L’Agenzia dell’Unione europea per la sicurezza informatica (ENISA) nel nuovo report “Demand Side of Cyber Insurance in the EU” esplora le sfide affrontate dagli operatori di servizi essenziali nell’UE quando cercano di acquisire un’assicurazione cyber.
Il report analizza le potenziali prospettive e sfide affrontate dagli operatori di servizi essenziali (OES) relative all’acquisizione di servizi assicurativi cyber, esplorando anche gli aspetti dell’assicurazione informatica dal punto di vista dello sviluppo delle policy e suggerendo raccomandazioni ai responsabili e alla comunità degli OES.
Le informazioni e le statistiche sono presentate in base alla selezione, all’acquisizione e all’uso dell’assicurazione informatica come strumento di mitigazione nel contesto del ciclo di vita della loro attività quotidiana.
Cosa rivela il report?
Con l’attuale tendenza all’aumento degli incidenti informatici che interessano in larga misura anche gli OES, la maggior parte di loro percepisce l’assicurazione informatica come un servizio che non può permettersi a causa dei premi eccezionali e della copertura svantaggiosa. Secondo i dati raccolti attraverso un sondaggio rivolto a 262 OES in tutta l’UE, tre su quattro non dispongono attualmente di una copertura assicurativa informatica. L’indagine rivela inoltre che altre strategie di mitigazione del rischio sono spesso considerate più favorevoli dagli OES.
Per il 77% degli intervistati è stato impostato un processo formalizzato per identificare i rischi informatici. Il restante 23% non dispone di alcun processo di questo tipo. D’altra parte, il 64% delle organizzazioni dichiara di non quantificare i rischi informatici. Tuttavia, tutti i collaboratori intervistati dichiarano di disporre di pratiche di gestione del rischio e di un processo per determinare i controlli.
Tra le motivazioni alla base della decisione di stipulare una copertura assicurativa figurano per il 46% la copertura in caso di sinistro conseguente a un incidente informatico, per il 19% requisito di legge, conoscenze specialistiche pre-incidente o post-incidente da parte delle compagnie assicurative.
Il 56% degli intervistati ha dichiarato di considerare altri strumenti di mitigazione del rischio più efficaci della cyber insurance.
Raccomandazioni ai responsabili politici
- Implementare meccanismi di orientamento per migliorare la maturità delle pratiche di gestione del rischio degli OES;
- Promuovere l’istituzione di quadri per identificare e scambiare buone pratiche tra OES, in particolare in relazione all’identificazione, mitigazione e quantificazione dell’esposizione al rischio;
- Incoraggiare iniziative, compresa la standardizzazione e lo sviluppo di orientamenti, per fornire metodologie di valutazione sulla quantificazione dei rischi informatici;
- Sviluppare quadri di collaborazione con partner pubblici e privati per abilitare quadri e programmi di competenze per l’assicurazione informatica, in particolare in aree quali la valutazione del rischio, gli aspetti legali, la gestione delle informazioni e le dinamiche del mercato dell’assicurazione informatica.
Raccomandazioni agli OES
- Fare progressi verso la maturità delle pratiche di gestione del rischio;
- allocare o aumentare il budget per implementare processi di identificazione delle risorse, metriche chiave, condurre valutazioni periodiche del rischio, identificazione dei controlli di sicurezza e quantificazione dei rischi sulla base delle migliori pratiche del settore;
- Migliorare il trasferimento delle conoscenze e la condivisione con altri OES.
La raccolta di dati e pareri è stata elaborata in relazione alla categoria di OES inclusi nella direttiva sulla sicurezza delle reti e dell’informazione (NIS) (Direttiva (UE) 2016/1148. Tuttavia, risultati ed evidenze sarebbero applicabili anche a entità essenziali e importanti definite nel quadro della Direttiva NIS2 (UE) 2022/2555.
Demand Side of Cyber Insurance in the EU – Rapporto ENISA 202
