La comunicazione al mercato del 17 luglio 2026 della Banca d’Italia colloca la resilienza operativa digitale tra le priorità di vigilanza per gli intermediari bancari e finanziari. Il messaggio è rivolto agli organi aziendali e alle funzioni di controllo: i rischi tecnologici, inclusi quelli connessi ai modelli di intelligenza artificiale, devono essere governati attraverso assetti organizzativi, procedure e controlli coerenti con l’evoluzione dell’operatività digitale.
La nota si inserisce nel quadro del DORA, Digital Operational Resilience Act, e richiama la necessità di aggiornare gli adeguati assetti organizzativi e di controllo. L’attenzione non riguarda soltanto la sicurezza informatica in senso tecnico, ma anche la capacità dell’intermediario di prevenire, assorbire e gestire incidenti, disservizi, dipendenze da terzi e vulnerabilità generate dall’uso di strumenti avanzati di IA.
Il presidio del rischio tecnologico come dovere di governance
La comunicazione attribuisce un ruolo centrale agli organi di amministrazione e controllo. Il Consiglio di Amministrazione non può limitarsi a una supervisione formale dei rischi ICT, ma deve poter comprendere le implicazioni strategiche, operative e regolamentari delle scelte tecnologiche dell’intermediario.
Competenze del board e formazione continua
Secondo Banca d’Italia, i componenti del board devono disporre di competenze adeguate in materia tecnologica. Tale requisito comporta anche la previsione di risorse dedicate alla formazione continua, affinché le decisioni su sistemi informativi, modelli di IA, esternalizzazioni e sicurezza digitale siano assunte con piena consapevolezza dei rischi.
Adeguati assetti e responsabilità interne
Il rafforzamento degli assetti deve tradursi in ruoli chiari, flussi informativi tempestivi e controlli effettivi. Gli intermediari sono inoltre chiamati a nominare un responsabile aziendale per la gestione dei rischi ICT, figura chiamata a presidiare in modo continuativo l’identificazione, la valutazione e il trattamento dei rischi tecnologici.
Le aree operative indicate dalla Banca d’Italia
La comunicazione individua diverse aree sulle quali gli intermediari devono intervenire, con un approccio integrato e coerente con i requisiti DORA.
Igiene informatica e difesa in profondità
Gli intermediari devono adottare una strategia di difesa in profondità, fondata su più livelli di protezione. Rientrano in tale presidio l’autenticazione rigorosa, la gestione granulare degli accessi e la segmentazione delle reti, strumenti necessari per contenere gli effetti di un’eventuale compromissione.
Gestione delle risorse e mappatura della superficie di attacco
La gestione delle risorse, o Asset Management, richiede inventari completi e costantemente aggiornati. La finalità è individuare la superficie di attacco, conoscere i sistemi effettivamente utilizzati e programmare la modernizzazione delle componenti obsolete, incluse quelle legacy.
Vulnerabilità, patching e priorità di intervento
La Banca d’Italia richiama l’esigenza di accelerare i processi di patching, cioè l’applicazione degli aggiornamenti correttivi. Particolare attenzione deve essere riservata ai software open source e ai sistemi accessibili dall’esterno. L’impiego dell’intelligenza artificiale può supportare le attività di scansione e classificazione delle vulnerabilità, purché inserito in un sistema di controllo affidabile.
Monitoraggio, anomalie e risorse critiche
Gli strumenti di IA possono essere utilizzati anche per analizzare grandi volumi di dati e rilevare anomalie in tempo reale. Questo impiego assume rilievo soprattutto sulle risorse critiche, dove la rapidità di individuazione di comportamenti anomali può incidere sulla continuità dei servizi e sulla capacità di risposta agli incidenti.
Test di resilienza e scenari di crisi
Gli intermediari devono svolgere test di resilienza basati su scenari realistici e complessi. Tali prove devono includere anche la gestione delle crisi, in coerenza con i requisiti DORA, così da verificare non solo la tenuta dei sistemi, ma anche l’efficacia dei processi decisionali e dei flussi di escalation.
Fornitori terzi di servizi TIC e rischio di dipendenza
La comunicazione considera il ricorso a fornitori terzi di servizi TIC, Tecnologie dell’Informazione e della Comunicazione, un possibile fattore di vulnerabilità. La gestione dell’esternalizzazione deve quindi fondarsi su una selezione rigorosa, su controlli continuativi e su un presidio contrattuale adeguato.
I contratti con i fornitori devono contenere clausole idonee ad assicurare il monitoraggio della sicurezza, la tempestiva gestione degli aggiornamenti, la disponibilità di informazioni rilevanti e la capacità dell’intermediario di intervenire in caso di criticità. Il rischio del terzo non resta esterno all’organizzazione: diventa parte integrante del sistema di controllo interno dell’intermediario.
Relazione del Consiglio di Amministrazione e piano di lavoro
La Banca d’Italia richiede la predisposizione di una relazione del Consiglio di Amministrazione, redatta insieme al Collegio Sindacale. Il documento deve rappresentare in modo puntuale lo stato dell’intermediario rispetto ai rischi richiamati dalla comunicazione.
Contenuto minimo della relazione
La relazione deve includere l’analisi del livello attuale di esposizione al rischio, la valutazione dell’adeguatezza dei presidi esistenti e l’individuazione delle carenze riscontrate. Non è sufficiente una descrizione generale dei sistemi informativi: occorre una valutazione concreta, riferita ai rischi effettivi, alle vulnerabilità presenti e alla capacità dell’intermediario di fronteggiare eventi avversi.
Azioni, tempi e investimenti
Alla relazione deve accompagnarsi un piano di lavoro dettagliato, con indicazione delle azioni da realizzare, delle relative tempistiche e degli investimenti necessari. Il piano deve consentire alla Vigilanza di comprendere come l’intermediario intenda colmare le carenze individuate e rafforzare il presidio dei rischi ICT e IA.
Scadenza per la trasmissione alla Vigilanza
La relazione e il piano di lavoro devono essere trasmessi alla Vigilanza entro il 31 dicembre 2026. Tale termine rappresenta il riferimento operativo per organizzare le attività interne, coinvolgere gli organi sociali, verificare i contratti con i fornitori TIC, aggiornare gli inventari, programmare i test di resilienza e definire il ruolo del responsabile aziendale per i rischi ICT.
Per gli intermediari, il percorso richiesto dalla comunicazione del 17 luglio 2026 può essere impostato partendo da tre verifiche immediate: stato degli assetti di governance, livello di esposizione ai rischi ICT e IA, adeguatezza dei presidi contrattuali e tecnici verso i fornitori terzi.