Il questionario di rinnovo cyber insurance 2026 — il playbook di risposta del CISO

Usa questo playbook quando la tua organizzazione sta compilando o rinnovando una polizza cyber standalone o la sezione cyber di una polizza pacchetto, e l'assicuratore o il broker ha emesso un proposal form / questionario di rinnovo (Marsh, Aon, Beazley, Coalition, Chubb e il mercato di Londra usano varianti dello stesso set di controlli). Vale per le prime sottoscrizioni e per i rinnovi; il questionario di rinnovo è di solito più duro di quello dell'anno scorso, perché la baseline dei controlli si sposta ogni ciclo.

Non è un playbook di gestione sinistri (che scatta dopo un incidente) e non è consulenza legale sul wording di polizza — coinvolgi il broker e, per il linguaggio delle garanzie, un legale. Il suo ambito è l'esercizio pre-bind: rispondere a ogni domanda sui controlli in modo veritiero, difendibile e con evidenze che puoi riprodurre al momento del sinistro. La regola che governa tutto: il questionario è una garanzia, non un documento di marketing. Una risposta generosa che non puoi provare è peggio di un onesto 'no' con un piano di remediation allegato.

Lavora a ritroso dalla data di decorrenza / rinnovo della polizza (T0). Gli assicuratori vogliono il questionario compilato e le evidenze a supporto ben prima del bind, e ogni gap sui controlli che emerge tardi diventa una restrizione di copertura, un sub-limite o un rifiuto.

• T0 meno 60 giorni — richiedi il questionario di rinnovo al broker in anticipo. Non aspettare che arrivi; la versione dell'anno corrente aggiunge quasi sempre domande (nel 2026, lo scope della MFA phishing-resistant, la percentuale di copertura EDR/MDR e i backup immutabili/testati sono le sezioni in espansione).
• T0 meno 45 giorni — completa il pre-assemblaggio delle evidenze sui controlli (Fase A). È il collo di bottiglia.
• T0 meno 30 giorni — rispondi al questionario a partire dalle evidenze assemblate (Fase B), segnala ogni gap e avvia la remediation su tutto ciò che si leggerà come debolezza.
• T0 meno 14 giorni — invia. Le Q&A di sottoscrizione e le evidenze di miglioramento (un test di restore appena completato, un gap MFA chiuso) arrivano ancora prima del bind.
• T0 — bind. Da qui le tue risposte sono garanzie bloccate per il periodo di polizza.

La trappola: trattare il questionario come un compito di due settimane. Le evidenze dietro un 'sì' difendibile — cifre di copertura, date dei test, liste di eccezioni — non si fabbricano in due settimane, ed è esattamente per questo che i team arrotondano per eccesso e creano l'esposizione alla dichiarazione inesatta.

Obiettivo: prima di rispondere a una singola domanda, assembla un pacchetto di evidenze datate per ogni controllo che l'assicuratore chiederà. Rispondi dal pacchetto, mai dalla memoria.

Checklist di assemblaggio:

• Identità / MFA: esporta la copertura MFA reale — quali classi di account (email, VPN, remote desktop, console admin cloud, account privilegiati/di servizio) sono imposte, con quale metodo (phishing-resistant / authenticator / SMS) e la lista delle eccezioni. Gli assicuratori sono passati dall'accettare l'SMS nel 2024 a richiedere 'authenticator app o superiore' — e MFA phishing-resistant per gli admin — nel 2026.
• Endpoint: percentuale di deployment EDR/MDR su server e workstation, se è monitorato 24/7, e i gap di copertura (non gestiti, legacy, OT).
• Backup: la data dell'ultimo test di restore riuscito (non il successo del job di backup — il restore), se i backup sono immutabili/offline, e la retention.
• Patch / vulnerabilità: la tua SLA di remediation per severità e l'evidenza che la rispetti, incluso come gestisci le falle in CISA KEV.
• Accessi privilegiati, email security, segmentazione, logging e un piano di incident response con la data di un tabletop — il resto del set standard di controlli, mappato sui CISA Cross-Sector Cybersecurity Performance Goals e sul NIST Cybersecurity Framework da cui il questionario deriva.

