Nel 2025 gli incidenti informatici rilevati in Italia sono cresciuti del 42% e circa sette vittime su dieci sono state piccole e medie imprese. È il ribaltamento di un'idea diffusa: il bersaglio non è più solo la grande azienda con dati preziosi, ma l'impresa piccola con difese deboli. Questa guida mette in fila i rischi che le PMI italiane sottovalutano di più e le coperture che li affrontano.
Il rischio cyber in numeri
Il Rapporto Clusit 2026, che analizza gli incidenti di sicurezza noti del 2025, restituisce un quadro in netto peggioramento per l'Italia.
L'Italia raccoglie circa il 9,6% degli incidenti censiti a livello mondiale, una quota sproporzionata rispetto al peso della sua economia. Sul piano globale la media mensile degli incidenti è passata da 171 nel 2021 a 439 nel 2025, con una crescita del 256% in cinque anni.
Due settori spiccano per accelerazione: il manifatturiero, con un aumento del 79% degli incidenti, e trasporti e logistica, con un balzo del 134,6% su base annua. Sono comparti a forte presenza di PMI e con una dipendenza operativa dai sistemi informatici che si è consolidata rapidamente, spesso senza un adeguamento parallelo delle difese.
Il ransomware resta la minaccia principale per le organizzazioni italiane. Cresce inoltre l'attacco indiscriminato: le campagne multi-target rappresentano il 23% del totale, in aumento del 96%. È il dato che smonta la convinzione più pericolosa fra le piccole imprese, quella per cui "non abbiamo nulla che interessi a qualcuno". Molti attacchi non selezionano il bersaglio: cercano una vulnerabilità, e la trovano dove le difese sono più deboli.
Che cosa copre una polizza cyber
Una copertura cyber lavora su due fronti. Il primo, e nella pratica il più utile per una PMI, non è il risarcimento ma la gestione dell'incidente.
| Area | Che cosa comprende |
|---|---|
| Risposta all'incidente | Attivazione di specialisti forensi, contenimento dell'attacco, ripristino dei sistemi e dei dati, supporto legale e comunicazione |
| Danni propri | Costi di ricostruzione di dati e software, perdita di profitto per il fermo dei sistemi, spese straordinarie di funzionamento |
| Responsabilità verso terzi | Richieste di risarcimento di clienti e fornitori per violazione di dati o interruzione della fornitura |
| Profili sanzionatori | Spese di difesa nei procedimenti dell'Autorità Garante; le sanzioni in sé sono di norma non assicurabili |
| Estorsione informatica | Gestione della trattativa e dei costi connessi, entro i limiti di legge |
Le polizze cyber contengono requisiti minimi di sicurezza: backup periodici e verificati, autenticazione a più fattori sugli accessi critici, aggiornamento dei sistemi. Dichiararli in fase assuntiva e non averli realmente attivi è il modo più rapido per trovarsi scoperti nel momento del sinistro. Prima di sottoscrivere, verifica di poter sostenere ciò che dichiari.
Interruzione d'attività: il danno che non si vede
È la voce più trascurata nelle coperture aziendali, e quella che più spesso determina se un'impresa riapre. Un incendio, un allagamento o un blocco informatico producono due danni distinti: quello materiale ai beni e quello economico legato al fermo dell'attività.
Il secondo è quasi sempre il più grande. Mentre si ricostruisce, i costi fissi continuano a correre — affitti, stipendi, rate di finanziamento, canoni — e il fatturato si azzera. Nel frattempo i clienti si rivolgono altrove, e non tutti tornano.
La garanzia si chiama danni indiretti o business interruption e indennizza il margine di contribuzione perduto e i costi fissi durante il periodo di indennizzo. I due parametri da definire con attenzione sono la durata del periodo di indennizzo, che deve essere realistica rispetto ai tempi effettivi di ripristino compresi permessi e forniture, e la base di calcolo, che va aggiornata quando il fatturato cambia.
