Approfondimento su BSI-CS 154: cosa copre un'assicurazione cyber quando i sistemi di controllo vengono violati – l'esempio di Stoïk

Nel nostro articolo su BSI-CS 154 abbiamo spiegato in generale perché l'assicurazione cyber non paga automaticamente tutto quando i sistemi di controllo vengono violati. Qui entriamo nel concreto: abbiamo applicato clausola per clausola le condizioni dell'assicurazione cyber di Stoïk (Cyber Serenity nelle varianti Standard, versione DE2609.2, e Custom, versione DE2609.1) a un caso tipico – un impianto di refrigerazione manipolato.

Fai verificare la tua protezione cyber

In sintesi

Anche i sistemi di controllo rientrano: secondo le condizioni, fa parte del sistema informatico assicurato anche la tecnologia raggiungibile tramite internet o intranet che appartiene all'azienda o è da essa controllata.
Il deterioramento è disciplinato: una clausola di deterioramento indennizza merci, materie prime e semilavorati deteriorati a seguito di un'interruzione di attività assicurata.
I danni materiali agli impianti possono essere coperti con il modulo “danni materiali” – se concordato.
Attenzione all'ordine: per deterioramento e danni materiali ha la precedenza un'assicurazione danni ai beni già esistente.
Il tuo obbligo: backup settimanali e protetti – altrimenti rischi una riduzione dell'indennizzo o la perdita della copertura.

Il caso: venerdì notte nella cella frigorifera

Un supermercato alimentare del circondario affida l'assistenza del proprio sistema di controllo della refrigerazione a un tecnico del freddo tramite manutenzione remota. L'accesso è raggiungibile via internet, la password è la stessa da anni. Nella notte tra venerdì e sabato degli sconosciuti effettuano l'accesso e alzano le temperature impostate. Al mattino la merce nei banchi frigo e nei congelatori è deteriorata, un compressore si è surriscaldato e il supermercato resta chiuso per due giorni. È andata così, o in modo simile, a ottobre in supermercati di diversi paesi europei – maggiori dettagli nel nostro articolo Hacker riscaldano i congelatori.

Cosa prevedono le condizioni Stoïk in questo caso

Prima la questione di fondo: il sistema di controllo della refrigerazione è davvero un “sistema informatico”? Secondo il punto II.1.1 ne fanno parte hardware, software e relativi componenti che sono parte di un sistema accessibile tramite internet o intranet e che appartengono all'azienda o sono da essa controllati, gestiti o presi in leasing. Un sistema di controllo con manutenzione remota rientra di norma in questa formulazione – lo chiariamo volentieri per te in anticipo o nel singolo caso. L'accesso non autorizzato costituisce una violazione della sicurezza di rete ed è quindi l'evento che fa scattare le seguenti prestazioni:

Voce di danno	Punto	Cosa vale
Assistenza immediata in caso di emergenza	III.1.2	Crisis manager entro 6 ore dalla denuncia, oltre ad analisi forense IT, esperti di protezione dei dati e comunicazione di crisi. Questi costi senza franchigia – e già durante il periodo di attesa.
Perdita di profitto e costi aggiuntivi	III.2.1, III.2.1.1	Interruzione di attività dovuta ad attacco informatico, errore di utilizzo o problemi tecnici. Vengono indennizzati il mancato guadagno e i costi correnti, nonché i costi aggiuntivi, ad es. per apparecchi sostitutivi o procedure di lavoro alternative – trascorso il periodo di attesa, fino al termine del periodo di indennizzo.
Merce, materie prime, semilavorati deteriorati	III.2.1.2	Clausola di deterioramento: costi variabili dovuti a deterioramento, danneggiamento o inutilizzabilità a seguito di un'interruzione di attività assicurata – compresi rimozione, smaltimento e riacquisto.
Ripristinare dati e sistema di controllo	III.2.3	Costi per riportare dati e sistema informatico allo stato precedente all'attacco. Se l'hardware IT non può essere bonificato, anche il suo riacquisto (previo accordo).
Impianti e apparecchi danneggiati	III.2.13 (se concordato)	Danni materiali a impianti tecnici aziendali e beni mobili danneggiati direttamente ed esclusivamente da un attacco: riparazione o sostituzione al valore attuale, previa conferma del crisis manager.
Trovare la causa e migliorare la sicurezza	III.2.11	Onorario dell'analisi forense IT per l'analisi della vulnerabilità e raccomandazioni concrete. Per un miglioramento della sicurezza economicamente ragionevole, una tantum il 50 % dei costi.
Controversia con il fornitore di servizi	Modulo tutela legale (ROLAND)	Spese legali, giudiziarie e peritali, ad es. se vuoi far valere tue pretese nei confronti di un fornitore di manutenzione o di servizi IT.

Per perdita di profitto e deterioramento contano due valori indicati nella polizza: il periodo di attesa (il danno in questo lasso di tempo non viene considerato) e il periodo di indennizzo (per quanto tempo al massimo viene pagato). Entrambi decorrono dalla denuncia all'assicuratore. Più velocemente denunci, prima inizia a scorrere il tempo. Se nel tuo caso il deterioramento conta già nelle prime ore dipende dal periodo di attesa concordato – lo chiariamo volentieri per te in anticipo o nel singolo caso.