Per ogni controllo cattura tre cose: lo stato attuale, l'artefatto di evidenza (un export di configurazione, uno screenshot datato di una dashboard, un report di test) e le eccezioni. Le eccezioni contano — una risposta onesta e circoscritta con un'eccezione documentata è difendibile; un 'sì' generalizzato che ignora l'eccezione è la dichiarazione inesatta.

Obiettivo: convertire il pacchetto di evidenze in risposte accurate, precise e sostenibili al momento del sinistro.

• Rispondi alla domanda posta, non a quella che vorresti. 'Imponete la MFA su tutti gli accessi remoti?' riguarda l'imposizione e la copertura, non la disponibilità. 'MFA abilitata' non è la stessa affermazione di 'MFA imposta sul 100% degli accessi remoti senza eccezioni permanenti' — e gli assicuratori fanno la domanda di follow-up. Se la copertura è al 95%, dichiara 95% e nomina il 5%.
• Non lasciare che un firmatario non tecnico arrotondi per eccesso. Chi firma il proposal form garantisce fatti tecnici che non ha misurato. Instrada ogni risposta sui controlli attraverso il proprietario che detiene l'evidenza, e fagliela siglare.
• Segnala i gap come gap, con un piano. Un 'no, ma la remediation si chiude in Q2 con fondi approvati dal board' è sottoscrivibile. Un falso 'sì' è un sinistro negato. Gli assicuratori prezzano l'onestà; annullano la dichiarazione inesatta.
• Abbina la risposta all'artefatto. Ogni 'sì' deve puntare a un artefatto specifico nel pacchetto, con una data. Se non puoi produrre l'artefatto, la risposta non è 'sì'.
• Conserva il questionario inviato e le sue evidenze come bundle congelato e datato. Al momento del sinistro l'assicuratore ricostruisce ciò che hai garantito al bind; devi poter ricostruire la stessa cosa.

Il set di controlli è convergente sul mercato. Marsh pubblica dodici controlli di cyber hygiene che gli assicuratori trattano come baseline di assicurabilità, e riporta che i tre col maggior impatto sul premio — MFA, EDR e backup immutabili testati — possono muovere il premio del 30-40% combinati. L'anomalia del 2026, secondo il Marsh Global Insurance Market Index, è che prezzo e scrutinio vanno in direzioni opposte: le tariffe cyber sono calate del ~4% (dodicesimo calo trimestrale di fila, ~42% sotto i livelli 2022) mentre le richieste in sottoscrizione si irrigidivano.

I controlli che pesano di più, e la cosa precisa da evidenziare per ciascuno:

• MFA phishing-resistant — copertura per classe di account, metodo, lista eccezioni.
• EDR/MDR con monitoraggio 24/7 — percentuale di deployment, modello di monitoraggio, gap.
• Backup testati e immutabili — data dell'ultimo test di restore, immutabilità, copia offline.
• Gestione degli accessi privilegiati — come le credenziali admin sono in vault e con controllo di sessione.
• Email security e formazione — controlli più i risultati delle simulazioni di phishing, perché il BEC ha generato 3,046 miliardi di dollari delle perdite 2025 riportate dall'FBI (su 20,877 miliardi totali).
• Gestione patch/vulnerabilità e security testing — evidenza della SLA di remediation e risultati del penetration testing / validazione continua.

L'ultimo è dove la maggior parte degli applicant è più debole: il questionario chiede se conduci penetration testing regolari, e quasi tutti sanno nominare un fornitore e una data ma non sanno mostrare cosa è stato testato né quali erano i finding e i retest.

