Nasce in Italia la prima polizza cyber risk al mondo che integra assicurazione, protezione software e sorveglianza h24 in un unico contratto, attivabile in pochi click senza assessment preliminare. Una risposta al Paese che, da solo, assorbe oltre il 10% degli attacchi globali.
Nel 2025 l’Italia ha assorbito il 9,6% di tutti gli attacchi cyber gravi rilevati nel mondo. L’anno precedente era stata al 10,1%, il 2023 aveva toccato l’11,2%. Tre anni consecutivi sopra il 10%, per un Paese che vale meno del 2% del PIL mondiale e meno dell’1% della popolazione globale. I dati sono del Rapporto Clusit, presentato ogni anno al Security Summit di Milano e considerato il principale osservatorio italiano sulla cybersicurezza.
La sproporzione non è un caso statistico. È l’impronta digitale di un’economia fatta da oltre 4 milioni di piccole e medie imprese, ricche di know-how e di dati, ma strutturalmente fragili sul piano della sicurezza informatica. Un terreno che il cybercrime, industrializzato e automatizzato, ha imparato a battere in modo sistematico.
È da questo contesto che nasce una delle innovazioni più rilevanti mai viste nel settore: la prima polizza cyber risk al mondo che non si limita a rimborsare il danno, ma lo previene. Assicurazione, protezione software di livello enterprise e sorveglianza attiva integrate per la prima volta in un unico contratto. E a svilupparla è stata un’iniziativa italiana.
Perché l’Italia è diventata terreno fertile per il cybercrime
I numeri del Rapporto Clusit 2026 sono netti. Nel 2025 gli incidenti cyber gravi a livello globale sono stati 5.265, in crescita del 49% sull’anno precedente. In Italia si è passati da 357 incidenti gravi nel 2024 a 507 nel 2025, con un aumento del 42%. La media mensile di attacchi mondiali è balzata da 171 del 2021 a 439 del 2025: +256% in cinque anni.
Ma il dato più significativo è il confronto con gli altri grandi Paesi europei.
Nel 2024 la Francia ha assorbito il 4% degli attacchi globali, Germania e Regno Unito il 3% ciascuno. L’Italia è stabilmente oltre il 10%. Come spiega Luca Bechelli, del Comitato Scientifico Clusit: subiamo circa dieci volte più attacchi di quanto “ci spetterebbe” in base al nostro peso economico.
Le ragioni sono strutturali e ben documentate:
- Un tessuto economico polverizzato: oltre 4 milioni di PMI, che rappresentano più del 90% del totale delle imprese italiane, con risorse limitate da dedicare alla sicurezza informatica
- Infrastrutture tecnologiche spesso obsolete, soprattutto nel manifatturiero — settore dove un quarto degli attacchi globali nel 2024 ha riguardato realtà italiane.
- Una cultura della sicurezza ancora carente: Clusit parla apertamente di “mancanza di capacità di prevenzione e mitigazione diffusa” a livello di Paese.
- Tempi di scoperta delle violazioni che in Italia superano ancora i sei mesi, periodo durante il quale l’attaccante è libero di muoversi.
Il 37,8% delle PMI intervistate da Clusit ha dichiarato di aver subito almeno un attacco informatico nell’ultimo anno. Il costo medio di un incidente è stimato attorno ai 300 mila euro, con punte che superano il milione. Per molte PMI, significa il rischio concreto della chiusura: studi internazionali rilevano che circa il 60% delle piccole aziende colpite da un attacco grave cessa l’attività entro sei mesi.
Lo strumento tradizionale: la polizza come rete postuma
Per anni la risposta principale delle aziende al rischio cyber è stata la stipula di una polizza assicurativa dedicata. Lo strumento nasce sul modello classico delle coperture contro incendio o furto: a fronte di un premio, l’assicuratore indennizza l’azienda se si verifica un sinistro previsto dal contratto.
Le coperture tipiche includono ripristino dei sistemi, perdita di dati, interruzione dell’attività, responsabilità civile verso terzi e, in alcuni casi, un supporto di incident response attivabile dopo l’evento.
Il limite è strutturale: il meccanismo è reattivo per definizione. L’intervento scatta dopo l’attacco. Quando la polizza entra in azione, i sistemi sono già stati compromessi, i dati cifrati, le operazioni ferme. L’indennizzo — quando arriva — copre una parte dei costi economici, ma non restituisce le ore di downtime (in media 21 ore per un ransomware), né ricostruisce la fiducia dei clienti.
A questo si aggiunge un secondo limite: il mercato assicurativo, di fronte alla crescita dei sinistri cyber, ha progressivamente alzato i premi, ridotto i massimali e introdotto questionari di sottoscrizione sempre più stringenti. Le PMI che non superano la soglia tecnica minima faticano a trovare copertura, o la trovano a condizioni onerose. E con la Direttiva NIS2 oggi pienamente applicabile, il baricentro normativo si è spostato: alle aziende non si chiede più solo di assicurarsi, ma di dimostrare misure di sicurezza tecniche e organizzative verificabili.
