Un attacco informatico blocca i sistemi di un’azienda: la produzione si ferma, le consegne slittano e alcuni contratti rischiano di saltare. Quello che inizialmente sembrava un problema tecnologico si trasforma rapidamente in una questione commerciale, finanziaria e operativa. Lo stesso può accadere quando una crisi geopolitica interrompe le forniture o un evento climatico mette fuori uso un’infrastruttura strategica, con conseguenze che si estendono ben oltre l’emergenza iniziale.
È uno degli aspetti più critici del panorama dei rischi d’impresa, profondamente cambiato con la digitalizzazione, le tensioni internazionali e la crescente interdipendenza delle catene di approvvigionamento. Le aziende ne sono consapevoli e stanno aumentando le risorse destinate alla protezione, eppure tra gli investimenti e l’effettiva capacità di affrontare le proprie vulnerabilità continua a esserci una distanza.
È quanto emerge dal recente report Risk in Motion 2026 di Hiscox1, realizzato attraverso un’indagine su 800 risk manager di aziende multinazionali operanti in diversi mercati internazionali, tra cui Francia, Germania e Paesi nordici. Secondo lo studio, il 69% degli intervistati prevede un aumento degli investimenti nella gestione dei rischi nei prossimi dodici mesi, ma soltanto il 48% ritiene che i modelli attualmente adottati siano molto o estremamente efficaci nell’identificare le interconnessioni tra le diverse minacce. Un divario che solleva un interrogativo sulla reale capacità delle organizzazioni di trasformare gli investimenti in strumenti di prevenzione e risposta davvero efficaci.
Europa, cresce la consapevolezza ma la gestione dei rischi resta una sfida
La distanza tra investimenti e preparazione assume dimensioni differenti nei mercati analizzati. In Francia, il 28% dei risk manager giudica poco efficaci gli attuali modelli nell’individuare i rischi interconnessi, una percentuale che si attesta al 24% nei Paesi nordici e al 15% in Germania. Nonostante le differenze, la percezione di una preparazione ancora insufficiente è ampiamente condivisa: il 95% degli intervistati tedeschi e il 94% di quelli francesi e nordici ritiene che le organizzazioni sottovalutino le conseguenze a catena dei rischi.
Anche le prospettive di investimento restituiscono un quadro eterogeneo. Tuttavia, pur trovandosi in fasi differenti del proprio percorso verso modelli di gestione più integrati, le imprese europee condividono la stessa necessità di rafforzare la propria capacità di risposta. I dati parlano chiaro: in Germania il 64% dei risk manager prevede un incremento della spesa destinata alla gestione dei rischi, mentre nei Paesi nordici la quota si ferma al 44%. Il confronto evidenzia differenze nelle scelte di investimento, a fronte di una preoccupazione diffusa per la capacità delle organizzazioni di affrontare minacce sempre più complesse.
Il problema, del resto, non riguarda soltanto le risorse disponibili, ma il modo in cui le aziende sono organizzate. Su scala internazionale, l’84% dei risk manager intervistati identifica nella separazione tra funzioni aziendali un fattore che rallenta la risposta alle minacce interconnesse, mentre il 50% indica nel coordinamento tra team, attività e coperture assicurative una delle principali difficoltà quando più rischi si manifestano contemporaneamente. Una crisi che coinvolge contemporaneamente produzione, sistemi informatici e rapporti con i fornitori richiede decisioni che difficilmente possono essere prese da una sola funzione aziendale. Occorre stabilire quali attività ripristinare per prime, quali impegni commerciali siano maggiormente esposti e quali risorse destinare alla gestione dell’emergenza. Il rischio, in questi casi, è che ogni reparto affronti la propria parte del problema senza una visione completa delle conseguenze sull’impresa.
Lo scenario italiano e il rischio cyber
Se il quadro europeo mette in evidenza le difficoltà nella gestione delle minacce interconnesse, l’Italia offre un esempio concreto delle loro conseguenze, attraverso il rischio cyber. Secondo il Cyber Readiness Report 2026 di Hiscox2, realizzato su un campione internazionale di 6.800 responsabili della cybersecurity di aziende con meno di 250 dipendenti, di cui 300 in Italia, il 26% delle PMI italiane intervistate ha subito almeno un attacco informatico riuscito negli ultimi dodici mesi. Tra le imprese colpite, il 37% ha dichiarato di aver perso opportunità commerciali o partnership strategiche: l’incidenza più elevata tra i dieci mercati analizzati.
Le conseguenze non si limitano ai rapporti commerciali. Il 33% delle aziende italiane vittime di attacchi ha registrato un’interruzione dell’operatività compresa tra una e due giornate lavorative, mentre il 29% ha subito sanzioni finanziarie o normative rilevanti. Per il 23%, inoltre, l’incidente informatico ha rappresentato una minaccia concreta alla solvibilità aziendale. Dati che mostrano come la cybersecurity non possa più essere considerata esclusivamente una questione tecnologica. Una vulnerabilità informatica può rapidamente trasformarsi in un problema di continuità operativa, liquidità e competitività, con ripercussioni che coinvolgono diverse funzioni dell’impresa.
A complicare ulteriormente lo scenario interviene la diffusione dell’intelligenza artificiale. Sempre secondo il rapporto Hiscox, il 44% dei responsabili della cybersecurity delle PMI italiane considera i rischi di sicurezza legati all’IA tra le tre principali preoccupazioni aziendali, contro una media europea del 35%. Una maggiore sensibilità che si accompagna alla necessità di valutare esposizioni sempre più complesse, dalle vulnerabilità dei fornitori tecnologici alle frodi automatizzate. Nel Risk in Motion Report, infatti, tra le minacce analizzate, il cyber emerge come uno dei principali fattori di propagazione del rischio, per la sua capacità di amplificare fenomeni differenti, dalle frodi abilitate dall’intelligenza artificiale alle interruzioni dei sistemi digitali e alle difficoltà operative.
