N. R.G. 3510/2024
REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
LA CORTE D'APPELLO DI MILANO
Sezione quarta civile nelle persone dei seguenti magistrati: dr. BE MO OR Presidente rel. dr. Anna Mantovani Consigliere dr. Francesca Vullo Consigliere ha pronunciato la seguente
SENTENZA nella causa iscritta al numero di ruolo generale sopra riportato, promossa con atto di citazione ritualmente notificato
DA
Parte_1
(C.F. ),
[...] P.IVA_1
elettivamente domiciliata in VIA C. BATTISTI 11, 20122 MILANO presso lo studio dell'avv. SPADA CO, che lo rappresenta e difende come da delega in atti, unitamente all'avv. MICCICHE' MARIO ( ) e all'avv. C.F._1
CA CO ( ); C.F._2
APPELLANTE
CONTRO
pagina 1 di 12 (C.F. Controparte_1
), elettivamente domiciliata in PIAZZA VETRA 17, 20123 MILANO P.IVA_2
presso lo studio dell'avv. GIANI LEONARDO, che lo rappresenta e difende come da delega in atti, unitamente all'avv. DE ZORZI GIORGIA ); C.F._3
APPELLATA
Assicurazione contro i danni
Causa avente ad oggetto l'impugnazione della sentenza n. 5397/2024 del Tribunale di
Milano emessa il 23/05/2024 e pubblicata il 24/05/2024.
CONCLUSIONI PER Parte_1
“Voglia l'Ecc.ma Corte d'Appello, respinta ogni contraria e diversa domanda, istanza, eccezione e deduzione,
Nel merito: riformare la sentenza del Tribunale di Milano n. 5397/2024, in data 23 maggio 2024, pubblicata in data 24 maggio 2024 e non notificata, per i motivi tutti esposti in atti, e per l'effetto:
A. accertare e dichiarare, per i motivi di cui in atti e previa ogni opportuna declaratoria del caso, l'obbligo contrattuale di Controparte_1
, in virtù della polizza assicurativa “AIG-BLUE210003”, di
[...]
corrispondere a l'indennizzo delle perdite subite e dei Parte_1
costi sostenuti in conseguenza del sinistro nella misura di euro 920.456,11, o, in subordine, nella misura di euro 870.456,11, al netto della franchigia di euro 50.000,00 prevista dalla Voce 5 (e) della scheda di Polizza, o comunque nella misura diversa, maggiore o minore, che risulterà di giustizia;
e per l'effetto
B. condannare a corrispondere Controparte_1
a la somma di euro 920.456,11, o, in subordine, la somma Parte_1
pagina 2 di 12 di euro 870.456,11, al netto della franchigia di euro 50.000,00 prevista dalla Voce 5 (e) della scheda di Polizza, o comunque la diversa somma maggiore o minore che risulterà di giustizia, oltre interessi dalla data del dovuto (10-11 febbraio 2021) al saldo e oltre rivalutazione monetaria;

In ogni caso: condannare alla rifusione in Controparte_1
favore di dei compensi professionali e delle spese di lite di Parte_1
entrambi i gradi di giudizio, da liquidarsi ai sensi del D.M. n. 55/2014, oltre IVA e
CPA”.
CONCLUSIONI PER APPRESENTANZA GENERALE PER Controparte_1
L'ITALIA:
“Voglia l'Ill.ma Corte d'Appello di Milano, ogni contraria istanza, eccezione
o deduzione disattesa, così giudicare:
- confermare integralmente la sentenza impugnata;

- in via subordinata, nella denegata e non creduta ipotesi di accoglimento dell'impugnazione, accertare e dichiarare comunque l'inoperatività della Polizza in particolare perché la fattispecie cyber in esame non rientra nell'ambito dell'oggetto di copertura rc professionale della Polizza;

