Il punto cieco tra RC professionale e polizza cyber
RC professionale e polizza cyber sono scritte per escludersi a vicenda. La prima esclude spesso i danni da attacco informatico, la seconda esclude spesso gli errori professionali. Per una software house molti incidenti sono entrambe le cose: una vulnerabilità nel codice sfruttata da un attaccante, un attacco che si propaga ai clienti con un aggiornamento. Se le due polizze non sono coordinate, questi sinistri possono restare senza copertura.
Perché nasce il vuoto
Ogni compagnia vuole evitare di pagare lo stesso rischio due volte e di coprire rischi che non ha valutato. Il cosiddetto silent cyber, cioè rischi cyber coperti senza volerlo da polizze tradizionali, ha spinto il mercato a introdurre esclusioni cyber esplicite nelle polizze non cyber. Allo stesso modo le polizze cyber escludono gli errori professionali, che considerano materia dell'RC. Per la maggior parte delle aziende il confine è netto. Per chi produce software no.
Sei scenari
Esempi ipotetici. L'ultima colonna indica la tendenza più comune: la risposta effettiva dipende sempre dai testi di polizza.
| Che cosa succede | Danno | Quale polizza tende a rispondere |
|---|---|---|
| Un bug nel modulo di fatturazione genera per settimane fatture con IVA errata. Il cliente paga sanzioni e costi di rettifica. | Patrimoniale al cliente | RC professionale |
| Un ransomware cifra server e repository della software house. Due settimane di fermo. | Proprio: ripristino, fermo, estorsione | Cyber, prima parte |
| Un dipendente invia per errore un export con dati personali dei clienti finali all'indirizzo sbagliato. | Violazione di dati personali | Cyber gestione breach e RC privacy |
| Una vulnerabilità nel codice consegnato viene sfruttata da un attaccante. I dati del cliente vengono sottratti. | Patrimoniale e privacy presso il cliente | Zona grigia errore professionale o evento cyber? |
| L'ambiente di build viene compromesso e un aggiornamento con codice malevolo arriva a tutti i clienti. | Danni a molti clienti insieme | Zona grigia con rischio di cumulo sul massimale annuo |
| Un attacco DDoS rende il SaaS irraggiungibile per 36 ore. I clienti applicano le penali SLA e chiedono i danni. | Penali e danni da indisponibilità | Zona grigia le penali contrattuali sono spesso escluse da entrambe |
Tre modelli di copertura
1. Due polizze separate, coordinate
Una RC professionale e una polizza cyber, anche di compagnie diverse. Funziona se le esclusioni si incastrano: ciò che una esclude, l'altra deve includerlo in modo esplicito. Il rischio è che, in caso di sinistro, le due compagnie discutano su chi deve pagare, con tempi lunghi.
2. Polizza combinata Tech E&O e cyber
Un unico contratto con sezioni per errori professionali, responsabilità cyber verso terzi e danni propri. È la struttura pensata per le aziende tecnologiche: un solo assicuratore e nessun conflitto di competenza. Attenzione al massimale, che può essere unico e condiviso tra le sezioni.
3. RC professionale con estensione cyber
Alcune RC professionali offrono garanzie cyber accessorie. Spesso hanno sottolimiti bassi e coprono solo una parte dei danni propri. Possono andare bene per attività piccole e a basso rischio, raramente per un SaaS o per chi gestisce infrastrutture dei clienti.
Le domande da fare prima di firmare
- La RC professionale contiene un'esclusione cyber? Con quale formulazione esatta?
- La polizza cyber esclude gli errori professionali o la responsabilità per prodotti e servizi forniti ai clienti?
- Un data breach presso un cliente causato da una vulnerabilità nel mio codice: quale delle due risponde?
- Un attacco che si propaga ai clienti tramite i miei rilasci o i miei accessi remoti è coperto? Da quale sezione?
- Le penali SLA e i danni da indisponibilità del servizio sono coperti, esclusi o sottolimitati?
- Il massimale è per sinistro, per anno o condiviso tra sezioni? Che cosa succede se un evento colpisce cento clienti?
- Retroattività: da quando? Nella polizza cyber si applica anche alla responsabilità verso terzi?
- Chi gestisce l'incidente nelle prime ore e con quali tempi di intervento?
Hai già una o entrambe le polizze?
Mettiamo i testi uno accanto all'altro e ti mostriamo dove non si incastrano.