Tieni pronti questi artefatti come un unico bundle datato, ordinati per quanto spesso un assicuratore o la sua società forense li chiede al momento del sinistro:

• Export della configurazione MFA con imposizione per classe di account e lista eccezioni.
• Report di copertura EDR/MDR con percentuale di deployment e modello di monitoraggio.
• Report del test di restore dei backup con data ed esito (non i log di successo del job).
• Record di remediation patch/vulnerabilità che mostrano il rispetto della SLA per severità.
• Report di penetration test / validazione di sicurezza con scope, finding ed evidenza dei retest — l'artefatto dietro la risposta 'testiamo regolarmente'.
• Piano di incident response con la data del tabletop più recente.
• Il questionario inviato stesso, congelato con le evidenze che hanno supportato ogni risposta al bind.

Il fallimento ricorrente è che questo bundle viene assemblato a mano durante la finestra di rinnovo, da strumenti mai progettati per produrre evidenze datate e difendibili — così le risposte vengono arrotondate per eccesso per rientrare nella scadenza. È il problema operativo per cui è costruito il pilastro di automatic compliance di Zero Hunt: ogni scan, finding e remediation è mappato in continuo sui 32 framework e firmato ECDSA al momento della scrittura, così l'evidenza sullo stato dei controlli, i risultati dei test e le mappe di copertura dietro ogni risposta del questionario esistono già come bundle Trust Center verificabile invece che come ricostruzione della settimana di rinnovo. La stessa evidenza di pentest e validazione generata in continuo risponde alla domanda 'testate regolarmente' con scope e retest allegati — e lo stesso record firmato è la chain-of-custody difendibile che la società forense dell'assicuratore chiede al momento del sinistro.

1. Arrotondare per eccesso sulla MFA. Il trigger di sinistro negato più comune: il form dichiara MFA imposta ovunque, e la breccia entra dall'unico account VPN o di servizio che era esente. In un caso documentato del 2026 un assicuratore ha negato un sinistro ransomware da 2,3 milioni di dollari esattamente per questo — un account VPN senza MFA — citando dichiarazione inesatta rilevante. Circoscrivi la risposta alla realtà.

2. Confondere i job di backup con i test di restore. 'Facciamo backup ogni notte' non è 'abbiamo testato di saper ripristinare'. Gli assicuratori chiedono sempre più la data dell'ultimo test di restore; se non hai mai testato un restore, la risposta onesta cambia il tuo profilo di rischio e il premio, ma un falso 'sì' cambia se ti pagano.

3. Un firmatario non tecnico che garantisce fatti tecnici. Il CFO o il legale che firma il proposal form non ha misurato la copertura MFA. Se le risposte sui controlli non passano attraverso il proprietario dell'evidenza e non vengono siglate da lui, la firma garantisce supposizioni.

4. Nominare un pentest che non puoi provare. 'Sì, annuale' senza scope, finding o record di retest è una risposta debole che si indebolisce al momento del sinistro. Conserva i report.

5. Rispondere una volta e non aggiornare mai. Cambiamenti materiali in corso di polizza (hai dismesso l'EDR su una controllata, un'acquisizione ha portato estate non gestito) possono violare la garanzia su cui hai fatto il bind. Tratta le risposte del questionario come rappresentazioni vive, non come un form una tantum.

Le evidenze che assembli per l'assicuratore sono le stesse che altri tre pubblici già chiedono — costruiscile una volta ed esportale per pubblico:

• Supervisori NIS2 / DORA chiedono controlli di detection, response, testing e supply-chain; l'assicuratore chiede lo stesso set in forma di questionario. Il pacchetto di evidenze sulla capacità di detection che risponde a un regolatore risponde all'assicuratore.
• Auditor (ISO 27001, SOC 2) consumano la stessa evidenza sullo stato dei controlli; una mappatura cross-framework fa sì che un artefatto serva sia il certificato sia il questionario.
• Il board finanzia la remediation di ogni gap che il questionario espone; fai emergere quei gap presto, perché il questionario è spesso il benchmark esterno più chiaro che un board accetterà per il budget di sicurezza.

Un'avvertenza unica dell'assicurazione: a differenza di un filing verso il regolatore, una risposta assicurativa inesatta non è una violazione sanzionabile — può essere la ragione per cui un sinistro da sette cifre viene negato in pieno. L'asticella dell'accuratezza è più alta, non più bassa, perché la controparte cerca un motivo per non pagare.