Resilienza operativa digitale e AI: svolta Banca d’Italia

Resilienza operativa digitale e intelligenza artificiale entrano definitivamente tra le priorità strategiche degli intermediari finanziari. Con la Comunicazione al mercato del 17 luglio 2026, la Banca d’Italia richiama gli operatori direttamente vigilati sulla necessità di rafforzare tempestivamente i processi di gestione dei rischi ICT e i presidi di sicurezza.

La novità non consiste nell’introduzione di un nuovo quadro normativo distinto dal Regolamento DORA. L’Autorità sottolinea, piuttosto, che i requisiti già previsti dalla disciplina europea devono essere applicati tenendo conto della rapida evoluzione dei modelli avanzati di intelligenza artificiale e della loro capacità di modificare profondamente il panorama delle minacce informatiche.

Agli intermediari viene richiesto un intervento concreto, che coinvolge direttamente gli organi aziendali e che dovrà condurre alla predisposizione di una relazione sul livello di rischio e di un piano di lavoro da trasmettere alla Vigilanza entro il 31 dicembre 2026.

Resilienza operativa digitale e intelligenza artificiale: perché aumentano i rischi cyber

I modelli di intelligenza artificiale di ultima generazione sono in grado di individuare le vulnerabilità dei software e, contemporaneamente, di elaborare le modalità attraverso le quali tali vulnerabilità possono essere sfruttate.

Attività che in precedenza richiedevano competenze tecniche elevate e tempi significativi possono essere realizzate con maggiore rapidità e con una più ampia accessibilità degli strumenti. Si riduce, quindi, l’intervallo tra l’individuazione di una vulnerabilità e il suo possibile sfruttamento da parte di soggetti malevoli.

Secondo la Banca d’Italia, questa evoluzione può accrescere l’asimmetria tra attaccanti e difensori, rendendo necessario un adattamento particolarmente rapido da parte delle entità finanziarie. Il rafforzamento della resilienza operativa digitale non rappresenta più soltanto un adempimento di compliance, ma una condizione essenziale per assicurare la continuità aziendale e l’affidabilità dei servizi finanziari.

Quali intermediari sono interessati dalla Comunicazione

La Comunicazione è rivolta ai soggetti direttamente vigilati dal Dipartimento Vigilanza bancaria e finanziaria della Banca d’Italia.

Rientrano nel perimetro le banche e i gruppi bancari meno significativi, compresa Bancoposta, gli istituti di pagamento, gli istituti di moneta elettronica, le imprese di investimento, i fornitori di servizi per le cripto-attività, i gestori di fondi di investimento alternativi, le società di gestione, i fornitori di servizi di crowdfunding e gli intermediari finanziari iscritti ai sensi dell’articolo 106 del Testo unico bancario.

Il ruolo del Consiglio di Amministrazione nella governance dei rischi ICT e cyber

La prima area sulla quale interviene la Banca d’Italia riguarda la governance dei rischi ICT e cyber.

Gli organi con funzione di amministrazione e gestione sono chiamati a rivedere il Risk Appetite Framework, incorporando i rischi derivanti dalle tecnologie di frontiera in modo coerente con le strategie aziendali, gli investimenti ICT e l’allocazione delle risorse.

Il Consiglio di Amministrazione deve promuovere il rafforzamento dei sistemi di governo e controllo, assicurando una chiara attribuzione delle responsabilità relative alla gestione dei sistemi informatici, alla sicurezza delle informazioni e alla protezione dei dati.

Una particolare attenzione deve essere riservata anche ai fornitori esterni di servizi ICT. Gli intermediari devono adottare criteri rigorosi per la loro valutazione e selezione, introducendo requisiti contrattuali che permettano di monitorare la sicurezza, la gestione delle vulnerabilità e l’applicazione degli aggiornamenti.

La Banca d’Italia richiama inoltre l’esigenza che gli organi aziendali dispongano di adeguate competenze tecnologiche e in materia di intelligenza artificiale. Deve essere previsto anche un budget sufficiente a garantire la formazione continua dei componenti degli organi di amministrazione e gestione.