Chi paga per primo: l'assicurazione cyber o quella danni ai beni?

In linea di principio la polizza Stoïk ha la precedenza sugli altri contratti (punto VI.8). Sono espressamente esclusi i danni alle materie prime (deterioramento) e i danni materiali. Qui paga per prima un'altra assicurazione esistente, ad esempio la tua assicurazione del contenuto, della merce refrigerata, dei macchinari o delle apparecchiature elettroniche. La polizza cyber interviene nella misura in cui la polizza danni ai beni non paga – ad esempio perché esclude gli attacchi informatici.

Per te questo significa: metti i due contratti uno accanto all'altro. Solo così vedi se merce deteriorata e impianti danneggiati sono coperti senza lacune o se stai pagando due volte.

I limiti: cosa non è assicurato

Assicurazione dei danni patrimoniali: i danni alle persone e alle cose sono in linea di principio esclusi (punto IV.6). Fanno eccezione i danni all'hardware secondo III.2.3, i danni materiali secondo III.2.13 e i danni immateriali derivanti da violazioni della protezione dei dati.
Danni materiali solo se concordati: se il modulo non figura nella polizza, il compressore surriscaldato resta di competenza dell'assicurazione danni ai beni. Lì non sono assicurati, tra l'altro, veicoli, animali e beni durante il trasporto.
Guasto di infrastrutture di terzi: se cade la rete elettrica pubblica o la rete internet, non c'è copertura (punto IV.21). I problemi tecnici sono assicurati solo sulla propria alimentazione elettrica.
Guerra e operazioni cyber statali sono escluse ai sensi del punto IV.16.
Prodotti e servizi propri: le richieste di risarcimento per prodotti o prestazioni difettosi dell'azienda assicurata non sono assicurate (punto IV.4). Per le aziende di manutenzione è quindi decisiva la responsabilità civile professionale o aziendale.
Somme e franchigia: per ogni sinistro vale la somma assicurata, per ogni anno il massimale annuo, oltre a limiti di indennizzo e franchigia secondo la polizza (punti VI.4, VI.5).
Sinistro in serie: se lo stesso aggressore colpisce più filiali attraverso la stessa falla, ciò vale come un unico sinistro (punto VI.7). La somma deve bastare per tutte le sedi.

I tuoi obblighi: i backup sono un requisito

Il punto V.1.1 rende i backup un requisito per la copertura assicurativa. Devono essere salvati tutti i dati e gli “elementi critici” del sistema informatico – cioè software e dati il cui ripristino costerebbe più di cinque giornate-uomo:

almeno settimanalmente, con conservazione di almeno due settimane,
come backup offline (ad es. nastro o disco rigido esterno, separato dalla rete), backup immutabile (nemmeno un amministratore può cancellarlo) o backup sicuro (isolato, protetto da firewall, accesso solo con autenticazione a più fattori).
Variante Custom: qui i backup devono inoltre essere documentati e testati in modo verificabile almeno una volta all'anno. Per il resto, i due set di condizioni coincidono nei punti trattati qui.
Attenzione: secondo le condizioni, determinate soluzioni NAS la cui protezione può essere aggirata da un amministratore non sono considerate immutabili.

Il nostro consiglio pratico: non pensare solo all'IT d'ufficio. Anche parametri, programmi e configurazione del tuo sistema di controllo di refrigerazione, riscaldamento o macchinari vanno inclusi nel backup – fatti consegnare la copia di sicurezza dal tuo fornitore di manutenzione.

Se violi intenzionalmente un obbligo contrattuale, l'assicuratore è esonerato dalla prestazione; in caso di colpa grave può ridurla in proporzione alla gravità della colpa (punto V.1.2). Mantieni la copertura se dimostri che la violazione non è stata causa del danno. Da notare: i costi dell'analisi forense IT da parte del partner CERT-Stoïk non vengono ridotti nemmeno in questo caso.

Altrettanto importanti sono le dichiarazioni nella proposta (punto VI.10): ciò che indichi sul livello di sicurezza deve essere corretto. E in caso di sinistro vale: denunciare senza indugio tramite la hotline indicata nella polizza (punto V.2.1) – questo fa anche decorrere il periodo di attesa e il periodo di indennizzo.

Manutenzione remota: perché conta il contratto di manutenzione

Anche nelle condizioni Stoïk compare la manutenzione remota: nel modulo frode cyber (se concordato) sono esclusi i danni riconducibili a un accesso remoto che hai autorizzato tu stesso. Ciò espressamente non vale per i fornitori di servizi IT o i fornitori di servizi esterni che agiscono nell'ambito di un rapporto di prestazione o di manutenzione concordato contrattualmente (punto III.4.2). Un contratto di manutenzione scritto è quindi importante non solo per la sicurezza, ma anche per la copertura assicurativa. Quali punti debba contenere lo abbiamo riassunto nell'articolo su BSI-CS 154.

