Glossario assicurativo cyber e RC professionale IT

Circostanze note: Fatti conosciuti dall'assicurato prima della stipula che potrebbero generare una richiesta di risarcimento. Di norma vanno dichiarati e sono esclusi dalla copertura.
Claims made: Regime in cui la polizza risponde alle richieste di risarcimento presentate per la prima volta durante il periodo di assicurazione, anche per fatti precedenti, entro i limiti della retroattività. È il regime standard delle RC professionali e delle polizze cyber.
Danno patrimoniale puro: Perdita economica che non deriva da danni a persone o cose: mancati incassi, sanzioni, costi di rifacimento. È il danno tipico causato da un errore nel software.
Data breach: Violazione di sicurezza che comporta distruzione, perdita, modifica, divulgazione o accesso non autorizzati a dati personali (art. 4 GDPR). Va notificata al Garante entro 72 ore se presenta un rischio per gli interessati.
Estorsione cyber: Minaccia di danneggiare sistemi o divulgare dati per ottenere un pagamento, tipicamente con ransomware. Alcune polizze cyber la coprono con il consenso preventivo dell'assicuratore e nei limiti di legge.
Franchigia: Importo fisso che resta a carico dell'assicurato per ogni sinistro. Nell'interruzione di attività è spesso espressa in ore di fermo (franchigia temporale).
Incident response: Insieme di attività per contenere e risolvere un incidente informatico: analisi, isolamento, eliminazione della minaccia, ripristino. Nelle polizze cyber è spesso fornito da un team specializzato attivabile a qualsiasi ora.
Interruzione di attività: Garanzia che indennizza il margine perso e i costi aggiuntivi durante il fermo dei sistemi causato da un evento coperto. In inglese business interruption.
Massimale: Importo massimo che l'assicuratore paga. Può essere per sinistro, per anno assicurativo (aggregato) o condiviso tra più sezioni della polizza.
Penale contrattuale: Somma che il fornitore si impegna a pagare per ritardi o per il mancato rispetto degli SLA. Poiché deriva dal contratto e non dalla legge, è spesso esclusa o sottolimitata nelle polizze.
Postuma (ultrattività): Periodo successivo alla scadenza della polizza durante il quale si possono ancora denunciare richieste di risarcimento per fatti avvenuti mentre era in vigore. Rilevante in caso di cessazione, fusione o cessione.
Prima parte: Danni subiti direttamente dall'assicurato: costi di ripristino, fermo dell'attività, estorsione, gestione del data breach.
Responsabile del trattamento: Soggetto che tratta dati personali per conto del titolare (art. 28 GDPR). È il ruolo tipico della software house che gestisce dati dei clienti in cloud o in assistenza.
Retroattività: Periodo precedente alla stipula entro il quale deve essere stato commesso l'errore perché la richiesta sia coperta in regime claims made. Può essere limitata (per esempio due o cinque anni) o illimitata.
Scoperto: Percentuale del danno che resta a carico dell'assicurato, spesso con un minimo in euro.
Silent cyber: Rischio cyber coperto in modo implicito, senza essere né incluso né escluso esplicitamente, da polizze non cyber. Per eliminarlo il mercato ha introdotto esclusioni cyber nelle polizze tradizionali, una delle cause del punto cieco tra RC professionale e cyber.
SLA: Service Level Agreement: accordo che fissa livelli di servizio misurabili, come disponibilità e tempi di risposta, spesso collegati a penali.
Sottolimite: Limite di indennizzo inferiore al massimale, applicato a una specifica garanzia. Per esempio: massimale 1 milione, sottolimite estorsione 100 mila.
Supply chain attack: Attacco che colpisce un fornitore per arrivare ai suoi clienti, per esempio compromettendo un aggiornamento software. Per una software house è lo scenario in cui un evento cyber diventa responsabilità verso i clienti.
Tech E&O: Technology Errors & Omissions: RC professionale specifica per aziende tecnologiche, che copre i danni ai clienti causati da errori, omissioni o malfunzionamenti di software e servizi IT.
Terza parte: Danni causati ad altri (clienti, utenti, interessati) per cui l'assicurato è chiamato a rispondere: la sezione di responsabilità civile della polizza.