Igiene informatica e difesa in profondità

Gli intermediari devono integrare nella propria strategia di sicurezza i principi dell’igiene informatica e della difesa in profondità.

La protezione dei sistemi non può dipendere da una singola misura, ma deve essere organizzata su più livelli sovrapposti. Qualora una barriera venga superata, le misure successive devono consentire di bloccare l’attacco, rilevare l’intrusione e proteggere le informazioni più sensibili.

Diventano quindi centrali i processi rigorosi di autenticazione e autorizzazione, la gestione granulare degli accessi, il monitoraggio continuo delle attività e la segmentazione delle reti e degli ambienti operativi. Quest’ultima consente di limitare la propagazione di eventuali compromissioni all’interno dell’organizzazione.

Inventario delle risorse e gestione della superficie di attacco

La conoscenza completa delle risorse informatiche costituisce un prerequisito per qualsiasi strategia efficace di resilienza operativa digitale.

Gli intermediari devono disporre di inventari completi, aggiornati e affidabili, attraverso i quali individuare le risorse esistenti, valutarne la criticità e ricostruire la potenziale superficie di esposizione agli attacchi.

La classificazione deve considerare l’eventuale accessibilità diretta da internet, il ricorso a infrastrutture cloud e le interconnessioni con fornitori esterni. Parallelamente, devono essere pianificati l’aggiornamento o la sostituzione delle tecnologie non più supportate o giunte alla fine del proprio ciclo di vita.

Il mantenimento di sistemi legacy non adeguatamente aggiornabili può infatti determinare un’esposizione difficilmente compatibile con il nuovo livello delle minacce cyber.

Vulnerabilità, patch e sistemi accessibili dall’esterno

La Banca d’Italia richiede di rendere più rapida l’individuazione delle vulnerabilità dei sistemi ICT e più efficiente l’applicazione delle relative misure correttive.

Gli intermediari dovranno evolvere le proprie tecniche di scansione e valutare, quando proporzionato al rischio e alla complessità dell’organizzazione, l’impiego di strumenti basati sull’intelligenza artificiale.

Le azioni di rimedio devono essere definite secondo un ordine di priorità che tenga conto della criticità delle vulnerabilità e delle risorse coinvolte. Particolare attenzione deve essere riservata ai software open source, ai sistemi direttamente accessibili dall’esterno e alle vulnerabilità zero-day, per le quali non è ancora disponibile una correzione ufficiale.

L’obiettivo è ridurre il divario temporale rispetto agli attaccanti, evitando che procedure di aggiornamento eccessivamente lente rendano inefficaci i processi di identificazione delle vulnerabilità.

Monitoraggio e strumenti di difesa basati sull’intelligenza artificiale

La Comunicazione invita gli intermediari a rafforzare i sistemi di monitoraggio delle applicazioni, degli accessi e del traffico di rete, compreso quello diretto verso i fornitori esterni di servizi informatici.

Gli strumenti basati sull’intelligenza artificiale possono essere utilizzati per analizzare grandi quantità di dati, individuare comportamenti anomali e rilevare potenziali incidenti in tempo reale, soprattutto quando sono coinvolte risorse informatiche critiche.

Il ricorso all’AI non può tuttavia essere considerato automaticamente privo di rischi. Il suo impiego deve essere coerente con la strategia aziendale in materia di intelligenza artificiale e deve essere accompagnato da una valutazione dei rischi specifici, dal monitoraggio delle prestazioni, dalla verifica dell’eventuale deterioramento dei modelli e da adeguate forme di supervisione umana.

Test DORA e simulazione di scenari cyber complessi

Un ulteriore ambito di intervento riguarda i test di resilienza operativa digitale previsti dal Regolamento DORA.

Gli intermediari devono rafforzare sia i test sui sistemi sia quelli riguardanti i processi di risposta, recupero e gestione delle crisi. Le procedure operative devono essere verificate periodicamente attraverso scenari realistici e progressivamente più complessi, costruiti tenendo conto dell’evoluzione delle minacce tecnologiche.

