Di Alberto Di Piazza, Risk Manager di Consulbrokers
Negli ultimi dodici mesi il rischio cyber ha assunto caratteristiche sempre più vicine a un rischio operativo sistemico. I report più recenti convergono su una lettura comune: gli attacchi aumentano in frequenza, diventano più rapidi e sfruttano strumenti di automazione sempre più avanzati. L’intelligenza artificiale accelera questa evoluzione, riducendo la soglia tecnica necessaria per condurre operazioni offensive e restringendo la finestra temporale entro cui le organizzazioni possono riconoscere, contenere e gestire una minaccia. Per le aziende, la questione non riguarda più soltanto la protezione dei dati o l’integrità dei sistemi informatici, ma la tenuta dei processi produttivi, commerciali e amministrativi.
Secondo il report Klecha & Co. The New Warfare: Cyber, AI and the Weaponisation of Code, entro il 2027 oltre il 30% dei principali incidenti cyber globali sarà potenziato dall’intelligenza artificiale. Il report evidenzia inoltre che un agente AI può comprimere in meno di 30 secondi una sequenza d’attacco che, in uno scenario tradizionale, richiederebbe ore. Il salto non è solo tecnologico: cambia il tempo a disposizione dell’impresa per reagire.
Il Rapporto Clusit 2026 conferma l’intensificazione del fenomeno. Nel 2025 gli incidenti cyber gravi a livello globale sono stati 5.265, in crescita del 49% rispetto all’anno precedente. In Italia sono saliti a 507 nel 2025, dai 357 del 2024, con una crescita del 42%. Il settore governativo, militare e delle Forze dell’ordine concentra oltre il 28% degli incidenti; il manifatturiero rappresenta il 12,6% degli attacchi, mentre trasporti e logistica registrano un incremento del 134,6% su base annua.
Questi numeri ridimensionano l’idea del cyber risk come tema circoscritto alle grandi piattaforme digitali o alle società tecnologiche. La vulnerabilità riguarda qualsiasi organizzazione che dipenda da sistemi gestionali, reti connesse, infrastrutture cloud, fornitori IT, dati sensibili o processi automatizzati.
L’esperienza di risk management maturata in Consulbrokers mostra come ci sia consapevolezza dei rischi, soprattutto tra le imprese strutturate, manifatturiere e dei servizi, che stanno cercando maggiori coperture. In alcuni casi, quindici o venti giorni di blocco possono generare tensioni significative su liquidità, produzione, ordini e relazioni commerciali. Un fermo attività interrompe i ricavi, mentre costi fissi, obblighi contrattuali e scadenze operative continuano a maturare, oltre alla possibilità concreta di perdita di quote di mercato laddove l’interruzione attività risulti abbastanza prolungata nel tempo.
Le polizze cyber non sono una novità, ma la domanda del mercato sta evolvendo. La valutazione assicurativa richiede una lettura industriale del rischio, in cui l’analisi parte dall’esposizione concreta dell’azienda: livello di dipendenza dai sistemi digitali, processi che si fermerebbero in caso di attacco, durata sostenibile dell’interruzione, costi fissi non comprimibili, possibili penali, impatto su clienti e fornitori, capacità di ripristino. Solo dopo questa ricognizione diventa possibile valutare se le coperture esistenti siano coerenti con il profilo di rischio effettivo.
Il risk management serve a rendere misurabile questa esposizione prima che si trasformi in perdita. Identificazione dei rischi, classificazione per probabilità e impatto, verifica di franchigie, scoperti, esclusioni e massimali, stima del rischio residuo: sono passaggi necessari per distinguere ciò che può essere trasferito al mercato assicurativo da ciò che resta in capo all’impresa. L’assicurazione non elimina il rischio, ma può trasformarne una parte in una variabile economica più prevedibile.
La maturità cyber di un’azienda si misura sempre meno sulla sola dotazione tecnologica e sempre più sulla capacità di integrare sicurezza informatica, continuità operativa e trasferimento assicurativo del rischio. In un contesto in cui l’AI accelera le tecniche offensive e rende più accessibili strumenti evoluti di attacco, la vulnerabilità principale può diventare organizzativa, come non sapere quali processi si fermerebbero, per quanto tempo e con quale impatto economico. È su questa consapevolezza che il cyber risk entra stabilmente nell’agenda del management.