Banca d’Italia e IVASS: entro il 31 dicembre 2026 banche e assicurazioni dovranno presentare un piano sui nuovi rischi cyber dell’IA.

Banca d’Italia e IVASS hanno pubblicato, il 17 luglio 2026, due comunicazioni parallele sulla resilienza operativa digitale e sui rischi derivanti dai modelli avanzati di intelligenza artificiale. Le Autorità chiedono agli intermediari finanziari direttamente vigilati e alle imprese assicurative di verificare con urgenza l’adeguatezza dei propri presidi di sicurezza e di predisporre una specifica relazione, accompagnata da un piano di intervento, da trasmettere alla rispettiva Autorità entro il 31 dicembre 2026.

L’iniziativa non introduce una nuova disciplina autonoma, ma traduce in precise aspettative di vigilanza gli obblighi già previsti dal Regolamento (UE) 2022/2554 sulla resilienza operativa digitale del settore finanziario – DORA, alla luce dell’evoluzione delle minacce informatiche abilitate dall’IA.

Banca d’Italia e IVASS richiamano in particolare la capacità dei modelli di ultima generazione di individuare vulnerabilità nei software e, contemporaneamente, generare le modalità tecniche per sfruttarle, in tempi molto brevi e senza la necessità di competenze specialistiche particolarmente elevate.

L’IA può quindi ridurre drasticamente l’intervallo tra la scoperta di una vulnerabilità e il suo sfruttamento, aumentando la probabilità di attacchi efficaci e ampliando l’asimmetria tra attaccanti e difensori. La resilienza digitale non viene perciò considerata soltanto un adempimento regolamentare, ma un presupposto della continuità operativa e dell’affidabilità dei servizi finanziari e assicurativi.

Le comunicazioni riguardano, per Banca d’Italia, le categorie di intermediari direttamente vigilati indicate nel documento, tra cui banche e gruppi bancari meno significativi, istituti di pagamento e di moneta elettronica, imprese di investimento, gestori, operatori in cripto-attività, fornitori di crowdfunding e intermediari finanziari. La comunicazione IVASS è invece rivolta alle imprese di assicurazione e riassicurazione con sede in Italia e alle rappresentanze italiane delle imprese aventi sede in uno Stato esterno allo Spazio economico europeo.

Le imprese devono effettuare una verifica strutturata in sei ambiti.

Il primo riguarda la governance. Gli organi di amministrazione e gestione devono aggiornare il Risk Appetite Framework per includere i rischi connessi alle tecnologie di frontiera, assegnare chiaramente le responsabilità, programmare investimenti ICT adeguati e assicurare la presenza di competenze tecnologiche e sull’intelligenza artificiale anche all’interno del consiglio di amministrazione.

Particolare rilievo assume la gestione dei fornitori ICT: selezione preventiva, monitoraggio continuo, obblighi contrattuali sulla sicurezza e tempi di applicazione delle patch devono essere adeguati al nuovo scenario di rischio.

Le altre aree riguardano:

1. igiene informatica e difesa in profondità, attraverso autenticazioni robuste, autorizzazioni granulari, controllo degli accessi, monitoraggio e segmentazione delle reti;

2. inventario e classificazione degli asset ICT, considerando esposizione su Internet, infrastrutture cloud e sistemi legacy non più supportati;

3. gestione delle vulnerabilità e delle patch, con individuazione e correzione più rapide, dando priorità ai sistemi esposti, al software open source e alle vulnerabilità zero-day;

4. monitoraggio, rilevazione e difesa, includendo il traffico da e verso i fornitori terzi e, quando proporzionato, strumenti di IA per identificare anomalie in tempo reale;

5. test di resilienza, risposta e recupero, mediante scenari realistici e progressivamente più complessi, comprensivi delle procedure di gestione delle crisi.

L’eventuale uso dell’intelligenza artificiale come strumento di difesa non è considerato una soluzione automaticamente affidabile. Deve essere coerente con la strategia aziendale sull’IA, preceduto da una valutazione dei rischi specifici e accompagnato da monitoraggio delle prestazioni e del loro eventuale deterioramento, nonché da un’adeguata supervisione umana.

La parte più operativa delle comunicazioni consiste nel coinvolgimento diretto degli organi societari.

Il consiglio di amministrazione, in una seduta congiunta con il collegio sindacale, dovrà esaminare la comunicazione e avviare la predisposizione di una relazione che, per ciascuna delle sei aree:

- rappresenti il livello attuale di esposizione al rischio;

- valuti l’adeguatezza dei presidi esistenti;

- individui carenze e priorità di intervento;

- definisca azioni, tempi e investimenti necessari;

-stabilisca come il consiglio di amministrazione verificherà l’avanzamento del piano.

L’impresa dovrà inoltre individuare e comunicare all’Autorità uno specifico punto di responsabilità aziendale, quale, ad esempio, la funzione di controllo dei rischi ICT di secondo livello. La relazione e il relativo piano di lavoro dovranno essere trasmessi a Banca d’Italia o a IVASS entro il 31 dicembre 2026.

Le entità interessate dovrebbero avviare immediatamente una gap analysis rispetto alle sei aree indicate, coinvolgendo consiglio di amministrazione, collegio sindacale, funzioni ICT, cybersecurity, risk management, compliance, internal audit e responsabili della gestione dei fornitori.

Occorre inoltre verificare che i contratti con cloud provider e altri fornitori ICT prevedano obblighi effettivi di cooperazione, monitoraggio della sicurezza, gestione tempestiva delle vulnerabilità, applicazione delle patch, continuità operativa e accesso alle informazioni necessarie.