S&P stima 10 miliardi di dollari di nuovi premi cyber nel 2026 per i data center, ma il rischio resta sottovalutato

Cos’è successo

S&P Global Ratings ha pubblicato il 25 settembre il report "Data Center Cyber Risk Is Increasing And Underrecognised", segnalando che i rischi informatici legati ai data center stanno crescendo più velocemente della loro percezione nel mercato. La causa principale è la crescente integrazione tra sistemi operativi (OT — che gestiscono raffreddamento, elettricità, generatori di backup, antincendio) e sistemi IT, un tempo isolati e oggi sempre più connessi e gestiti da remoto, ampliando le possibili vie di attacco.

S&P collega questa vulnerabilità crescente all'espansione dell'infrastruttura AI: gli investimenti combinati di Amazon, Microsoft, Alphabet, Oracle, Meta e SpaceX dovrebbero superare i 1.300 miliardi di dollari nel 2027, contro circa 870 miliardi nel 2026 e 470 miliardi nel 2025 — gran parte destinati proprio a infrastrutture di data center.

Perché conta

• Il rischio non è più solo tecnico ma sistemico: secondo l'analista S&P Cristina Polizu, un attacco informatico a un singolo data center, operatore o nodo della filiera "potrebbe colpire più clienti contemporaneamente, con implicazioni finanziarie e operative diffuse" — un dato SANS Institute del 2025 mostra che il 58% degli attacchi ai sistemi OT è entrato attraverso una compromissione IT preesistente, mentre oltre 2.400 vulnerabilità nei sistemi di controllo industriale sono state segnalate nel solo 2025 da 152 fornitori tecnologici (Cyble Research);
• Per il settore assicurativo si apre un'opportunità enorme ma complessa: S&P stima che le operazioni hyperscale potrebbero generare circa 10 miliardi di dollari di nuovi premi assicurativi nel 2026, con un totale di asset assicurabili superiore ai 2.000 miliardi di dollari entro il 2027 — ma segnala anche un rischio di "gap" tra polizze cyber e property, perché un singolo incidente in una grande struttura potrebbe generare contemporaneamente richieste su più coperture (property, cyber, business interruption, errori tecnologici, responsabilità civile) coinvolgendo più assicurati alla volta;
• La responsabilità per la sicurezza varia molto a seconda del modello operativo del data center (hosting gestito, colocation, powered-shell, data center aziendali proprietari) — una frammentazione che rende difficile stabilire in modo univoco chi debba rispondere finanziariamente di un incidente, con conseguenze dirette anche sui contratti di finanza strutturata legati a questi asset.

Adesso

• S&P raccomanda alle organizzazioni di rafforzare la resilienza attraverso segmentazione di rete, autenticazione a più fattori, patch software regolari, architetture zero-trust, sistemi di monitoraggio, piani di disaster recovery e formazione del personale — ma sottolinea che serve soprattutto una governance che copra insieme IT e OT, oggi spesso gestiti separatamente;
• Il settore finanziario e quello pubblico risultano tra i più esposti indirettamente: banche e infrastrutture di mercato dipendono sempre più dal cloud per pagamenti, trading e servizi bancari online, mentre enti locali e utility usano i data center per comunicazioni di emergenza, gestione delle reti elettriche e archivi amministrativi e giudiziari;
• La concentrazione crescente dell'infrastruttura — sempre più carichi di lavoro critici in un numero sempre minore di grandi strutture, spesso appoggiate sugli stessi tre grandi fornitori cloud (AWS, Azure, Google Cloud) — resta secondo S&P il fattore di rischio sistemico più difficile da mitigare nel breve periodo.