Chiedetevi: “In caso di incidente informatico, quali sono i costi che possono emergere da un attacco cyber, un guasto o un errore umano?” Confrontate le risposte con le garanzie assicurative che si possono rinvenire nelle polizze cyber presenti sul mercato italiano. Incidente informatico? Ecco i costi percepiti La partecipazione ad un convegno sulla gestione delle crisi aziendali informatiche, ha dato al nostro broker specializzato in assicurazioni per i rischi digitali, Cesare Burei, l’occasione di sottoporre ad un pubblico di imprenditori ed IT Manager un quesito a risposta libera: “Quali sono secondo voi i costi che possono emergere da un attacco cyber, un guasto o un errore umano che fermino in toto o in parte i sistemi informativi e dunque il business?” Le loro risposte, raccolte in diretta, sono comparabili con le principali garanzie assicurative riguardanti i costi e rinvenibili nelle polizze cyber proposte sul mercato italiano. Appare subito evidente che l’attenzione e dunque la preoccupazione preponderante nel pubblico sia il Ransomware, il malware che mette il lucchetto ai server criptando i dati e lancia la relativa richiesta di riscatto in cambio del quale ottenere la chiave di cifratura. La seconda voce di costo più menzionata in varie forme è il
Le aziende che certificano il loro software come dispositivo medico ai sensi del regolamento UE 2017/745 o MDR incorrono nell’articolo 10 sulla riserva finanziaria per coprire richieste di risarcimento. Qual è la polizza assicurativa giusta per essere compliant? Un caso studio – Parte 3 (Parte 1 – contesto; Parte 2 – La norma) A caccia dell’assicurazione per la responsabilità da software dispositivo medico Nell’autunno 2022 veniamo contattati da una PMI italiana che produce un software per il settore ospedaliero in fase avanzata di certificazione ai sensi del MDR e che quindi vuole dimostrare al certificatore di essere compliant anche all’art. 10, §15 e §16. L’esigenza del cliente, produttore di software dispositivo medico La richiesta è la seguente: esiste una adeguata polizza assicurativa che permetta di ovviare alla difficoltà di creare un “congruo accantonamento” come richiesto dal regolatore? Il software è già operativo in diversi ospedali e, anche se appartenente alla categoria di rischio più bassa, potrebbe configurarsi persino il caso del danno sistemico in strutture decisamente più grandi della nostra PMI e attrezzate per arrivare con richieste danni dirette o indirette a seguito di azione dei pazienti sull’ospedale. L’esigenza è di rispettare quanto previsto nel Regolamento, arrivare alla certificazione del
Il regolamento UE 2017/745 per i dispositivi medici o MDR regolamenta un mercato in costante crescita, accende un faro sui software medicali e apre un tema assicurativo. Dopo l’inquadramento generale (Parte 1) oggi spieghiamo il perché avvalendoci a seguire di un caso studio in ambito assicurativo. Parte 2. Il Regolamento (UE) 2017/745 per i dispositivi medici – abbreviato in MDR – decreta che alcuni software dedicati al settore sanitario rientrino nella categoria dei Dispositivi Medici, ovvero siano assimilabili pur nella loro immaterialità, ai prodotti medicali e, in alcuni casi, debbano essere certificati da un Organismo Notificato. A tutela dei diritti dei consumatori/pazienti è sancito che il produttore (ma anche un importatore e distributore) preveda un congruo accantonamento in caso di richieste di risarcimento per danni. La polizza assicurativa può essere una soluzione alternativa o equivalente? Polizza assicurativa per la compliance al MDR. Una necessità per i software medicali Margas, Broker e Consulente di assicurazioni, specializzata in rischi tecnologici e digitali, è stata interpellata nell’autunno del 2022 da una PMI italiana che produce un software per il settore sanitario; in fase avanzata di certificazione ai sensi del MDR riscontra difficoltà nel provvedere al congruo accantonamento per responsabilità civile verso terzi. L’esigenza