Il cambio di paradigma: dalla polizza al bundle integrato
È in questo vuoto che si sta aprendo uno spazio di innovazione. La tendenza che gli analisti indicano come più promettente è l’integrazione tra mondo assicurativo e mondo della sicurezza informatica. Il principio è semplice: un attacco prevenuto costa enormemente meno di un attacco rimborsato, sia per l’azienda che per l’assicuratore.
Il modello che si sta affermando unisce tre componenti, fino a ieri vendute separatamente:
- Polizza assicurativa, per coprire il residuo di rischio economico.
- Tecnologia di protezione — tipicamente piattaforme EDR (Endpoint Detection and Response) o XDR (Extended Detection and Response) — che rilevano e bloccano gli attacchi in tempo reale direttamente sugli endpoint.
- Sorveglianza e ricerca proattiva delle minacce h24 erogata da un SOC (Security Operations Center) che monitora gli alert e interviene attivamente.
I dati di mercato confermano la logica economica del modello: le aziende che adottano approcci unificati di protezione subiscono il 43% di violazioni in meno rispetto a chi utilizza soluzioni frammentate. Meno sinistri significa premi più sostenibili e, soprattutto, meno giorni di fermo per l’impresa.
Fino a pochi anni fa, un’architettura di questo tipo era prerogativa delle grandi imprese: SOC interni, piattaforme EDR/XDR enterprise e coperture cyber ad hoc avevano costi e complessità fuori scala per una PMI. Il tema, oggi, è rendere accessibile lo stesso livello di protezione a realtà dimensionalmente più piccole. Ed è qui che si colloca un’iniziativa nata in Italia.
Un primato italiano: Cybance, la prima polizza cyber risk al mondo con protezione software integrata
In questo scenario si colloca Cybance, la prima polizza cyber risk al mondo che integra nativamente, all’interno di un unico contratto, la copertura assicurativa e la protezione software di livello enterprise. Un’impostazione senza precedenti sul mercato internazionale, sviluppata e lanciata in Italia.
Non è un dettaglio marginale. Le polizze cyber in commercio oggi, anche quando includono servizi accessori, trattano la tecnologia di protezione come un prerequisito che il cliente deve procurarsi per conto proprio — tipicamente acquistando separatamente antivirus, EDR, firewall. Cybance ribalta lo schema: la tecnologia di protezione non è una precondizione del contratto, è parte del contratto stesso. Il cliente sottoscrive un unico pacchetto e riceve simultaneamente polizza, software di difesa e sorveglianza attiva.
La componente assicurativa è firmata Chubb, gruppo globale con una lunga esperienza sul cyber. La componente tecnologica utilizza Cybereason, piattaforma EDR/XDR riconosciuta tra le più avanzate del mercato internazionale. La sorveglianza è affidata a un SOC operativo 24 ore su 24.
Tre rotture con la prassi del mercato
Oltre all’integrazione, ci sono tre aspetti che distinguono Cybance dal modus operandi tipico del settore cyber assicurativo — e che spiegano perché la soluzione sia concretamente accessibile al professionista e alla PMI, non solo teoricamente.
Il primo riguarda la natura del SOC. Non è un servizio reattivo che si limita a rispondere agli allarmi: è un SOC che fa proactive threat hunting in modo continuo, cioè analisti che ricercano attivamente minacce non ancora rilevate dagli strumenti automatici, in una logica di caccia permanente anziché di attesa. È un approccio che, fino a ieri, era riservato a grandi aziende con budget dedicati a squadre interne di threat intelligence.
Il secondo riguarda l’attivazione. La polizza si sottoscrive in self-service, con pochi click, senza i tempi e le frizioni tipiche della trattativa assicurativa tradizionale. Un aspetto che, per chi guida una PMI, significa poter chiudere la pratica in una pausa caffè invece che in settimane di scambi documentali.
Il terzo — forse il più significativo — riguarda l’ingresso. Non è richiesto alcun assessment preliminare della postura di sicurezza informatica come precondizione alla sottoscrizione. Chi ha mai tentato di stipulare una polizza cyber tradizionale conosce bene il passaggio: questionari di decine di domande tecniche, richieste di documentazione su architettura, patch management, backup, formazione del personale, dettagli che spesso l’azienda non sa nemmeno di dover avere pronti. È uno dei motivi per cui molte PMI italiane, dopo un primo tentativo, rinunciano.
La logica che rende possibile questa differenza è semplice: quando la tecnologia di protezione è parte del contratto, l’assicuratore non ha bisogno di “certificare” che il cliente sia già protetto — è l’assicuratore stesso, attraverso Cybereason e il SOC, a garantire la protezione. Il rischio è mitigato alla radice, non valutato a monte. È il rovesciamento concettuale che rende il modello possibile.
