Immaginiamo uno spedizioniere internazionale che gestisce una spedizione di componenti industriali dal porto di Genova verso un cliente estero.
La merce è regolarmente imbarcata. La documentazione è completa. Il trasporto è assicurato.
Poi arriva una comunicazione apparentemente autentica: nuove coordinate bancarie per il pagamento di una fattura. Il messaggio proviene da una casella email che sembra appartenere al corrispondente abituale.
Il pagamento viene effettuato. Ma il denaro finisce su un conto controllato da criminali informatici.
Oppure accade qualcosa di diverso: vengono alterate le istruzioni di consegna, compromesse le credenziali di accesso a una piattaforma logistica o bloccato il gestionale dello spedizioniere.
La merce potrebbe essere perfettamente integra. Il danno economico, invece, potrebbe essere enorme.
Questi sono scenari esemplificativi, non la ricostruzione di un singolo sinistro. Ma rappresentano una questione che il settore logistico non può più permettersi di considerare marginale.
Il rischio cyber è diventato un rischio della supply chain
Il rapporto ENISA Threat Landscape 2026, pubblicato il 22 settembre, conferma che il ransomware resta tra le minacce con maggiore impatto immediato. Il settore dei trasporti rappresenta circa l’8% degli eventi analizzati nel rapporto. Le dipendenze digitali tra imprese ampliano inoltre la superficie di attacco. [1]
Il problema non riguarda soltanto i grandi terminal portuali o le compagnie marittime.
Riguarda anche lo spedizioniere con venti dipendenti, il broker doganale, il consolidatore, il trasportatore e l’operatore che coordina spedizioni attraverso piattaforme condivise.
Un’impresa può disporre di sistemi informatici adeguatamente protetti e subire comunque le conseguenze della compromissione di un fornitore.
Nella logistica, la sicurezza informatica di un’azienda dipende anche dalla sicurezza dei soggetti con cui scambia informazioni.
La responsabilità dello spedizioniere: dove finisce il rischio informatico e dove inizia quello professionale?
Questo è il punto che merita maggiore attenzione.
Quando un attacco informatico determina una consegna errata, un ritardo o un danno economico, la questione non riguarda soltanto il ripristino dei sistemi.
Occorre stabilire chi abbia assunto le obbligazioni contrattuali, quali controlli fossero ragionevolmente esigibili e se vi sia un nesso causale tra l’evento informatico e il danno lamentato.
La posizione dello spedizioniere puro, dello spedizioniere-vettore e dell’operatore logistico che assume obbligazioni ulteriori può essere sensibilmente diversa.
Una falsa istruzione di consegna potrebbe generare una contestazione per errata esecuzione del mandato. Un attacco ransomware potrebbe impedire l’elaborazione dei documenti necessari allo svincolo della merce. Una compromissione dei dati potrebbe comportare anche obblighi di notifica e responsabilità in materia di protezione dei dati personali.
Non significa che ogni attacco determini automaticamente una responsabilità risarcitoria.
Significa che il rischio cyber può trasformarsi in un rischio di responsabilità professionale, la cui valutazione richiede un esame delle condizioni contrattuali, delle condotte e delle coperture assicurative.
Il grande equivoco: «Ho la polizza merci, quindi sono coperto»
Non necessariamente.
Una polizza merci trasportate tutela interessi e rischi differenti rispetto a una polizza di responsabilità civile dello spedizioniere o a una copertura Cyber.
Le polizze tradizionali possono contenere esclusioni o limitazioni relative a eventi informatici, perdite puramente finanziarie, interruzioni operative e frodi nei pagamenti.
Anche una polizza Cyber non offre automaticamente protezione per qualsiasi conseguenza economica di un attacco.
Occorre verificare almeno cinque elementi:
- Responsabilità verso terzi: sono coperte le richieste risarcitorie derivanti da errori operativi causati da un incidente informatico?
