Glossario assicurativo cyber e RC professionale IT

Circostanze note: Fatti conosciuti dall'assicurato prima della stipula che potrebbero generare una richiesta di risarcimento. Vanno dichiarati alla stipula; come sono trattati dipende dal testo di polizza.
Claims made: Regime in cui la polizza risponde alle richieste di risarcimento presentate per la prima volta durante il periodo di assicurazione, anche per fatti precedenti, entro i limiti della retroattività.
Danno patrimoniale puro: Perdita economica che non deriva da danni a persone o cose: mancati incassi, sanzioni, costi di rifacimento. È il danno tipico causato da un errore nel software.
Data breach: Violazione di sicurezza che comporta distruzione, perdita, modifica, divulgazione o accesso non autorizzati a dati personali (art. 4 GDPR). Va notificata al Garante entro 72 ore se presenta un rischio per gli interessati.
Estorsione cyber: Minaccia di danneggiare sistemi o divulgare dati per ottenere un pagamento, tipicamente con ransomware. Può essere oggetto di una garanzia specifica nelle polizze cyber: condizioni e limiti vanno verificati nel testo.
Franchigia: Importo fisso che resta a carico dell'assicurato per ogni sinistro. Nell'interruzione di attività può essere espressa in ore di fermo (franchigia temporale).
Incident response: Insieme di attività per contenere e risolvere un incidente informatico: analisi, isolamento, eliminazione della minaccia, ripristino. Una polizza cyber può prevedere un servizio di intervento dedicato: verifica chi lo fornisce e con quali tempi.
Interruzione di attività: Garanzia che indennizza il margine perso e i costi aggiuntivi durante il fermo dei sistemi causato da un evento coperto. In inglese business interruption.
Massimale: Importo massimo che l'assicuratore paga. Può essere per sinistro, per anno assicurativo (aggregato) o condiviso tra più sezioni della polizza.
Penale contrattuale: Somma che il fornitore si impegna a pagare per ritardi o per il mancato rispetto degli SLA. È dovuta anche senza prova del danno (art. 1382 c.c.). Poiché deriva dal contratto e non dalla legge, è uno dei punti da verificare per primi nel testo di polizza.
Postuma (ultrattività): Periodo successivo alla scadenza della polizza durante il quale si possono ancora denunciare richieste di risarcimento per fatti avvenuti mentre era in vigore. Rilevante in caso di cessazione, fusione o cessione.
Prima parte: Danni subiti direttamente dall'assicurato: costi di ripristino, fermo dell'attività, estorsione, gestione del data breach.
Responsabile del trattamento: Soggetto che tratta dati personali per conto del titolare (art. 28 GDPR). È il ruolo tipico della software house che gestisce dati dei clienti in cloud o in assistenza.
Retroattività: Periodo precedente alla stipula entro il quale deve essere stato commesso l'errore perché la richiesta sia coperta in regime claims made. Può essere limitata (per esempio due o cinque anni) o illimitata.
Scoperto: Percentuale del danno che resta a carico dell'assicurato, eventualmente con un minimo in euro.
Silent cyber: Rischio cyber coperto in modo implicito, senza essere né incluso né escluso esplicitamente, da polizze non cyber. Per evitarlo, le polizze possono contenere clausole che includono o escludono in modo esplicito i rischi informatici.
SLA: Service Level Agreement: accordo che fissa livelli di servizio misurabili, come disponibilità e tempi di risposta, a volte collegati a penali.
Sottolimite: Limite di indennizzo inferiore al massimale, applicato a una specifica garanzia. Per esempio: massimale 1 milione, sottolimite estorsione 100 mila.
Supply chain attack: Attacco che colpisce un fornitore per arrivare ai suoi clienti, per esempio compromettendo un aggiornamento software. Per una software house è lo scenario in cui un evento cyber diventa responsabilità verso i clienti.
Tech E&O: Technology Errors & Omissions: RC professionale specifica per aziende tecnologiche, che copre i danni ai clienti causati da errori, omissioni o malfunzionamenti di software e servizi IT.
Terza parte: Danni causati ad altri (clienti, utenti, interessati) per cui l'assicurato è chiamato a rispondere: la sezione di responsabilità civile della polizza.