Question 1

Ho una polizza cyber risk e dopo un attacco ransomware l'assicurazione dice che non sono coperto perché non avevo implementato le misure di sicurezza minime. Ma nel contratto non c'era scritto nulla di così dettagliato. È legittimo?

— Marco

Accepted Answer

L'assicurazione può legittimamente negare il risarcimento solo se le misure di sicurezza richieste erano chiaramente specificate nel contratto o nell'informativa preliminare che hai ricevuto prima della sottoscrizione. Se il contratto conteneva solo clausole generiche sulla "diligenza" o sulle "misure standard del settore" senza dettagliare cosa si intendesse concretamente (MFA, backup, firewall specifici), la loro posizione è contestabile. Puoi richiedere per iscritto all'assicurazione di indicare dove nel contratto sono elencate queste presunte "misure minime" e, se la risposta è insoddisfacente, puoi rivolgerti all'IVASS per un tentativo di mediazione o, se necessario, agli avvocati specializzati in diritto assicurativo presenti su Iuspert.it per valutare un'azione legale. Il principio di trasparenza contrattuale tutela il contraente da esclusioni arbitrarie non preventivamente comunicate.

Question 2

L'assicurazione mi ha mandato una lettera di rifiuto del sinistro. Vorrei far valutare il caso da un legale ma non vorrei perdere tempo. Ci sono scadenze entro cui devo muovermi per contestare?

Accepted Answer

Quando ricevi una lettera di rifiuto del sinistro da una polizza Cyber Risk, hai **2 anni** dalla data della notifica per agire legalmente, ma è fondamentale non attendere. Prima di rivolgerti a un legale, invia immediatamente un **reclamo formale** all'assicurazione via PEC, contestando il rifiuto: la compagnia deve rispondere entro **45 giorni**. Questo passaggio blocca i termini e dimostra la tua volontà di tutelare il diritto. Se la risposta è negativa o assente, puoi rivolgerti all'IVASS, avviare una mediazione o una perizia contrattuale, oppure procedere con un'azione legale. Agire rapidamente è essenziale perché, decorsi i 2 anni senza iniziative formali, il diritto al risarcimento si estingue definitivamente, anche se il rifiuto fosse illegittimo.

Question 3

Se decido di contestare il rifiuto dell'assicurazione cyber, a quali spese vado incontro? Devo pagare un avvocato, una perizia tecnica, spese legali? Quanto può costarmi in totale?

Accepted Answer

Se decidi di contestare il rifiuto dell'assicurazione cyber risk, dovrai affrontare principalmente tre categorie di spese: la parcella dell'avvocato (da €1.500 a €15.000 a seconda della complessità), i costi per perizie tecniche specializzate in ambito informatico (da €1.500 a €13.000 per analisi forensi digitali e valutazione del danno) e le spese processuali come il contributo unificato e le notifiche (da €150 a €1.500). In totale, il costo complessivo può variare da circa €3.000 fino a oltre €30.000 nei casi più complessi che richiedono analisi forensi approfondite e lunghi contenziosi in tribunale. Prima di intraprendere l'azione legale, valuta se tentare una mediazione civile, che può ridurre significativamente i costi (da €500 a €2.000) pur mantenendo la possibilità di raggiungere un accordo con l'assicurazione.

Question 4

Pensavo che la mia polizza coprisse tutti i danni da attacchi informatici, invece mi hanno detto che le multe del Garante Privacy non sono incluse. Come faccio a capire cosa è coperto e cosa no?

Accepted Answer

La tua polizza Cyber Risk non copre le multe del Garante Privacy perché le sanzioni amministrative non sono assicurabili per legge, dato che annullerebbero la loro funzione deterrente. Per capire cosa è incluso, devi leggere attentamente il DIP (Documento Informativo Polizza) e le condizioni contrattuali, cercando la sezione "Garanzie" ed "Esclusioni". Generalmente sono coperti i risarcimenti ai clienti danneggiati, le spese legali per la difesa, i costi per indagini forensi, il ripristino dei sistemi e l'interruzione dell'attività. Se ritieni che un danno coperto ti sia stato negato ingiustamente, puoi contestare formalmente la decisione presentando reclamo scritto all'assicuratore e, se necessario, rivolgerti all'IVASS o agli avvocati specializzati su iuspert.it.

