Questa pagina illustra i requisiti di cybersicurezza specifici per enti assicurativi classificati come soggetti importanti secondo il D.Lgs. 138/2024, con focus su protezione dati assicurati, continuità aziendale e gestione del rischio cyber nella catena di fornitura.
Sono obbligate le compagnie di assicurazione diretta, i broker assicurativi e i riassicuratori che operano in Italia e gestiscono dati di assicurati, premi e sinistri. Rientrano nella classificazione di soggetto importante le entità attive nel settore assicurativo con rilevanza economica e operativa nel territorio nazionale. La registrazione presso l'ACN deve avvenire tra il 1° gennaio e il 28 febbraio di ogni anno.
Le compagnie assicurative devono implementare controlli di accesso robusti (inclusa autenticazione multi-fattore) sui portali broker, sui sistemi di gestione polizze e sulle piattaforme di gestione sinistri. È obbligatorio cifrare i dati degli assicurati in transito e a riposo, con particolare attenzione ai sistemi legacy che ancora non dispongono di crittografia nativa. Deve essere documentato un processo formale di patch management per tutti i sistemi informativi critici, con testing prima del deployment in produzione.
Ogni ente assicurativo deve definire piani di continuità operativa per i sistemi di sinistri, incluse strategie di backup, disaster recovery e failover automatico. I tempi di Recovery Time Objective (RTO) e Recovery Point Objective (RPO) devono essere specifici per ogni sistema critico e sottoposti a test almeno semestrali. La documentazione dei piani deve essere aggiornata annualmente e comunicata ai principali stakeholder interni ed esterni.
Le compagnie devono condurre valutazioni formali del rischio cyber per tutti i vendor di software underwriting, gestione polizze e elaborazione sinistri. Deve essere stipulato un contratto che includa obblighi di sicurezza, notifica incidenti entro 24 ore, diritto di audit e clausole di responsabilità. È necessario mantenere un registro aggiornato di tutti i vendor critici e delle loro certificazioni di sicurezza (ISO 27001, SOC 2, ecc.).
I broker digitali e le piattaforme di quotazione online devono essere sottoposte a valutazione annuale del rischio cyber, con test di penetrazione e vulnerability assessment. Deve essere verificato che i canali di distribuzione rispettino i requisiti di autenticazione forte, protezione contro attacchi DDoS e monitoraggio continuo delle anomalie. Qualsiasi vulnerabilità critica deve essere corretta entro 30 giorni dalla scoperta.
In caso di incidente di cybersicurezza che incida sulla disponibilità, integrità o confidenzialità dei dati, l'ente assicurativo deve notificare l'ACN entro 24 ore dalla scoperta. La notifica deve includere natura dell'incidente, dati interessati, numero di assicurati coinvolti e misure di contenimento adottate. Una relazione completa con analisi forense deve essere fornita entro 72 ore.
La registrazione deve essere completata fra il 1° gennaio e il 28 febbraio di ogni anno. Il D.Lgs. 138/2024 entra in vigore dal 16 ottobre 2024; i soggetti importanti devono registrarsi nella finestra temporale indicata per essere conformi.
Per i soggetti importanti (come le compagnie assicurative), le sanzioni amministrative pecuniarie possono raggiungere fino a €7 milioni o il 1,4% del fatturato annuale, a seconda di quale importo sia maggiore. La gravità della sanzione dipende dall'entità dell'inadempimento e dalla criticità dei dati compromessi.
Un incidente che interessi la disponibilità, integrità o confidenzialità dei dati assicurati deve essere notificato all'ACN entro 24 ore dalla scoperta. Una relazione completa e una analisi forense devono essere fornite entro 72 ore dalla notifica iniziale, secondo le modalità specificate dall'Agenzia per la Cybersicurezza Nazionale.