Il settore sanitario è il bersaglio primario degli attacchi cyber — ransomware e data breach — per l'altissimo valore dei dati trattati, definiti "categorie particolari di dati" dall'Art. 9 del GDPR (Reg. UE 2016/679). Per un professionista o una struttura, il furto di cartelle cliniche non è solo un danno reputazionale: innesca responsabilità civili e sanzioni amministrative pecuniarie fino a 20 milioni di euro o al 4% del fatturato annuo globale. La digitalizzazione dei flussi (Fascicolo Sanitario Elettronico, telemedicina, gestionali di cartella) amplia di continuo la superficie esposta.

La Cyber Risk non è una copertura per danni materiali, ma un servizio di gestione della crisi. Copre le spese di notifica ai pazienti, il ripristino dei sistemi e la difesa legale. Le casistiche standard includono il ransomware (criptazione dei dati con richiesta di riscatto — il ripristino è coperto, mentre il pagamento del riscatto è spesso escluso o limitato per ragioni legali ed etiche), l'errore umano (smarrimento di un laptop o di una chiavetta USB con dati non criptati) e la violazione della privacy (referti inviati per errore a destinatari sbagliati).

Le compagnie non assumono il rischio "al buio". L'accesso è subordinato a una security baseline: sistemi operativi aggiornati e supportati, backup off-site o immutabile (almeno una copia non permanentemente connessa alla rete — regola del 3-2-1), autenticazione a due fattori (2FA) obbligatoria per l'accesso remoto a server e gestionali, e soluzioni EDR (Endpoint Detection and Response) attive su tutti i terminali. Senza questi requisiti la polizza può essere annullata per "aggravamento del rischio" o la franchigia raddoppiata. Sopra certi volumi di record trattati, in fase di underwriting la compagnia richiede di norma anche un Vulnerability Assessment esterno.

Il premio dipende dal volume d'affari e dalla quantità di dati trattati. A titolo indicativo di mercato, per uno studio medico singolo (fatturato < 200k€) il premio annuo si colloca tra 450 e 800 €; per un poliambulatorio o clinica (fatturato 1–5 M€) tra 2.500 e 6.000 €. Sono ordini di grandezza, non preventivi. Sul premio grava l'imposta sulle assicurazioni del 21,25%: le polizze cyber ricadono infatti nel ramo Perdite Pecuniarie, non nel 12,50% della R.C. auto. Restano a tuo carico la franchigia (Self-Insured Retention), fissa per sinistro o espressa in ore di fermo sistema, e gli eventuali importi oltre i sub-limit su notifica e spese forensi (gli onorari tecnici per ricostruire cosa è stato rubato si conteggiano a ore e pesano in fretta).

L'emissione della polizza richiede pochi giorni lavorativi dal questionario compilato correttamente. In caso di attacco, il valore della copertura sta nei tempi di reazione contrattualizzati: la Cyber Hotline risponde entro i minuti previsti dal contratto e l'intervento tecnico da remoto parte nelle ore immediatamente successive — sono parametri scritti in polizza, da confrontare prima di firmare. La finestra di notifica GDPR è di 72 ore dal momento in cui si viene a conoscenza della violazione: entro questo termine la polizza deve garantire il parere legale. Il ripristino dei sistemi varia da 48 ore a settimane, in funzione della qualità dei backup e della complessità dell'infrastruttura.

Scegliere e gestire una Cyber Risk significa leggere correttamente requisiti, franchigie e sub-limit, e tenere allineata la conformità GDPR nel tempo. MedWorks ti affianca nella valutazione del rischio informatico del tuo studio, nella scelta di una copertura coerente con il volume di dati trattati e nel coordinamento con la security baseline richiesta dalla compagnia. Vuoi capire quanto saresti "scoperto" in caso di attacco? Possiamo partire dal tuo attuale tempo di backup e simulare la franchigia temporale.