Il report delle Autorità europee
Il cyber risk nel settore finanziario europeo assume ormai una dimensione sempre più sistemica. È quanto emerge dal primo report annuale delle Autorità europee di vigilanza — EBA, EIOPA ed ESMA — sugli incidenti ICT gravi segnalati dagli operatori finanziari nell’ambito del regolamento DORA, il Digital Operational Resilience Act. Il documento evidenzia come i rischi informatici siano sempre più “borderless and interconnected”, cioè non più confinati al singolo ente o al singolo mercato nazionale.
Per il mercato assicurativo, il dato è particolarmente rilevante: il rischio cyber non riguarda soltanto la violazione di sistemi informativi o la perdita di dati, ma coinvolge continuità operativa, dipendenza da fornitori terzi, responsabilità contrattuali, business interruption e capacità di gestione della crisi.
Incidenti frequenti, ma impatti spesso contenuti
Secondo i dati richiamati nello studio, nel 2025 sono stati segnalati 3.383 incidenti ICT gravi da parte degli enti finanziari europei soggetti a DORA. Il numero non deve essere letto necessariamente come sintomo di debolezza strutturale. In un settore altamente digitalizzato, una certa quota di incidenti operativi è fisiologica. Ciò che rileva, anche in ottica assicurativa, è la capacità dell’organizzazione di individuare rapidamente l’evento, contenerlo e limitare gli effetti su clienti, operatività e controparti.
Il documento sottolinea infatti che molti eventi non hanno prodotto conseguenze significative o hanno generato danni limitati. In questa prospettiva, la resilienza non coincide con l’assenza di incidenti, ma con la capacità di impedire che l’incidente diventi crisi sistemica.
Il nodo dei fornitori terzi
Uno degli aspetti più sensibili riguarda l’outsourcing. Una parte significativa degli incidenti analizzati risulta collegata a soggetti esterni all’ente finanziario: fornitori ICT, infrastrutture condivise, piattaforme operative o altri operatori interconnessi. Le Autorità evidenziano il ruolo crescente dei servizi esternalizzati e la necessità di una gestione più rigorosa del rischio di fornitura.
Per le assicurazioni, questo significa che la valutazione del rischio cyber deve spostarsi dalla sola infrastruttura interna dell’assicurato alla sua intera catena digitale. Diventano centrali le clausole contrattuali con i provider, gli obblighi di notifica, i livelli di servizio, i piani di continuità, le procedure di audit e la possibilità di sostituire rapidamente un fornitore critico.
Intelligenza artificiale e nuove minacce
Il report richiama anche l’evoluzione degli strumenti di intelligenza artificiale ad alte prestazioni. Tali tecnologie possono rafforzare prevenzione e monitoraggio, ma possono anche essere impiegate per rendere più sofisticati gli attacchi. Da qui l’esigenza, richiamata dalle Autorità, di mantenere standard di cybersicurezza “ai massimi livelli”.
Questo profilo incide direttamente sulle polizze cyber: obblighi di sicurezza, dichiarazioni precontrattuali, esclusioni, aggravamento del rischio e condizioni per l’indennizzabilità dovranno essere sempre più coerenti con un contesto tecnologico in rapida evoluzione.
Una nuova cultura assicurativa del cyber risk
Il messaggio di fondo è chiaro: nel sistema finanziario europeo il cyber risk non è più un rischio meramente tecnico, ma un rischio organizzativo, contrattuale e di filiera. La disciplina DORA contribuisce a rendere più omogenee le segnalazioni e a migliorare la qualità dei dati disponibili, anche se permangono differenze tra Paesi e settori.
Per il settore assicurativo, questa evoluzione può rappresentare un’occasione. Una maggiore convergenza dei dati e delle pratiche di vigilanza potrà favorire una migliore modellizzazione del rischio, prodotti più aderenti alle esposizioni reali e una gestione più consapevole dei sinistri cyber complessi.
08.07.2026