Il software è diventato “prodotto” per la prima volta nel 2021 con il regolamento UE 2017/745 per i dispositivi medici o MDR. Una sfida per PMI del settore e per il mercato assicurativo. Ce ne occupiamo in tre puntate a partire da uno sguardo al mercato dei MD in generale, dei Dispositivi Medici Software in particolare e da un caso studio. Parte 1. MDR o Medical Device Regulation in sintesi “Pubblicato nella Gazzetta ufficiale dell’Unione Europea nell’aprile 2017, l’MDR è stato sviluppato per riflettere i significativi progressi nelle tecnologie dei dispositivi medici che si sono verificati dall’attuazione del quadro iniziale europeo negli anni ’90 e per armonizzare il processo di revisione e approvazione normativa in tutti gli Stati membri dell’UE. I requisiti dell’MDR sono diventati applicabili a tutti i dispositivi medici venduti nell’UE a partire dal 26 maggio 2021.” (Tuvsud.com) M. D., per vent’anni responsabile tecnica di CONSOBIOMED nel distretto medicale di Mirandola (MO), ci ha dato la seguente sintesi e il suo punto di vista sull’impatto dell’MDR a fine 2022: MDR e complessità per le PMI “Il mondo dei dispositivi medici è molto vasto e variegato. Il fatto che i software possano essere dei dispositivi medici non è una
A fine 2024 TIG – The Innovation Group ha pubblicato il suo Position Paper annuale sullo stato della Cyber Security. Questa edizione si è concentrata su “La maturità delle aziende italiane nella risposta al rischio cyber”. Vi presentiamo il nostro contributo scaricabile gratuitamente con il rimando alla pubblicazione completa. Maturità assicurativa delle aziende italiane nell’ambito del Cyber Risk I diversi regolamenti europei sulla cyber security promulgati negli ultimi anni, a partire dal GDPR per finire con DORA, NIS e NIS2, hanno tutti promosso concetti come Accountability e Risk Management. Una riflessione sulla maturità delle aziende italiane rispetto al cyber risk non può dunque più prescindere dal tema della loro maturità assicurativa. Esiste un mercato assicurativo maturo? Proviamo allora innanzitutto a capire quale sia lo stato della diffusione delle cosiddette polizze cyber, un ombrello sotto al quale raggruppiamo diverse tipologie di polizze atte a completare l’attività di risk management aziendale con il trasferimento del rischio residuo o il finanziamento dello stesso alle assicurazioni. Da broker assicurativo e consulente specializzato nei rischi digitali delle imprese tout court e in quelli di responsabilità civile delle aziende digitali, abbiamo il nostro piccolo osservatorio su questo mercato. Ma volendo restituire al lettore qualche dato di
Margas è Gold Sponsor del Meeting Eroi Digitali 2024 organizzato da Nethesis per partner di canale vecchi e nuovi. Si terrà al Palariccione il 24 e 25 Ottobre 2024. Se non conosci ancora questo meeting incredibile o non hai ancora deciso, allora ti diamo qualche buon motivo per esserci e acquisire i tuoi biglietti gratuiti per il Meeting Eroi Digitali 2024 Margas rinnova anche quest’anno la sua presenza come sponsor e contributor di programma per portare tra le aziende ICT consapevolezza sui loro rischi professionali e su quelli legati al proprio perimetro digitale aziendale e dei loro clienti (Cyber Risk). In nostro obiettivo sarà come sempre offrire un punto di vista manageriale e di governance collegato con un corretto approccio allo strumento assicurativo. Oltre a noi, al Meeting Eroi Digitali 2024 troverete un giorno e mezzo di networking umano, tecnico e commerciale con tanta in-formazione, buon cibo e intrattenimento all around al mondo Nethesis e alle sue soluzioni open source per le PMI. Il Programma ✔ Giovedì 24 ottobre dalle 17:30 – 19:15 👉 “Aspettando il Meeting”👉 Camp degli Eroi Digitali + quattro workshop interattivi. Quando avrai confermato la tua presenza al pomeriggio del Camp potrai anche scegliere il tuo
La polizza cyber serve e funziona. Se sei arrivato fin qui passando per i post precedenti (parte 1, parte 2, parte 3), hai i presupposti per assicurare bene l’azienda. Qui le ultime indicazioni per far funzionare la polizza quando si verifica la crisi. Parte 4 Voglio che la polizza cyber … tenga quando serve Sembra tautologico, ma non lo è. Come abbiamo visto nei precedenti post, quello verso una polizza cyber di buona qualità è un percorso da non sottovalutare, da fare attingendo alle giuste competenze e insieme. Anche includendo il broker assicurativo come stakeholder chiave. Dal mondo analogico possiamo imparare molto anche per fare bene nel mondo digitale. Non stupitevi se per farci meglio capire prendiamo ad esempio un rischio ed una polizza “tradizionali”, nel senso migliore del termine, cioè quello dell’esperienza: l’incendio. Essere preparati ad affrontare la crisi digitale come un’incendio La polizza incendio è quella più diffusa tra le imprese: la legge 81/2008 infatti ci ha obbligati ad avere le squadre antincendio, le procedure antincendio, gli impianti di estinzione. Le normative europee esistenti e quelle in arrivo (DORA, Cyber Resilience Act, NIS-2, MDR-Prodotti medicali SW,..), che per ora riguardano soprattutto le banche, le infrastrutture critiche, ci costringeranno
