2, le procedure di forensics e il mandato del CSIRT referente di cui all’art. 24 NIS 2, costituisce un prerequisito imprescindibile per la validità della copertura e per l’effettività del risarcimento in caso di sinistro.
La prospettiva normativa 2027-2030, con l’entrata a pieno regime del CRA e l’eventuale adozione di una Direttiva assicurativa cyber armonizzata, imporrà una revisione strutturale dei modelli di underwriting, con la probabile introduzione di parametri di rating basati sulla certificazione ETSI della supply chain e sulla conformità ai Common Criteria per i prodotti ICT critici, innalzando ulteriormente la soglia di maturità richiesta agli operatori per accedere a coperture significative e sostenibili economicamente.