Le attività possono comprendere scansioni delle vulnerabilità, analisi dei software open source, valutazioni della sicurezza delle reti, esami del codice sorgente, test end-to-end, test di penetrazione e simulazioni basate su specifici scenari di crisi.

In un contesto nel quale aumenta la probabilità di incidenti ICT, i test non devono limitarsi a verificare astrattamente l’esistenza delle procedure. Devono dimostrare la capacità concreta dell’organizzazione di rilevare l’incidente, contenerne gli effetti, ripristinare i servizi e assumere decisioni tempestive.

Fornitori ICT e concentrazione delle catene di approvvigionamento

Il crescente ricorso a fornitori esterni amplia la superficie di rischio degli intermediari. Catene di fornitura articolate su più livelli e concentrate presso un numero limitato di operatori possono trasformare una criticità circoscritta in un problema di sistema.

La gestione del rischio ICT di terze parti deve quindi essere integrata nei processi aziendali. Non è sufficiente affidarsi alle garanzie contrattuali del fornitore: occorrono attività di valutazione preventiva, monitoraggio continuo, verifica degli aggiornamenti, controllo degli accessi e definizione delle modalità di risposta agli incidenti.

I fornitori sono chiamati a contribuire alla salvaguardia e alla continuità dei sistemi, ma la responsabilità dell’intermediario nella gestione dei rischi derivanti dall’esternalizzazione non viene meno.

La relazione da trasmettere entro il 31 dicembre 2026

La parte più operativa della Comunicazione riguarda gli adempimenti richiesti agli organi aziendali.

La Banca d’Italia si attende che il Consiglio di Amministrazione esamini la Comunicazione nel corso di una seduta congiunta con il Collegio Sindacale. Durante la medesima seduta dovranno essere avviati i lavori per la predisposizione di una specifica relazione.

Il documento dovrà rappresentare, distintamente per ciascuna area indicata dall’Autorità, il livello attuale di esposizione al rischio, l’adeguatezza dei presidi esistenti, le principali carenze e le relative priorità di intervento.

Alla relazione dovrà essere allegato un piano di lavoro contenente le azioni da realizzare, i tempi di attuazione e gli investimenti necessari. Il piano dovrà essere proporzionato al profilo di rischio, alla complessità dei servizi e alle caratteristiche operative dell’intermediario.

Dovranno inoltre essere definite le modalità attraverso le quali il Consiglio di Amministrazione verificherà periodicamente lo stato di avanzamento degli interventi.

Ogni entità finanziaria dovrà individuare e comunicare alla Vigilanza uno specifico punto di responsabilità aziendale, che potrà essere rappresentato, ad esempio, dalla funzione di controllo dei rischi ICT di secondo livello.

La relazione e il piano di lavoro dovranno essere trasmessi alla Banca d’Italia entro il 31 dicembre 2026.

Dalla conformità alla responsabilità organizzativa

La Comunicazione conferma che la resilienza operativa digitale e l’intelligenza artificiale non possono più essere considerate materie riservate esclusivamente alle funzioni IT o cybersecurity.

La gestione delle minacce emergenti coinvolge la governance, il sistema dei controlli interni, la gestione dei dati, le politiche di esternalizzazione, la pianificazione degli investimenti e la formazione degli organi aziendali.

Per gli intermediari, il percorso verso la scadenza del 31 dicembre 2026 richiede quindi una valutazione trasversale e documentata. Non si tratta soltanto di verificare la presenza formale dei presidi previsti da DORA, ma di dimostrare che tali presidi siano effettivamente adeguati rispetto alla velocità e alla crescente complessità delle minacce abilitate dall’intelligenza artificiale.

Paradigma approfondisce l’evoluzione della disciplina sulla governance dei rischi ICT, sulla resilienza operativa digitale, sulla cybersecurity e sull’impiego responsabile dell’intelligenza artificiale attraverso iniziative formative rivolte a imprese, intermediari finanziari, Pubbliche Amministrazioni e professionisti.

Consulta le nostre iniziative in programma.