- in ogni caso, spese e competenze di questo grado di giudizio integralmente rifuse”.
SVOLGIMENTO DEL PROCESSO
Il Tribunale di Milano, definitivamente pronunciando così provvedeva:
- rigettava la richiesta di indennizzo assicurativo formulata da Parte_1
nei confronti di . Controparte_1
pagina 3 di 12 I fatti possono essere sunteggiati come segue.
(d'ora in avanti: e precedentemente , Parte_1 Pt_1 CP_2
società che gestisce investimenti rivolti in prevalenza al mercato del private equity e venture capital, in data 31/05/2018 sottoscriveva con Controparte_1
(d'ora in avanti: AIG) la polizza “AIG – BLUE210003” a copertura
[...]
dei rischi connessi alla responsabilità professionale (cfr. doc. n. 1 del fascicolo di primo grado di ), la quale negli anni era stata rinnovata e parzialmente modificata. Pt_1
A causa di una frode informatica subita da tra il dicembre 2020 e il febbraio Pt_1
2021, i dipendenti di tale società avevano erroneamente versato una serie di bonifici a favore degli autori della frode (cfr. doc. n. 5 del fascicolo di primo grado di ), Pt_1
per un importo complessivo di circa USD 2.242.161,98 (pari a circa euro 1.852.414,06 al cambio del 9/10 febbraio 2021, data della scoperta della frode).
In particolare, tale denaro veniva attinto da:
- due fondi di investimento gestiti da , denominati Fenera Private Equity I Pt_1
e Fenera Asian Opportunity I (d'ora in avanti: i Fondi);
- un mandato di gestione individuale relativo al portafoglio del cliente
[...]
(d'ora in avanti: il Cliente). Controparte_3
Il 9/02/2021, dopo essere venuta a conoscenza di quanto occorso, sporgeva Pt_1
denuncia alla Polizia Postale (cfr. doc. n. 6 del fascicolo di primo grado di ) e, Pt_1
ritenendo che i fatti accaduti rientrassero nella copertura assicurativa, il 10/02/2021 Cont richiedeva ad l'apertura del sinistro (cfr. doc. n. 7 del fascicolo di primo grado di
). Pt_1
Peraltro, di tale sinistro veniva a informato anche il Cliente (ovvero
[...]
il quale elaborava una apposita richiesta di risarcimento (cfr. Controparte_3
doc. n. 8 del fascicolo di primo grado di ). Pt_1
pagina 4 di 12 Per mezzo della Polizia Postale e della Magistratura, l'assicurata riusciva a recuperare la somma pari a USD 323.186,40 e tentava di recuperare l'ulteriore somma di
1.010.000,00, che nello specifico era stata prelevata a valere sul conto del Cliente;
dunque la perdita subita, scomputando i suddetti importi, risultava pari a USD
908.975,58, ovverosia 750.340,96 euro, al momento dei fatti.
allegava altresì di aver provveduto a ristorare, con l'ausilio della sua Pt_1
controllante i conti dei Fondi e del Cliente, non prima di aver ricevuto Controparte_4
Cont da parte di la rassicurazione che tale azione non sarebbe stata d'ostacolo alla liquidazione del danno (cfr. doc. n. 9 del fascicolo di primo grado di ). Pt_1
Cont Tuttavia, in data 23/03/2021, negava l'indennizzo assicurativo posto che qualificava l'evento occorso quale incidente “cyber crime”, non coperto dalla polizza sottoscritta di tipo “RC Fondi di Private Equity e Venture Capital”.
Cont Peraltro specificava che: “i soli eventi cyber presi in considerazione dalla Polizza agli artt.

