Il nuovo report del think tank globale delle assicurazioni avverte: le perdite mediane annuali da incidenti informatici sono cresciute di quindici volte in quindici anni, ma la penetrazione della cyber insurance resta bassa, soprattutto tra le PMI
Le perdite economiche legate agli incidenti informatici sono cresciute di quindici volte nel corso degli ultimi quindici anni. È uno dei dati più significativi contenuti nel nuovo report pubblicato dalla Geneva Association, il think tank mondiale che riunisce i CEO delle principali compagnie di riassicurazione e assicurazione globali. Lo studio, diffuso il 31 marzo 2026, analizza il rapporto tra cyber resilience aziendale e mercato assicurativo, e arriva a una conclusione che dovrebbe far riflettere: molte imprese dispongono già di strumenti efficaci per proteggersi, ma non li utilizzano pienamente.
Il contesto in cui si inserisce l’analisi è quello di una minaccia in continua evoluzione. Le tensioni geopolitiche degli ultimi anni hanno accelerato la frequenza e la sofisticazione degli attacchi informatici. La dipendenza digitale delle imprese — catene di fornitura interconnesse, infrastrutture cloud, sistemi di pagamento integrati — amplia la superficie di rischio e rende ogni singolo incidente potenzialmente sistemico. In questo quadro, la Geneva Association sostiene che la cyber resilience, intesa come capacità di prevenire, assorbire e riprendersi da un’interruzione informatica, deve diventare una priorità strategica e non una voce residuale nei budget aziendali.
Il mercato della cyber insurance è cresciuto rapidamente nell’ultimo decennio, ma il tasso di adozione resta basso in molti settori. Il report individua nelle piccole e medie imprese il segmento più vulnerabile: sono sempre più nel mirino degli attacchi, dispongono di risorse interne limitate per costruire difese robuste, eppure continuano a sottostimare il ruolo che una polizza assicurativa potrebbe svolgere non solo come strumento di trasferimento del rischio, ma come leva concreta di prevenzione e risposta.
Jad Ariss, Managing Director della Geneva Association, ha sintetizzato la questione con una lettura che supera la dimensione tecnica del problema: «Nel contesto geopolitico attuale, il cyber risk non è più soltanto una questione informatica: è un rischio core per le imprese e per l’economia. Gli incidenti cyber possono essere inevitabili, ma non lo è il loro impatto. La cyber insurance può svolgere un ruolo critico nel rafforzare la resilienza, aiutando le aziende a prevenire gli incidenti, gestire le interruzioni e recuperare più rapidamente. Sbloccare questo potenziale richiederà una collaborazione più stretta tra industria, fornitori tecnologici e governi».
Il nodo centrale, secondo il report, non è tanto la disponibilità dei prodotti assicurativi quanto la loro sottoutilizzazione. Le polizze cyber oggi includono standard di underwriting, servizi di risposta agli incidenti e supporto nella gestione dei sinistri. Sono strumenti che, se correttamente attivati, possono migliorare l’igiene digitale delle aziende già nella fase preventiva, prima che un attacco si materializzi. Darren Pain, direttore della ricerca della Geneva Association e autore del report, ha messo il dito sulla piaga: «Molti assicurati, in particolare le PMI, sottoutilizzano i servizi preventivi incorporati nelle loro polizze. Aumentare la consapevolezza e l’utilizzo di queste capacità potrebbe rafforzare significativamente la capacità delle imprese di resistere e riprendersi dagli incidenti informatici».
La Geneva Association non si limita a descrivere il problema, ma indica anche le condizioni necessarie per migliorare la situazione. Servono maggiore consapevolezza da parte delle imprese sui contenuti reali delle polizze, e serve una coordinazione più strutturata tra assicuratori, tecnologi e istituzioni pubbliche. L’obiettivo è migliorare la comprensione dei rischi cyber interdipendenti — quelli che si propagano da un’azienda all’altra attraverso le reti digitali — e sviluppare soluzioni che rafforzino la resilienza non solo a livello di singola impresa, ma dell’intero sistema economico.
Il report arriva in un momento in cui il tema della cyber security è tornato al centro dell’agenda regolatoria europea, tra l’entrata in vigore di DORA per il settore finanziario e l’aggiornamento della direttiva NIS2 per le infrastrutture critiche. In questo contesto, il ruolo delle compagnie assicurative come attori attivi nella gestione del rischio digitale — e non semplici pagatori di sinistri — acquista una rilevanza che va ben oltre i confini tradizionali del mercato.