Assicurazioni, il mercato italiano cresce del 6,5% ma resta il divario di protezione
Mentre le imprese si confrontano con minacce sempre più difficili da circoscrivere, il mercato assicurativo italiano continua a crescere. L’aumento della raccolta premi, tuttavia, non permette di stabilire quanto le aziende siano effettivamente protette. Secondo i dati ANIA pubblicati a marzo 20263, nel 2025 la raccolta premi complessiva delle compagnie operanti in Italia ha raggiunto i 182 miliardi di euro, in crescita del 7,8% rispetto al 2024. L’incremento ha riguardato anche il comparto Danni, che ha registrato un aumento del 6,5%, sostenuto, tra gli altri fattori, dalla maggiore attenzione ai rischi climatici, alle vulnerabilità informatiche e ai bisogni di protezione sanitaria.
Un andamento che segnala una crescente domanda di copertura assicurativa, senza tuttavia consentire di stabilire quanto le singole imprese abbiano effettivamente rafforzato le proprie capacità di prevenzione e gestione dei rischi.
È la stessa ANIA a richiamare l’attenzione sul persistente divario di protezione che separa l’Italia dai principali mercati di riferimento. Un elemento che assume particolare rilevanza alla luce dell’evoluzione delle esposizioni aziendali: all’aumentare della complessità dei rischi, infatti, diventa necessario valutare non soltanto la disponibilità di strumenti assicurativi, ma anche la loro adeguatezza rispetto alle potenziali conseguenze economiche e operative di un evento. In questo scenario, il tema non è quindi esclusivamente quanto le imprese investano in protezione, ma soprattutto come distribuiscano le risorse tra prevenzione, capacità di risposta, continuità operativa e trasferimento del rischio.
Dai rischi alle decisioni: cinque verifiche per le imprese
Se il problema è comprendere come una minaccia possa propagarsi all’interno dell’organizzazione, da dove dovrebbe partire un’impresa? Più che dall’adozione di nuovi strumenti, la risposta passa attraverso una valutazione concreta della propria capacità di affrontare una crisi, a partire da cinque aspetti fondamentali: i processi essenziali, le dipendenze esterne, la gestione delle emergenze, l’esposizione economica e l’adeguatezza delle coperture assicurative.
La prima riguarda, appunto, le attività essenziali. Non tutti i processi hanno lo stesso peso: occorre individuare quelli la cui interruzione comprometterebbe maggiormente la produzione, i ricavi o gli impegni verso clienti e fornitori; è da questa mappatura che può partire la definizione delle priorità di protezione.
La seconda riguarda le dipendenze esterne. Un’impresa può disporre di sistemi affidabili e procedure interne efficaci, ma dipendere per attività fondamentali da un unico fornitore, da una piattaforma digitale o da un’infrastruttura sulla quale ha un controllo limitato. Conoscere queste dipendenze permette di individuare vulnerabilità che una valutazione concentrata esclusivamente sull’organizzazione interna rischierebbe di trascurare.
La terza verifica consiste nel mettere alla prova la capacità di risposta. Simulare un’interruzione che coinvolga più funzioni aziendali può aiutare a chiarire chi debba assumere le decisioni, quali attività abbiano la precedenza e come debbano circolare le informazioni. L’obiettivo non è prevedere ogni possibile crisi, ma individuare in anticipo i punti nei quali il coordinamento potrebbe rallentare gli interventi.
La quarta riguarda la quantificazione delle perdite. Ai costi immediati di un incidente possono aggiungersi mancati ricavi, penali contrattuali, spese straordinarie e conseguenze commerciali successive alla ripresa dell’attività. Distinguere queste componenti permette di valutare con maggiore precisione l’esposizione economica dell’impresa e le risorse necessarie per affrontarla.
La quinta, infine, riguarda la coerenza delle coperture assicurative rispetto ai rischi individuati. Una volta chiariti i processi essenziali, le dipendenze e le possibili perdite, diventa possibile verificare quali conseguenze siano effettivamente coperte, quali esclusioni o limiti siano previsti e quale parte del rischio rimanga in capo all’azienda. È in questa fase che il confronto con gli intermediari assicurativi può contribuire a tradurre l’analisi delle vulnerabilità in scelte di protezione più consapevoli, soprattutto nelle PMI che non dispongono di strutture interne dedicate al risk management.
Queste verifiche non eliminano l’incertezza né garantiscono che un’impresa possa evitare ogni interruzione. Consentono però di affrontare una questione che i dati Hiscox rendono evidente: aumentare gli investimenti non basta se l’organizzazione fatica a riconoscere le relazioni tra le minacce e a comprenderne le conseguenze. La differenza si misura nella capacità di sapere, prima che si verifichi una crisi, quali attività proteggere, quali perdite poter sostenere e quali decisioni prendere per limitarne l’impatto.
A firma di Paolo Tanfoglio, CEO di Lokky Agency, MGA del Gruppo Hiscox
Note
1 https://www.hiscoxlondonmarket.com/sites/londonmarket/files/2026-09/HSX441-Risk_in_Motion.pdf
2 https://www.hiscoxgroup.com/hiscox-cyber-readiness-report-2026
3 https://www.ania.it/comunicati/ania-pubblica-i-dati-sulla-raccolta-premi-nel-2025-2/