2.7 e. 4.22 sono quelli che comportano una violazione di informazioni riservate, private o segrete sull'attività dell , ovvero una situazione di denial- Parte_2
of-service ai clienti sui sistemi informatici dell , in quanto si tratta delle Parte_2
uniche ipotesi che potrebbero avere un risvolto in termini di eventuale responsabilità professionale/gestionale dell coperta ai sensi di Polizza”. Parte_2
A seguito dell'esito negativo del tentativo di mediazione obbligatoria, citava Pt_1
Cont
in giudizio al fine di ottenere l'indennizzo delle perdite subite nonché i costi derivanti dalle consulenze legali richieste in seguito al sinistro.
In particolare, chiedeva che la compagnia fosse condannata a versare una Pt_1
somma pari a 920.456,11 euro, sulla base della clausola di “Responsabilità Civile
Gestionale” prevista all'art. 1.1. della Polizza;
in via subordinata, chiedeva Pt_1
una somma pari a 870.456,11, al netto della franchigia di 50.000,00 euro, sulla base della clausola di “Responsabilità Civile Professionale” prevista all'art. 1.3. della
Polizza. pagina 5 di 12 Cont
rimaneva contumace.
Il Tribunale di Milano, con la sentenza n. 5397/2024 rigettava la domanda attorea.
Inquadrata la fattispecie nel modello assicurativo della responsabilità professionale di cui all'art. 1.3, il primo giudice riteneva che, trattandosi di polizza assicurativa claims made, non v'era la prova che avesse ricevuto le richieste di risarcimento in Pt_1
relazione ai versamenti di denaro provenienti dai conti dei due Fondi;
neppure vi era la prova che il patrimonio dei Fondi fosse stato rimborsato da parte di Controparte_4
azionista di controllo di . Pt_1
Avverso la summenzionata sentenza propone appello Parte_1
Gli argomenti di parte appellante possono essere ricondotti a due motivi di appello.
I. Erronea ricostruzione dei fatti in merito alla carenza della richiesta di risarcimento da parte dei Fondi. Secondo parte appellante la richiesta di risarcimento - che ai sensi di Polizza i danneggiati (i Fondi) avrebbero dovuto inviare all'assicurata ( ) - avrebbe dovuto essere ritenuta assorbita Pt_1
dalla denuncia della frode, ciò in quanto i fondi comuni di investimento non hanno una soggettività giuridica ma operano tramite la medesima;
Pt_1
II. Erronea ricostruzione dei fatti circa la necessarietà e la mancata prova del ristoro dei Fondi. Parte appellante evidenzia che il giudice di prime cure avrebbe dovuto ritenere irrilevante ai fini dell'operatività della Polizza, e in ogni caso provato, il rimborso dei Fondi da parte di posto che Controparte_4
Cont
aveva espressamente chiarito che tale ristoro non sarebbe stato d'ostacolo alla corresponsione dell'indennizzo (cfr. doc. n. 9 del fascicolo di primo grado di ). Pt_1
Parte appellante chiede quindi la riforma della sentenza impugnata con conseguente accoglimento di tutte le domande proposte in primo grado.
pagina 6 di 12 Si costituisce in appello Controparte_1
rispondendo agli argomenti di parte appellante come di seguito.
Cont
sostiene che la frode informatica subita dall'appellante sia la concretizzazione di un rischio “cyber” non previsto dalla garanzia assicurativa invocata, la quale copre i rischi r.c. di tipo professionale;
afferma peraltro che vi sia un nesso di causalità tra l'attacco informatico verificatosi e l'assenza di adeguati sistemi di protezione informatica.
In ogni caso, aderisce alle argomentazioni del giudice di prime cure, il quale – inquadrata la fattispecie nella garanzia per responsabilità professionale ex art.

1.3 della
Polizza - ha escluso l'applicabilità della Polizza medesima al caso di specie alla luce del fatto che non erano state prodotte le richieste di risarcimento da parte dei Fondi e non era stata data la prova dell'avvenuto ristoro da parte di Controparte_4
L'appellata chiede in via principale il rigetto dell'appello con conferma della sentenza impugnata;
in via subordinata, essa chiede di accertare l'inoperatività della Polizza in quanto l'evento “cyber” esula dall'ambito di copertura della garanzia assicurativa r.c. professionale.
All'udienza del 25/09/2025 la Corte tratteneva la causa in decisione.
MOTIVI DELLA DECISIONE
L'appello è fondato.
Come correttamente ritenuto dal giudice di primo grado, la fattispecie in questione rientra nella “Responsabilità Civile Professionale” prevista all'art.

1.3 della Polizza, che così recita: “L'Assicuratore indennizzerà la Perdita di un Assicurato che derivi da una
Richiesta di Risarcimento avanzata nei confronti di tale Assicurato in relazione a eventuali Atti illeciti di natura professionale”.
Nello specifico, tali atti vengono definiti dall'art.

4.10 della Polizza come “qualsiasi atto, errore o omissione commesso, tentato o commesso in via presunta da un
Assicurato nel corso dello svolgimento di servizi di Venture Capital e Private Equity”.
pagina 7 di 12 Le condotte negligenti così descritte si sono concretizzate nel fatto che abbia Pt_1
omesso colposamente di approntare un idoneo sistema di sicurezza informatica, permettendo in tal modo l'intrusione da parte dei malfattori (v. doc. n. 14 del fascicolo di primo grado di ). Pt_1
Le argomentazioni di AIG a tale riguardo risultano contradditorie ed errate.
In primo luogo, essa esclude che la frode informatica sia un caso di negligenza professionale, qualificandola invece quale “attacco phishing”, non coperto dalla Cont garanzia assicurativa;
contestualmente, però, afferma che il sinistro sia stato causato per colpa di , che non si è dotata di adeguati software di sicurezza IT, Pt_1
così implicitamente riconoscendo l'astratta operatività della Polizza.
Secondariamente, la compagnia assicurativa sostiene che gli unici due eventi cyber coperti dalla Polizza siano stati previsti in materia di contenimento della crisi (cfr. art.