Perché nasce proprio dall’Italia
Il fatto che un modello di questo tipo nasca in Italia ha una sua logica. Il Paese con la maggiore sproporzione tra attacchi subiti e dimensione economica è anche quello che ha più interesse a industrializzare una risposta integrata: le PMI italiane sono il “mercato necessario” di una soluzione che porti la sicurezza di livello enterprise alla portata di uno studio professionale o di un’azienda da dieci dipendenti. È un caso raro in cui la debolezza strutturale di un Paese — l’esposizione al cyber risk — diventa la precondizione per un’innovazione esportabile.
Cosa cambia per chi fa impresa in Italia
Il passaggio dal modello “solo polizza” al modello integrato non è solo una scelta tecnica: è un cambio di mentalità, dalla gestione reattiva del rischio alla sua mitigazione attiva.
Per professionisti e PMI, le implicazioni concrete sono tre.
- Prima: la sicurezza informatica smette di essere un costo accessorio e diventa un requisito di mercato, imposto sia dalla normativa (NIS2, GDPR, DORA) sia dai clienti enterprise che richiedono standard verificabili ai propri fornitori.
- Seconda: il valore della protezione si misura sempre meno nell’indennizzo potenziale e sempre più nella continuità operativa garantita. Un giorno di fermo può valere, per una PMI, più di qualsiasi rimborso successivo.
- Terza: le soluzioni integrate riducono la complessità gestionale, che è il vero collo di bottiglia per aziende senza funzioni IT strutturate.
Un modello da portare a livello europeo, a partire dai fornitori della PA
C’è però una seconda lettura, di respiro più ampio, che vale la pena mettere sul tavolo. Se il modello integrato funziona per proteggere il singolo studio o la singola PMI, funziona a maggior ragione se applicato sistematicamente ai fornitori delle pubbliche amministrazioni, dove una singola vulnerabilità può trasformarsi in un’interruzione di servizi essenziali per decine di migliaia di cittadini.
I dati istituzionali più recenti non lasciano spazio a interpretazioni. Il Rapporto ENISA “Threat Landscape 2025” — pubblicato dall’Agenzia dell’Unione Europea per la Cybersicurezza il 1° ottobre 2025 — segnala che in Europa la pubblica amministrazione è il settore più colpito, con il 38,2% di tutti gli incidenti cyber registrati nel periodo luglio 2024 – giugno 2025. Un dato praticamente raddoppiato rispetto al 19% dell’anno precedente, tanto da spingere ENISA a pubblicare un documento dedicato: lo “Sectorial Threat Landscape – Public Administration”.
L’Agenzia per la Cybersicurezza Nazionale (ACN), nel proprio Operational Summary del secondo semestre 2025, fotografa lo stesso fenomeno a livello italiano, descrivendo casi concreti in cui “…la compromissione di fornitori di servizi web ha prodotto effetti a catena, coinvolgendo più amministrazioni contemporaneamente”. È la logica della supply chain injection: non attacchi l’ente pubblico, attacchi il suo fornitore — spesso una PMI tecnologica — e il colpo si propaga a tutti i clienti istituzionali che quel fornitore serve.
La Direttiva NIS2 ha già individuato il problema e impone misure specifiche per la sicurezza della supply chain. Ma imporre un obbligo è una cosa; rendere concreto ed economicamente sostenibile il modo di rispettarlo è un’altra. Un piccolo fornitore di software della PA locale, un consulente che gestisce anagrafiche cittadini, uno studio di progettazione che lavora su gare d’appalto: nessuno di questi soggetti, singolarmente, può permettersi un SOC interno o un team di threat hunting.
Un modello integrato — polizza, protezione software, sorveglianza con hunting proattivo, attivazione senza assessment — è oggi lo strumento più pragmatico per estendere uno standard minimo di resilienza a tutta la catena di fornitura della PA. Non come obbligo normativo aggiuntivo, ma come precondizione standard per qualunque fornitore pubblico: allo stesso modo in cui oggi si chiede una polizza RC professionale o una certificazione di qualità.
Adottarlo a livello europeo significherebbe, in concreto, spezzare la catena delle escalation che oggi trasformano un singolo fornitore compromesso in un disservizio pubblico diffuso: ospedali bloccati, pagamenti sospesi, portali cittadini offline, servizi scolastici interrotti. Non sono scenari teorici — sono la cronaca degli ultimi due anni, in Italia e in altri Paesi UE.
Una proposta, non solo un prodotto
Il Rapporto Clusit 2026 chiude con una riflessione che vale come sintesi: “…non basta spendere di più in sicurezza, bisogna spendere meglio…”. La nascita in Italia della prima polizza cyber al mondo con protezione software integrata è una risposta concreta a questa domanda. Ma la vera scommessa, ora, è capire se il modello riuscirà a uscire dal perimetro commerciale per diventare una buona prassi regolatoria a scala europea, soprattutto nei punti più esposti del sistema: i fornitori della pubblica amministrazione.
Una volta tanto, il Paese che subisce di più è anche quello che prova a indicare la strada. Resta da capire se l’Europa vorrà percorrerla.
