Il portale della compagnia non risponde. In agenzia ci sono tre sinistri da denunciare entro la giornata e clienti che chiedono aggiornamenti. Chi bisogna contattare? Quale canale alternativo utilizzare? Che cosa si può comunicare?
È in situazioni come questa che la resilienza digitale smette di essere un tema soltanto tecnologico e diventa una questione di coordinamento tra compagnia e rete distributiva.
Indice degli argomenti
Che cosa chiede IVASS e a chi
La comunicazione IVASS del 17 luglio 2026 — «Resilienza operativa digitale e modelli avanzati di intelligenza artificiale» — chiede alle imprese di assicurazione e riassicurazione con sede legale in Italia, e alle rappresentanze generali per l’Italia di imprese con sede in uno Stato terzo rispetto allo Spazio economico europeo, una relazione sul livello attuale di esposizione al rischio cyber e sull’adeguatezza dei presidi esistenti, con l’indicazione delle principali carenze e delle relative misure correttive, accompagnata da un piano di lavoro: interventi, tempi, investimenti e modalità con cui il consiglio di amministrazione ne controllerà l’avanzamento. Il termine per la trasmissione all’Istituto è il 31 dicembre 2026.
Gli intermediari non sono destinatari diretti della comunicazione. Resta aperto il tema del raccordo operativo con le reti: la distribuzione è il punto in cui i processi digitali incontrano il cliente, ed è lì che le vulnerabilità si innestano.
Il richiamo non inaugura da zero il percorso di resilienza delle assicurazioni. Si inserisce nel quadro DORA, il regolamento europeo sulla resilienza operativa digitale applicabile dal gennaio 2025, e chiede alle imprese di riesaminare i propri presidi alla luce di una minaccia in evoluzione: modelli avanzati di intelligenza artificiale capaci di ridurre il tempo tra l’individuazione di una vulnerabilità e il suo sfruttamento. Se l’attaccante si muove più rapidamente, anche la capacità di individuare, correggere e contenere le debolezze deve accelerare.
Che cosa sappiamo della vulnerabilità delle reti
Le fonti pubbliche offrono alcuni indicatori, che vanno letti per quello che misurano.
Un primo riferimento è la Relazione annuale IVASS sull’attività svolta nel 2025. L’Istituto riferisce di aver attivato un presidio sulle segnalazioni di gravi incidenti informatici, che imprese e intermediari sono tenuti a trasmettere: nel primo anno di applicazione del nuovo quadro regolamentare le segnalazioni sono state dieci — tre relative ad attacchi informatici e sette a incidenti operativi — e sette sono arrivate dagli intermediari. Il dato più significativo non è il numero, ma la sua composizione: una quota rilevante, indicata nell’80%, è riferibile a eventi connessi con fornitori terzi di servizi IT.
Il dato richiama il tema della dipendenza dai fornitori esterni, che la comunicazione di luglio indica tra i fattori che ampliano la superficie di rischio. Nella stessa Relazione la voce «Rischi Cyber» è classificata a impatto alto, con probabilità medio-alta.
Un secondo indicatore arriva da chi assicura professionalmente gli intermediari: CGPA Europe, compagnia specializzata nella responsabilità civile professionale degli intermediari assicurativi, ha registrato nei primi sei mesi del 2026 un numero di denunce legate al cyber risk pari a quello dell’intero 2025 nel portafoglio osservato.
Il contesto generale va nella stessa direzione. Allianz Risk Barometer 2026 colloca gli incidenti informatici al primo posto tra i rischi indicati dalle imprese del Paese, mentre l’Agenzia per la Cybersicurezza Nazionale ha rilevato nel primo semestre 2026 oltre 2.100 eventi cyber, in aumento del 47% rispetto allo stesso periodo dell’anno precedente, con phishing, compromissione di caselle di posta, abuso di credenziali valide e sfruttamento di vulnerabilità note tra le minacce ricorrenti.