2.7 e 4.22 della Polizza), in particolare, tali eventi vengono definiti come segue:
1) qualsiasi minaccia, tentativo o effettiva intrusione non autorizzata nei sistemi informatici del Contraente al fine di ottenere informazioni riservate, private o segrete esclusive sull'attività di una Società;
2) “cyber attacchi” che comportino una situazione di denial-of-service ai clienti sui sistemi informatici della Società; Cont In realtà occorre rilevare, contrariamente a quanto sostenuto da , che i rischi tipizzati da tali clausole non sono riconducibili al fenomeno cyber crime, di cui qui si discute, ma riguardano eventi di natura diversa.
In tema d'interpretazione del contratto, va richiamato l'art. 1362 c.c.: “Nell'interpretare il contratto si deve indagare quale sia stata la comune intenzione delle parti e non limitarsi al senso letterale delle parole. Per determinare la comune intenzione delle parti, si deve valutare il loro comportamento complessivo anche posteriore alla conclusione del contratto”.
pagina 8 di 12 Nel caso di specie, successivamente alla denuncia della frode comunicata da il Pt_1
Cont 10/02/2021, ha rinnovato la Polizza inserendo una specifica clausola di “esclusione cyber”, vigente per il periodo successivo al 31/05/2021 (cfr. doc. n. 4 e 13 del fascicolo di primo grado di ), con la quale al punto “fallimento della sicurezza” esclude Pt_1
espressamente: “(i) qualsiasi intrusione, accesso non autorizzato (compreso l'uso di credenziali autorizzate da parte di una persona non autorizzata) a un Sistema informatico, o uso non autorizzato (anche da parte di una persona con accesso autorizzato) di un Sistema informatico, compreso quello che consiste in o non riesce a mitigare qualsiasi:
a. rifiuto di un attacco al servizio o rifiuto di accesso;

b. o ricezione o trasmissione di un codice maligno, software maligno o virus;

(ii) la perdita di Dati derivante dal furto fisico o dalla perdita di hardware controllati da un Assicurato (…)”.
Se dunque la compagnia ha modificato la Polizza inserendovi l'espressa clausola di esclusione per fatti di cyber crime, esclusione la quale non era contemplata nella Polizza in essere al momento della richiesta, conseguenzialmente si deve ritenere che la responsabilità professionale comprendeva anche quei casi colposi ovvero omissivi che comportassero l'accesso abusivo ai dati riservati.
Non pare inutile aggiungere che anche si volesse ritenere ambigua la clausola sulla responsabilità professionale quanto alla sua riferibilità agli eventi di cyber crime, resterebbe l'applicabilità dell'art. 1370 c.c., in base al quale la clausola dubbia va interpretata a favore del contraente che non l'ha predisposta, ossia l'assicurata.
Svolte queste premesse, il primo motivo d'appello, riferito alla mancanza della richiesta di risarcimento, cui si riferisce il caso della responsabilità professionale, risulta fondato.
Infatti, considerato che la con la sentenza n. 12062 del 2019 la Corte di Cassazione ha definito i fondi comuni di investimento quali fondi “privi di autonoma soggettività giuridica, costituendo patrimoni separati della società di gestione del risparmio”, pagina 9 di 12 non avrebbe potuto ricevere alcuna richiesta di risarcimento da parte di tali Pt_1
Fondi.
Pertanto, ai fini della concreta applicabilità della garanzia assicurativa, il giudice di prime cure avrebbe dovuto ritenere sufficiente la denuncia dell'evento dannoso, che Parte Cont
quale comunicava ad in data 10/02/2021 (cfr. doc. n. 7 del fascicolo Pt_1
di primo grado di ). Pt_1
Il secondo motivo d'appello, avente ad oggetto la mancata prova del ristoro dei Fondi, è del pari fondato.
A tal riguardo risultano dirimenti le comunicazioni intercorse tra l'assicurata e la compagnia successivamente al verificarsi della frode.
Cont In particolare, in data 25/03/2021 chiedeva ad di confermare che: Pt_1
Parte
“(i) il ristoro del danno subito dai clienti della , pari a complessivamente a USD
2.242.161,98, anche ai soli fini di tutela della reputazione aziendale e;

