In breve: in caso di sinistro con l'assicurazione cyber contano soprattutto tre cose: informare presto l'assicuratore, acquisire le prove invece di reinstallare in fretta e concordare prima i passaggi importanti. Che cosa valga esattamente lo stabiliscono le Sue condizioni assicurative. Questa pagina offre indicazioni generali, non è consulenza legale e non sostituisce il confronto con assicuratore, broker o avvocato.
Nessuna consulenza legale o assicurativa: sono determinanti solo il Suo contratto e le indicazioni del Suo assicuratore. Legga le condizioni preferibilmente adesso, non solo nel caso concreto.
Perché il sinistro è particolare nei rischi cyber
In caso di danno da acqua è evidente che cosa è successo. In un attacco a un web server è diverso: all'inizio c'è spesso solo un sospetto, ad esempio un file strano, un processo insolito o un avviso dell'hoster. Se si sia davvero verificato un danno lo mostra solo l'indagine.
PHP2Shell ne è un buon esempio. Le due vulnerabilità CVE-2026-109618 e CVE-2026-109619 consentono l'esecuzione di codice senza autenticazione. Chi ha aggiornato solo giorni dopo il 21/10/2026 non può escludere con certezza che prima sia successo qualcosa. Una patch non rimuove il malware già introdotto e non prova che non sia successo nulla. La questione se e quando sussista un sinistro è quindi spesso poco chiara.
Assicurazione cyber in caso di sinistro: gli oneri tipici
Gli oneri sono obblighi dell'assicurato la cui violazione può mettere a rischio la prestazione. Molte polizze contengono punti simili, ma nel dettaglio si distinguono sensibilmente:
- Denuncia: informare senza ritardo l'assicuratore non appena un sinistro si è verificato o è imminente.
- Salvataggio: adottare misure ragionevoli per contenere il danno, ad esempio scollegare dalla rete i sistemi interessati.
- Accordo: chiarire prima con l'assicuratore passaggi essenziali, incarichi e pagamenti.
- Informazioni e giustificativi: fornire informazioni e mettere a disposizione i documenti necessari all'accertamento del danno.
- Acquisizione delle prove: non distruggere inutilmente le tracce, in modo che causa ed entità restino accertabili.
Alcuni contratti contengono inoltre requisiti di sicurezza precedenti al danno, ad esempio aggiornamenti regolari, backup o autenticazione a più fattori. Anche le dichiarazioni nel questionario sul rischio alla stipula del contratto possono avere un ruolo.
La prima telefonata all'assicuratore
Molte assicurazioni cyber offrono una hotline di emergenza. Tenga pronti il numero di polizza e una breve descrizione della situazione. Al primo contatto chiarisca queste domande e annoti le risposte con data, ora e nome dell'interlocutore:
- Il caso deve essere denunciato ufficialmente e in quale forma?
- L'assicuratore mette a disposizione propri fornitori per l'analisi forense e il ripristino, oppure possiamo incaricarne di nostri?
- Quali costi sono già autorizzati, quali richiedono consenso?
- Quali documenti servono?
- Ci sono indicazioni sulla comunicazione verso l'esterno o sul coinvolgimento di avvocati?
Acquisire le prove prima di reinstallare
Il riflesso comprensibile dopo un attacco è reinstallare subito il server. Per assicurazione, protezione dei dati e un'eventuale denuncia penale ciò è spesso sfavorevole, perché le tracce scompaiono. Meglio: isolare i sistemi interessati, salvare log e dump della memoria, creare elenchi di file con marcature temporali e solo dopo bonificare o ricostruire.
Per PHP2Shell la stampa specializzata raccomanda di conservare i log del server a partire dal 20/10/2026. Finora non esistono Indicators of Compromise pubblicati e confermati; il rilevamento si basa sull'analisi del comportamento. Tanto più è importante che i dati grezzi vengano conservati. Un salvataggio a regola d'arte lo offre l'analisi forense IT.
Interazione con la protezione dei dati e la denuncia penale
Un sinistro raramente procede da solo. Se possono essere coinvolti dati personali, vale l'obbligo di notifica ai sensi dell'art. 33 GDPR, possibilmente entro 72 ore dal momento in cui se ne ha conoscenza. Maggiori informazioni alla pagina Obbligo di notifica GDPR. Molti assicuratori offrono supporto in proposito con avvocati da loro segnalati.
Anche una denuncia alla polizia può essere sensata o desiderata dall'assicuratore. I punti di contatto centrali Cybercrime (ZAC) degli uffici di polizia criminale dei Länder (Landeskriminalämter) sono l'indirizzo giusto, vedi Sporgere denuncia. Concordi l'ordine con l'assicuratore.
Prevenzione: allineare contratto e piano di emergenza
Colga l'occasione della situazione attuale per leggere il Suo contratto e riportare gli oneri nel Suo piano di emergenza. Annoti il numero della hotline e il numero di polizza in un punto raggiungibile anche senza IT funzionante. Verifichi se le Sue dichiarazioni sul livello di sicurezza sono ancora corrette. Un piano di emergenza IT strutturato aiuta in questo.
Utile è inoltre una breve conversazione con broker o assicuratore al di fuori di un sinistro. Chieda come l'assicuratore tratti misure precauzionali come la messa offline di un sito web, quali prove si aspetti sugli aggiornamenti e se esistano raccomandazioni sulla conservazione dei log. Le risposte vanno messe per iscritto nel piano di emergenza.
Come aiuta concretamente PHP SOS?
- Salviamo log e stati dei sistemi in modo tracciabile prima della bonifica e documentiamo ogni misura con l'orario.
- Redigiamo una relazione tecnica su causa, entità e misure adottate, da presentare all'assicuratore.
- Su Sua richiesta ci coordiniamo con i fornitori di servizi dell'assicuratore.
- Tramite l'incident response accompagniamo l'incidente fino al ripristino documentato.
Domande frequenti
Quando devo informare l'assicurazione cyber?
Lo stabilisce il Suo contratto. Molte condizioni richiedono una denuncia immediata non appena un sinistro si è verificato o è seriamente imminente. In caso di dubbio denunci presto, anche se l'entità non è ancora chiara.
Posso incaricare io stesso un fornitore di servizi IT?
Alcune polizze prevedono una hotline di emergenza e fornitori propri dell'assicuratore, oppure richiedono un accordo prima dell'incarico a terzi. Lo chiarisca alla prima telefonata, in modo che i costi non diventino controversi. La risposta dovrebbe metterla per iscritto.
L'assicurazione paga se mancava un aggiornamento?
Dipende dalle condizioni, dalle dichiarazioni rese alla stipula del contratto e dal caso concreto. Alcuni contratti contengono requisiti sullo stato dell'arte o sugli aggiornamenti. Faccia valutare questa domanda dal Suo broker assicurativo o da un avvocato.
Una semplice applicazione della patch è già un sinistro?
Un aggiornamento precauzionale di norma non è ancora un danno. Se però ci sono indizi di un'intrusione, la situazione può cambiare. Chieda al Suo assicuratore da quando desidera essere informato.