PMI e Cyber Risk. Il ruolo del broker assicurativo e dei suoi partner specializzati nel gruppo di lavoro permanente e multidisciplinare aziendale e quali i temi su cui confrontarsi. La domanda di polizze a tutela dai danni e costi derivanti da un guasto, un fermo, un attacco ai sistemi digitali aziendali, è in costante aumento. Tuttavia, essere assicurabili e far funzionare il contratto assicurativo quando serve, non è scontato. Margas fa luce sull’evoluzione del mercato assicurativo (parte 1), sui requisiti minimi che richiede (parte 2) e sul percorso assicurativo, forma minima di governance del cyber risk. Parte tre PMI e Cyber Risk: verso un nuovo modo di assicurarsi e gestire il rischio La polizza è uno strumento sicuramente molto utile per aiutare le aziende a far fronte ai rischi cyber. Quello che il mercato assicurativo sta chiedendo direttamente o indirettamente di fare per assicurarsi, può, tuttavia, essere scoraggiante e indurre a cercare vie brevi: soluzioni pronto vendita non calate sulla realtà aziendale che in caso di incidente rischiano di ritorcersi contro di essa. Pensiamo soprattutto a quel tipo di aziende che caratterizzano, in un insieme assai variegato di fatturati, di tipologie di attività svolte e di organizzazione, il tessuto produttivo
In un mercato che possiamo definire in crescita, ma ancora giovane per numerosità di contratti stipulati e quindi per dati ed esperienza, ci si sta accorgendo che essere assicurabili non è scontato. Dopo le riflessioni sul contesto che determina le caratteristiche attuali delle polizze cyber (parte 1), passiamo ai prerequisiti minimi richiesti e su come il processo assicurativo possa stimolare la Governance del rischio nelle aziende meno strutturate. Parte 2 Rispettare requisiti minimi per mitigare il rischio cyber La pandemia ha cambiato le modalità con cui si svolge l’attività lavorativa di milioni di persone e sono cresciuti a dismisura gli accessi da remoto ai sistemi aziendali. Questo stato di cose, in aggiunta a quanto abbiamo illustrato nella prima puntata, preoccupa gli assicuratori e dovrebbe pre-occupare anche noi. Per questo al giorno d’oggi nella fase di analisi del rischio o di raccolta delle informazioni necessarie per ottenere una proposta assicurativa Cyber, è bene avere già messo in campo le seguenti misure minime: VPN (Virtual Private Network) ed MFA (Multifactor Autentication) backup con la regola del 231 e le prove programmate di consistenza e ripristino strumenti di rivelazione e analisi dei log XDR (extended detection and response) gestione/automazione cambio password criptazione file
Assicurazione Cyber aziendale. Riuscire ad assicurarsi e poi far funzionare il contratto assicurativo quando serve, non è scontato. Da Margas, broker assicurativo specializzato, alcune utili indicazioni su come muoversi e sul perché la governance del processo sia ciò che rende utile ed efficace la polizza cyber aziendale. Puntata 1 Evoluzione dell’assicurazione cyber e stato dell’arte La natura e il linguaggio dell’offerta di soluzioni assicurative contro il Cyber risk, sono cambiati negli ultimi dieci anni. La profonda e pervasiva digitalizzazione dei processi aziendali e della vita del cittadino-consumatore -lavoratore, la virtualizzazione crescente di sistemi e attività, le iniziative europee sul fronte della tutela dei dati e della regolamentazione della sicurezza del mondo informatico e delle telecomunicazioni e infine i problemi e costi da malfunzionamento, errore umano o pirateria, sono stati e sono determinanti per l’evoluzione dei testi, delle limitazioni, dei prerequisiti. Un buon testo dovrebbe oggi aver superato la tutela dell’hardware in favore della liquidazione dei costi emergenti per la risoluzione della crisi (personale ausiliario, specialisti e tecnici, periti, avvocati, comunicatori, servizi di monitoraggio bancario, straordinari dei dipendenti….) e in alcuni casi anche del pagamento del riscatto da ransomware (come vedremo sempre più limitato) della differenza tra Margine operativo (o in altri