(ii) l'integrale accollo del suddetto danno da parte della sua controllante CP_4

[...]
non inficino in alcun modo la possibilità di addivenire, ove ne venga accertata
l'ammissibilità, alla liquidazione del danno fino a concorrenza dei massimali in polizza, da parte della Compagnia Assicuratrice stessa…”. CP_1
Cont
rispondeva come segue: “non pregiudica la possibilità di addivenire, ove ne venga accertata l'ammissibilità e la sussistenza dei requisiti, alla liquidazione del danno”(cfr. doc. n. 9 del fascicolo di primo grado di ). Pt_1
La prova dell'avvenuto ristoro risulta essere irrilevante ai fini dell'operatività della
Polizza; peraltro, vista la chiarezza con cui tale comunicazione è stata formulata, non Cont può ammettersi la diversa interpretazione fornita da che sostiene in maniera forzata di aver subordinato la liquidazione del danno alla prova del rimborso.
pagina 10 di 12 Cont Peraltro, si rileva che non contesta la quantificazione delle perdite e i costi che sostiene di aver subito, oltre a non aver nemmeno contestato in primo grado, Pt_1
Parte preferendo disertare il giudizio, l'affermazione di di aver già rimborsato i Fondi tramite l'accollo del socio di controllo.
In conclusione l'indennizzo dovuto all'assicurata è pari alla somma di euro 870.456,11, al netto della franchigia di euro 50.000,00 euro prevista dalla Voce 5 (e) della scheda di polizza.
Trattandosi di debito di valore, è dovuta la rivalutazione monetaria secondo la variazione dell'indice Istat.
Sulla somma corrisposta a titolo di indennizzo devono essere altresì riconosciuti gli interessi compensativi del danno derivante dal mancato godimento tempestivo dell'equivalente pecuniario del bene perduto. Gli interessi compensativi, secondo l'insegnamento delle Sezioni Unite (Cass., SS.UU., n. 1712 del 17.2.95), decorrono dalla data dell'evento dannoso sino al tempo della liquidazione, calcolati sulla somma come rivalutata di anno in anno.
L'esito del gravame, con la soccombenza della compagnia assicuratrice, comporta il rimborso delle spese di lite di entrambi i gradi a favore di Parte_1
spese che si liquidano come in dispositivo.


P.Q.M.


La Corte d'Appello di Milano, sull'appello proposto da Parte_1
avverso la sentenza del Tribunale di Milano n. 5397/2024, emessa il
[...]
23/05/2024 e pubblicata il 24/05/2024, così dispone:


1. accoglie l'appello avente ad oggetto la richiesta di indennizzo assicurativo in base della clausola di “Responsabilità Civile Professionale”, prevista dall'art. Contr

1.3 della polizza assicurativa – BLUE210003” stipulata da
[...]
con Parte_1 Controparte_1
pagina 11 di 12 e per l'effetto, in riforma della sentenza Controparte_1
gravata,


2. condanna Controparte_1
al pagamento a favore di ella somma di
[...] Parte_1
euro 870.456,11, al netto della franchigia di euro 50.000,00 euro prevista dalla Voce 5 (e) della scheda di polizza, oltre alla rivalutazione monetaria secondo la variazione dell'indice Istat e agl'interessi compensativi, calcolati sulla somma come rivalutata di anno in anno far tempo dal dovuto, ossia dal
10-11 febbraio, al saldo.


3. condanna Controparte_1
a rifondere le spese di lite di entrambi i gradi a
[...] Parte_1
così liquidate:
[...]
a. quanto al primo grado, liquidate in euro 15.659,00 oltre accessori tariffari, previdenziali e fiscali di legge;

b. quanto al secondo grado, liquidate in euro 18.511,00 oltre accessori tariffari, previdenziali e fiscali di legge.
Così deciso in Milano in camera di consiglio in data 01/10/2025
Il Presidente rel. est.
BE MO OR
pagina 12 di 12