Sono le stesse tecniche che colpiscono un’agenzia: una casella di posta compromessa è, per una rete di vendita, una porta aperta sui dati dei clienti.
Sul fronte della maturità organizzativa, l’analisi di Italian Insurtech Association sul mercato assicurativo italiano distingue tra gli operatori con strategia definita, competenze dedicate e roadmap triennale: gli «AI leader» sono il 25% delle compagnie, il 10% degli intermediari e il 30% dei fornitori di servizi.
È una differenza nell’approccio all’intelligenza artificiale secondo la classificazione della ricerca, non una misura diretta della resilienza cyber: le due cose vanno tenute distinte. Il peso dei canali, dal canto suo, dice altro ancora: il canale online vale circa l’1,6% della raccolta complessiva e sale al 15-18% nel solo ramo RCA, mentre il canale agenziale resta il primo per i premi danni, intorno al 70%. Numeri che descrivono dove si distribuisce il business, non quanto i processi siano sicuri o capaci di reagire a un incidente.
Dalle procedure alla risposta condivisa
Una procedura disponibile negli archivi della compagnia non coincide con una capacità di risposta condivisa. Per coinvolgere la rete servono istruzioni accessibili, contatti aggiornati, canali alternativi e occasioni di verifica congiunta.
Torniamo al portale che non risponde: la rete è in condizione di gestire le conseguenze dell’incidente solo se, in quel momento, l’agenzia sa chi avvisare, con quali credenziali, attraverso quale canale alternativo e con quale messaggio da girare al cliente che chiede notizie.
Se queste quattro informazioni esistono soltanto nella procedura interna della compagnia, la rete non è coinvolta: è informata.
Il coinvolgimento va cercato in riscontri concreti: istruzioni aggiornate, contatti di emergenza, comunicazioni comprensibili, formazione e partecipazione alle esercitazioni.
Da qui le domande che riguardano chi lavora in agenzia o in un ufficio broker:
- Chi attiva il raccordo tra compagnia e rete?
- Come si continua a lavorare quando il canale ordinario non è disponibile?
- Quali istruzioni riceve chi parla con il cliente?
- Come si verifica che quelle istruzioni siano conosciute e utilizzabili?
Competenze, costi e proporzionalità
Il versante organizzativo è la precondizione di qualsiasi maturità digitale. Lo studio «Modelli operativi e redditività dell’Agenzia», realizzato dai centri ERiL e Cetif dell’Università Cattolica del Sacro Cuore con la collaborazione del Sindacato Nazionale Agenti e presentato a settembre, ha analizzato circa 3.500 agenzie: oltre tre quarti sono ormai organizzate in forma societaria e la S.r.l., con quasi un terzo del totale, è la forma giuridica più diffusa. Ma oltre la metà degli agenti ha più di 55 anni, solo il 2,4% ne ha meno di 35, e la ricerca stima che il 40-50% delle agenzie italiane possa trovarsi senza un successore nei prossimi dieci anni.
La conclusione degli autori è che la trasformazione più importante sarà organizzativa prima ancora che tecnologica: dall’agenzia costruita intorno alla figura individuale dell’agente a una società di intermediazione nella quale convivano competenze tecniche, analisi dei dati, marketing digitale e servizio post-vendita.
Sono competenze che difficilmente possono essere concentrate in una sola persona, e che pesano anche sulla capacità di reggere un’emergenza.
Su questo terreno si collocano le posizioni delle rappresentanze. ANAPA Rete ImpresAgenzia, nell’audizione convocata dall’IVASS sul nuovo piano strategico triennale, ha chiesto all’Istituto di considerare gli effetti dell’evoluzione dei canali distributivi e di evitare differenze nelle condizioni competitive e nei livelli di tutela a seconda del canale. Il ragionamento dell’associazione è che agli obblighi e alle responsabilità dell’intermediario professionale non sempre corrispondono modalità di vendita altrettanto rigorose negli altri canali, anche sotto il profilo dell’effettiva fruibilità dell’informativa precontrattuale.