Question 5

Ho ricevuto il rifiuto del risarcimento ma sono indeciso se fare causa o lasciar perdere. Se aspetto troppo rischio di perdere definitivamente il diritto al rimborso? Ci sono conseguenze se temporeggio?

— Roberto

Accepted Answer

Se il fornitore assicurativo rifiuta il risarcimento della polizza cyber risk, è fondamentale agire tempestivamente: secondo l'articolo 2947 del Codice Civile, hai solo due anni dal verificarsi dell'evento dannoso per far valere i tuoi diritti, dopodiché si rischia la prescrizione definitiva. Temporeggiare comporta quindi il serio pericolo di perdere ogni possibilità di rimborso. Prima di procedere con una causa, è consigliabile tentare la negoziazione assistita tramite avvocato o la mediazione presso un organismo autorizzato, strumenti più rapidi ed economici che interrompono comunque la prescrizione. Se nel contratto è prevista una clausola di arbitrato, questa rappresenta la via da seguire obbligatoriamente prima del giudizio ordinario.

Question 6

Voglio far verificare se il diniego dell'assicurazione è corretto. Devo portare solo la polizza o servono anche altri documenti tipo la denuncia all'Autorità, i log informatici, le email con l'assicurazione?

— Chiara

Accepted Answer

Per verificare se il diniego dell'assicurazione è legittimo, devi portare una documentazione completa che dimostri l'evento cyber, le sue modalità e l'entità del danno. Oltre alla polizza con le condizioni di assicurazione, sono fondamentali la denuncia presentata alla Polizia Postale, i log informatici e le tracce IT che provano l'attacco, la documentazione che descrive le circostanze della violazione e le conseguenze subite, tutte le email e comunicazioni scambiate con l'assicuratore (compreso il diniego scritto con le motivazioni), e le ricevute dei costi sostenuti per l'emergenza cyber. Questa documentazione tecnica è essenziale sia per contestare il diniego presso l'assicuratore stesso, sia per un eventuale ricorso all'Arbitro Assicurativo o per far valutare la situazione agli avvocati specializzati presenti su Iuspert.it.

Question 7

Sono un libero professionista con una piccola polizza cyber. L'assicurazione dice che certe garanzie valgono solo per aziende grandi. È vero che per le PMI la copertura è diversa?

Accepted Answer

Se l'assicuratore nega il risarcimento adducendo che alcune garanzie valgono solo per grandi aziende, verifica innanzitutto il contratto: le polizze cyber stand alone per PMI e liberi professionisti includono le stesse garanzie fondamentali (ripristino dati, business interruption, responsabilità GDPR), con differenze solo su massimali e franchigie. L'assicuratore deve fornire per iscritto entro 30 giorni il motivo dell'esclusione; se ingiustificato, puoi richiedere la mediazione presso IVASS o un organismo riconosciuto. In caso di esito negativo, resta possibile inviare una diffida legale tramite avvocato. Le esclusioni automatiche basate sulla dimensione aziendale non sono conformi alle prassi di mercato italiane confermate da IVASS e dalle principali compagnie.

Question 8

L'assicurazione dice che non ho prove sufficienti del danno causato dal data breach. Come si quantifica un danno reputazionale o la perdita di clienti? Serve una perizia tecnica o basta la documentazione contabile?

— Elena

Accepted Answer

Se l'assicurazione cyber risk rifiuta il risarcimento per insufficienza di prove, la sola documentazione contabile non basta: è necessaria una **perizia tecnica specializzata** che quantifichi scientificamente il danno. Il perito deve dimostrare il nesso causale tra il data breach e la perdita economica, confrontando i dati storici pre-incidente con quelli successivi, misurando metriche come il tasso di abbandono clienti, l'andamento della web reputation (tramite analisi di visibilità online, sentiment e engagement negativo) e i costi di riabilitazione reputazionale. La perizia integra i dati contabili con un'analisi probabilistica e tecnologica che isola il danno specifico dall'evento lesivo. Questo approccio documentale rafforzato è indispensabile per vincere il contenzioso con l'assicuratore o in sede giudiziale.