Cyber Risk in Sanità: proteggere i dati dei pazienti dal furto
- Compila il questionario assuntivo (Cyber Survey) con risposte veritiere: dichiarazioni inesatte fanno perdere l'indennizzo (Artt. 1892-1893 C.C.)
- Mantieni i requisiti minimi di sicurezza: backup off-site/immutabile (regola 3-2-1), 2FA sugli accessi remoti, soluzioni EDR attive
- Forma periodicamente il personale: circa il 60% delle violazioni coinvolge il fattore umano (phishing, credenziali usate male, configurazioni sbagliate), e molte polizze premiano la formazione con sconti
- Aggiorna il Registro dei Trattamenti (Art. 30 GDPR) e comunicalo all'assicuratore a ogni nuovo software o servizio (es. telemedicina)
- Non dichiarare sistemi di backup o sicurezza inesistenti o inattivi: al sinistro decade l'indennizzo
- Non trascurare la revisione trimestrale degli accessi dei collaboratori cessati: le credenziali attive aprono ad accessi abusivi
- Non considerare la polizza "installa e dimentica": senza manutenzione della conformità la copertura si svuota
- Non superare la finestra di 72 ore per la notifica al Garante quando il rischio per i pazienti è elevato
Il settore sanitario è il bersaglio primario degli attacchi cyber — ransomware e data breach — per l'altissimo valore dei dati trattati, definiti "categorie particolari di dati" dall'Art. 9 del GDPR (Reg. UE 2016/679). Per un professionista o una struttura, il furto di cartelle cliniche non è solo un danno reputazionale: innesca responsabilità civili e sanzioni amministrative pecuniarie fino a 20 milioni di euro o al 4% del fatturato annuo globale. La digitalizzazione dei flussi (Fascicolo Sanitario Elettronico, telemedicina, gestionali di cartella) amplia di continuo la superficie esposta.
La Cyber Risk non è una copertura per danni materiali, ma un servizio di gestione della crisi. Copre le spese di notifica ai pazienti, il ripristino dei sistemi e la difesa legale. Le casistiche standard includono il ransomware (criptazione dei dati con richiesta di riscatto — il ripristino è coperto, mentre il pagamento del riscatto è spesso escluso o limitato per ragioni legali ed etiche), l'errore umano (smarrimento di un laptop o di una chiavetta USB con dati non criptati) e la violazione della privacy (referti inviati per errore a destinatari sbagliati).
Le compagnie non assumono il rischio "al buio". L'accesso è subordinato a una security baseline: sistemi operativi aggiornati e supportati, backup off-site o immutabile (almeno una copia non permanentemente connessa alla rete — regola del 3-2-1), autenticazione a due fattori (2FA) obbligatoria per l'accesso remoto a server e gestionali, e soluzioni EDR (Endpoint Detection and Response) attive su tutti i terminali. Senza questi requisiti la polizza può essere annullata per "aggravamento del rischio" o la franchigia raddoppiata. Sopra certi volumi di record trattati, in fase di underwriting la compagnia richiede di norma anche un Vulnerability Assessment esterno.
Il premio dipende dal volume d'affari e dalla quantità di dati trattati. A titolo indicativo di mercato, per uno studio medico singolo (fatturato < 200k€) il premio annuo si colloca tra 450 e 800 €; per un poliambulatorio o clinica (fatturato 1–5 M€) tra 2.500 e 6.000 €. Sono ordini di grandezza, non preventivi. Sul premio grava l'imposta sulle assicurazioni del 21,25%: le polizze cyber ricadono infatti nel ramo Perdite Pecuniarie, non nel 12,50% della R.C. auto. Restano a tuo carico la franchigia (Self-Insured Retention), fissa per sinistro o espressa in ore di fermo sistema, e gli eventuali importi oltre i sub-limit su notifica e spese forensi (gli onorari tecnici per ricostruire cosa è stato rubato si conteggiano a ore e pesano in fretta).
L'emissione della polizza richiede pochi giorni lavorativi dal questionario compilato correttamente. In caso di attacco, il valore della copertura sta nei tempi di reazione contrattualizzati: la Cyber Hotline risponde entro i minuti previsti dal contratto e l'intervento tecnico da remoto parte nelle ore immediatamente successive — sono parametri scritti in polizza, da confrontare prima di firmare. La finestra di notifica GDPR è di 72 ore dal momento in cui si viene a conoscenza della violazione: entro questo termine la polizza deve garantire il parere legale. Il ripristino dei sistemi varia da 48 ore a settimane, in funzione della qualità dei backup e della complessità dell'infrastruttura.
Scegliere e gestire una Cyber Risk significa leggere correttamente requisiti, franchigie e sub-limit, e tenere allineata la conformità GDPR nel tempo. Presto in arrivo polizze cyber targate MedWorks, calibrate sul volume di dati sanitari trattati e sulla security baseline richiesta dalle compagnie. Scopri di più sul nostro sito.