Se il danno è stato causato dal fornitore di servizi, aiuta il modulo tutela legale con ROLAND: otto ambiti, tra cui tutela legale per dati e cyber, contratti e risarcimento danni, fino a 250.000 € per caso di tutela legale. Per i nuovi contratti di aziende con un fatturato annuo fino a 150 Mio. €, secondo il fornitore, è incluso senza sovrapprezzo – lo chiariamo volentieri per te in anticipo o nel singolo caso.

Prevenire invece di limitarsi a pagare

BSI-CS 154 richiede di verificare regolarmente se i dispositivi sono raggiungibili dall'esterno. Proprio questo rientra in Stoïk tra le prestazioni di prevenzione (punto III.1.1): una scansione esterna che monitora e segnala le vulnerabilità visibili dall'esterno, oltre a simulazioni di phishing, una scansione Active Directory (diritti utente, policy delle password, aggiornamento) e una scansione cloud. Maggiori dettagli nel nostro articolo Assicurazione cyber con prevenzione: tutto ciò che offre Stoïk. Importante: una scansione non sostituisce il lavoro del tuo fornitore di manutenzione sul sistema di controllo stesso.

Checklist prima della sottoscrizione

Quali sistemi di controllo e impianti sono collegati in rete – e sono indicati nella proposta?
Il modulo danni materiali è concordato?
Quanto sono il periodo di attesa, il periodo di indennizzo e i limiti di indennizzo per interruzione di attività e deterioramento?
Cosa paga la tua assicurazione del contenuto, della merce refrigerata o dei macchinari – ed esclude gli attacchi informatici?
La somma assicurata basta se tutte le sedi sono colpite contemporaneamente?
Il tuo piano di backup soddisfa i requisiti – anche per i sistemi di controllo?
Esiste un contratto di manutenzione scritto con obblighi di sicurezza per l'accesso remoto?

La nostra offerta: intermediamo l'assicurazione cyber di Stoïk e la confrontiamo per te con le tue assicurazioni danni ai beni esistenti – affinché merce deteriorata, fermo attività e impianti danneggiati non cadano tra due contratti. Per saperne di più: Cyber-security per le aziende.

Domande frequenti

Un'assicurazione cyber paga la merce deteriorata dopo un attacco hacker?

Dipende dalle condizioni contrattuali. L'assicurazione cyber di Stoïk (Cyber Serenity, condizioni DE2609.2 Standard e DE2609.1 Custom) contiene una clausola di deterioramento: vengono indennizzati i costi variabili dovuti al deterioramento di merci, materie prime o semilavorati a seguito di un'interruzione di attività assicurata, compresi smaltimento e riacquisto. Se esiste inoltre un'assicurazione danni ai beni che copre il danno, questa ha la precedenza.

Un sistema di controllo di refrigerazione o di macchinari è coassicurato nell'assicurazione cyber?

Secondo le condizioni Stoïk, fanno parte del sistema informatico hardware e software che sono parte di un sistema accessibile tramite internet o intranet e che appartengono all'azienda o sono da essa controllati. Un sistema di controllo raggiungibile tramite manutenzione remota rientra di norma in questa formulazione. Lo chiariamo volentieri per te in anticipo o nel singolo caso.

Quali backup richiede Stoïk?

Requisito per la copertura assicurativa sono backup almeno settimanali di tutti i dati e degli elementi critici del sistema informatico, con conservazione di almeno due settimane – come backup offline, immutabile o sicuro. Nella variante Custom i backup devono inoltre essere documentati e testati almeno una volta all'anno, con test documentato. Determinate soluzioni NAS la cui immutabilità può essere aggirata da un amministratore non sono riconosciute da Stoïk come immutabili.

Cosa succede se più filiali vengono attaccate attraverso la stessa falla?

In questo caso si applica la clausola sul sinistro in serie: più sinistri con la stessa causa o con una causa analoga valgono come un unico sinistro. La somma assicurata per sinistro deve quindi bastare per tutte le sedi colpite insieme.

Cordiali saluti da KiS

Nota: informazione generale, aggiornata al 05.11.2026, nessuna consulenza legale e nessuna consulenza individuale. Stoïk serve qui da esempio; quale tariffa sia adatta alla tua azienda dipende dal singolo caso. Fanno fede esclusivamente le condizioni e la polizza del tuo contratto; i moduli “se concordati” valgono solo se vi sono indicati. Fonti: Stoïk, condizioni Cyber Serenity – Standard (DE2609.2) e – Custom (DE2609.1); Stoïk, glossario dei moduli assicurativi; Stoïk, modulo tutela legale con ROLAND Rechtsschutz; BSI-CS 154 (13.10.2026). KiS – Kontor im Schwarzwald GmbH, broker assicurativo autorizzato ai sensi del § 34d Abs. 1 GewO, Reg.-Nr. D-PS74-61V96-00.

👉 Fai verificare la tua protezione cyber

← Tutti gli articoli