ACB, l’associazione dei broker presieduta da Luigi Viganotti, ha messo il tema al centro della propria assemblea di giugno. Il presidente ha ricordato che l’azione di vigilanza si è concentrata sulla resilienza digitale anche per effetto di DORA e che questo «comporta investimenti continui per gli intermediari», chiedendo «con forza proporzionalità e semplificazione» per evitare che la stratificazione normativa penalizzi le strutture medio-piccole.
Su AIBA il riferimento utile è il convegno di aprile sul broker del futuro, dove la consigliere IVASS Maddalena Rabitti ha osservato che rischi digitali e trasformazione tecnologica non si presentano più come fenomeni separati, e che piattaforme e strumenti di intelligenza artificiale nella filiera sono al tempo stesso opportunità e fonte di rischio.
La credibilità della consulenza cyber
C’è infine un raccordo esterno che cambia la sostanza economica del tema, e riguarda il lato domanda: la direttiva NIS 2, recepita in Italia con il D.lgs. 138/2024, è entrata nella sua terza fase attuativa: dal 1° gennaio 2026 è attivo l’obbligo di notifica degli incidenti significativi al CSIRT, il team di risposta dell’Agenzia per la Cybersicurezza Nazionale, ad aprile l’Agenzia ha pubblicato il modello di categorizzazione delle attività e dei servizi, ed entro ottobre i soggetti inseriti nell’elenco NIS devono aver adottato le misure di sicurezza di base.
Le stime parlano di circa 20.000 soggetti obbligati, con proiezioni che salgono oltre 50.000 includendo le pubbliche amministrazioni.
Per la rete di vendita questo si traduce in due effetti convergenti: il primo è che i presidi richiesti dalla normativa entrano nella valutazione assicurativa, le compagnie, infatti, stanno già aggiornando i processi di sottoscrizione con questionari più dettagliati, richiesta di evidenze concrete sull’implementazione delle misure di sicurezza e differenziazione dei premi in funzione della maturità organizzativa del cliente.
Il secondo è che si apre uno spazio di consulenza che gli intermediari possono occupare, ma solo se possiedono le competenze per farlo: la ricerca EY realizzata per Italian Insurtech Association sui broker descrive esattamente questo spostamento di baricentro, dalla vendita del prodotto alla gestione della relazione e dalla transazione alla consulenza, con il broker che in alcuni segmenti diventa architetto di soluzioni più che distributore.
Il nodo è la coerenza tra competenze dichiarate, organizzazione interna e servizio offerto.
Prima di accompagnare un cliente sul rischio cyber, un intermediario deve poter mostrare di avere istruzioni, ruoli e presidi propri, allineati con quelli della compagnia con cui opera.
È qui che il divario misurato dagli indicatori smette di essere una statistica e diventa una questione di posizionamento di mercato.
Che cosa resta da verificare
A oggi non esiste, tra le fonti pubbliche consultate alla data di chiusura di questo articolo, una misurazione degli effetti della comunicazione di luglio sulle imprese: la scadenza del 31 dicembre non è ancora maturata e le relazioni trasmesse all’IVASS non sono pubbliche.
Quello che le fonti documentano è il contesto in cui le risposte si collocheranno, e i limiti di ciascun indicatore sono parte del quadro: le quote di canale descrivono il peso della distribuzione, la presenza di «AI leader» descrive un approccio all’intelligenza artificiale, le denunce presso un assicuratore riguardano il portafoglio osservato, le segnalazioni di incidenti fotografano criticità operative e dipendenze da terzi nel perimetro rilevato.
Nessuno di questi dati, da solo, dice quanto la filiera sappia reagire.
(Nota dell’autrice: l’articolo è un’analisi redazionale basata su fonti pubbliche. Le relazioni trasmesse all’IVASS entro il 31 dicembre 2026 non sono pubbliche e non è disponibile, a oggi, alcuna misurazione degli effetti della comunicazione del 17 luglio 2026 sulle imprese).
Partecipa alla community