- Business interruption: è indennizzabile il fermo dell’attività e quali sono franchigie temporali e periodi di indennizzo?
- Frode informatica: la copertura comprende il trasferimento fraudolento di fondi o richiede garanzie specifiche?
- Fornitori tecnologici: cosa accade se il blocco riguarda il gestionale cloud o un operatore esterno?
- Costi di gestione dell’incidente: sono previste assistenza informatica, consulenza legale, analisi forense e gestione delle notifiche?
La risposta non si trova nel nome commerciale della polizza. Si trova nel testo contrattuale.
Il vero danno potrebbe non essere quello che appare per primo
Uno spedizioniere colpito da un attacco potrebbe dover sostenere contemporaneamente costi di ripristino, spese per consulenti specializzati, perdita di fatturato e contestazioni dei clienti.
A questi possono aggiungersi demurrage, detention, maggiori costi di magazzinaggio e spese straordinarie per recuperare la continuità operativa.
Non tutte queste voci sono automaticamente assicurabili o risarcibili.
Ma tutte devono essere considerate nella valutazione preventiva dell’esposizione economica.
Il rischio maggiore, per molte imprese, non è soltanto perdere i dati. È perdere la capacità di adempiere alle proprie obbligazioni mentre la merce continua a muoversi.
Dalla cybersecurity alla governance del rischio
Anche l’International Maritime Organization ha rafforzato nel tempo le proprie linee guida sulla gestione del rischio informatico marittimo, aggiornate nel 2026. [2]
Parallelamente, la disciplina europea NIS2 impone requisiti di gestione del rischio e sicurezza a determinate categorie di soggetti, secondo i criteri e le norme nazionali applicabili. Non ogni spedizioniere è automaticamente soggetto agli stessi obblighi. [3]
Per un operatore logistico la domanda corretta, dunque, non è soltanto se il proprio sistema informatico sia sicuro.
È se l’impresa sappia continuare a operare, gestire i clienti e difendere il proprio patrimonio quando quel sistema smette di funzionare.
Servono procedure di verifica delle istruzioni sensibili, autenticazione multifattore, backup testati, piani di continuità e una chiara attribuzione delle responsabilità interne.
Ma serve anche un’analisi assicurativa coordinata.
La mia conclusione: oggi bisogna assicurare anche la fiducia digitale
Per decenni il settore dei trasporti ha costruito le proprie strategie assicurative intorno a eventi fisici: furto, incendio, avaria, perdita della merce e responsabilità per il trasporto.
Oggi una parte crescente del valore economico della spedizione dipende da qualcosa che non si vede: l’integrità delle informazioni.
Una credenziale compromessa può essere sufficiente a mettere in discussione un’intera operazione commerciale.
Per questo ritengo che il Cyber Risk debba entrare stabilmente nell’analisi dei rischi di ogni spedizioniere, insieme alle coperture merci, alla responsabilità professionale e alla continuità operativa.
La domanda non è più soltanto: «Chi paga se la merce arriva danneggiata?»
La domanda è: «Chi paga se la merce arriva integra, ma un attacco informatico ha compromesso l’intera operazione?»
È una domanda che ogni spedizioniere dovrebbe porsi prima di ricevere la prima richiesta di risarcimento.
Saverio Zavaglia Consulenza assicurativa specializzata in porti, spedizioni, trasporti e rischi della supply chain.
Fonti e riferimenti
- https://www.enisa.europa.eu/publications/enisa-threat-landscape-2026
- https://wwwcdn.imo.org/localresources/en/OurWork/Security/Documents/MSC-FAL.1-Circ.3-Rev.4.pdf
- https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32022L2555
Approfondimento professionale generale. Le singole situazioni richiedono l’esame dei documenti e delle circostanze specifiche.
Parliamo della tua spedizione.
Partiamo dalla tua operatività, dai contratti e dai testi di polizza.
Parliamone ↗