RC prodotti, RC professionale, D&O
Le responsabilità di un'impresa non si esauriscono nella RC generale verso terzi.
- RC prodotti. Risponde dei danni causati a terzi dai prodotti dopo la consegna. Riguarda chi produce ma anche chi importa, assembla o commercializza con il proprio marchio. Da verificare: la copertura per le spese di ritiro dal mercato, l'estensione territoriale rispetto ai mercati di sbocco effettivi e la gestione dei prodotti immessi prima della decorrenza.
- RC professionale. Obbligatoria per i professionisti iscritti agli albi, utile a molte imprese di servizi. Il punto tecnico decisivo è la clausola temporale: nelle formule claims made conta la data in cui la richiesta di risarcimento viene avanzata, non quella dell'errore. Sono quindi essenziali la retroattività e la garanzia postuma alla cessazione dell'attività.
- D&O, responsabilità di amministratori e sindaci. Copre il patrimonio personale di chi amministra rispetto ad azioni di responsabilità promosse dalla società, dai soci o dai creditori. Nelle PMI viene considerata una copertura "da grande azienda": in realtà è nelle società a compagine ristretta che l'esposizione personale dell'amministratore è meno filtrata.
Il rischio persona chiave
In moltissime PMI italiane il valore dell'impresa coincide con una o due persone: il titolare che tiene i rapporti con i clienti, il tecnico che conosce i processi, il commerciale che porta il portafoglio. La loro assenza improvvisa per morte o invalidità produce un danno economico immediato che nessuna polizza sui beni copre.
La copertura key man è una polizza vita o infortuni stipulata dall'azienda, che ne è contraente e beneficiaria, sulla vita di una persona chiave. L'indennizzo serve a dare all'impresa il tempo e le risorse per riorganizzarsi: sostituire la figura, onorare gli impegni, tenere fermi i rapporti bancari. Nelle società con più soci si affianca spesso a un accordo che regola il subentro nelle quote, finanziato dalla polizza stessa.
Un metodo per mettere i rischi in ordine
La valutazione non richiede strumenti complicati. Richiede di porsi le domande nell'ordine giusto.
- Che cosa ferma l'attività domani mattina? Elenca gli eventi che bloccherebbero la produzione o il servizio, non quelli che ti costerebbero di più in astratto.
- Per quanto tempo resisto senza incassare? Confronta la liquidità disponibile con i costi fissi mensili. Il numero di mesi che ottieni è la misura reale della tua esposizione.
- Quali danni non potrei sostenere con mezzi propri? Sono questi i rischi da trasferire all'assicuratore. Gli altri si possono ritenere, alzando franchigie e abbassando il premio.
- Che cosa ho già e da quanto non lo aggiorno? Somme assicurate ferme da anni, attività cambiate e non dichiarate, massimali tarati su un fatturato che non esiste più sono le cause più comuni di indennizzi insufficienti.
Assicura ciò che non puoi permetterti di perdere, non ciò che è più probabile che accada. La frequenza si gestisce con l'organizzazione e la prevenzione; la gravità si trasferisce. È la ragione per cui una franchigia più alta su un massimale più ampio è quasi sempre una scelta migliore del contrario.
- Clusit, Rapporto Clusit 2026 sulla sicurezza ICT in Italia, dati relativi al 2025.
- Regolamento UE 2016/679 (GDPR) e d.lgs. 196/2003 come modificato, in materia di violazione dei dati personali.
- Codice civile, artt. 2043, 2049 e 2381 in materia di responsabilità civile e doveri degli amministratori.
- D.P.R. 224/1988 e Codice del consumo, d.lgs. 206/2005, in materia di responsabilità da prodotto difettoso.
Questo contenuto ha finalità informative e non sostituisce l'analisi dei rischi della singola impresa né le condizioni contrattuali. Coperture, esclusioni, requisiti di sicurezza richiesti e massimali sono quelli indicati nel set informativo e nelle condizioni di polizza del prodotto scelto. Dati aggiornati a settembre 2026.