Resilienza operativa digitale e IA di frontiera: la nuova Comunicazione di Banca d’Italia impone una Relazione al CdA entro il 31 dicembre 2026
In sintesi
Banca d’Italia ha pubblicato una Comunicazione al mercato in materia di resilienza operativa digitale e modelli avanzati di Intelligenza Artificiale che introduce un adempimento puntuale a carico degli intermediari vigilati: la redazione e la trasmissione all’Organo di Vigilanza di una Relazione, corredata di un piano di lavoro, entro il 31 dicembre 2026.
L’iniziativa muove dalla constatazione che i modelli di IA di ultima generazione sono in grado di individuare le vulnerabilità dei sistemi software e di generarne contestualmente le modalità di sfruttamento in tempi ridottissimi e senza specifiche competenze tecniche, comprimendo l’intervallo tra scoperta e sfruttamento delle vulnerabilità e accrescendo l’asimmetria tra attaccanti e difensori. In questo contesto, il rafforzamento della resilienza operativa digitale non è più soltanto un tema di conformità, ma una condizione di continuità operativa.
Chi è tenuto all’adempimento
L’obbligo riguarda i soggetti direttamente vigilati dal Dipartimento Vigilanza Bancaria e Finanziaria di Banca d’Italia, ovvero:
- banche e gruppi bancari meno significativi (compresa Bancoposta);
- istituti di pagamento e istituti di moneta elettronica;
- imprese di investimento (SIM);
- fornitori di servizi per le cripto-attività (CASP);
- gestori di fondi di investimento alternativi (GEFIA) e società di gestione (SGR);
- fornitori di servizi di crowdfunding;
- intermediari finanziari ex art. 106 TUB.
Un punto merita particolare attenzione: l’obbligo prescinde dalla dimensione e dalla classificazione dell’intermediario. La Comunicazione individua i destinatari con criterio soggettivo — l’appartenenza a una delle categorie vigilate — e non introduce alcuna soglia di esclusione. Vi rientrano quindi anche gli intermediari di minori dimensioni: per le SIM, ciò include le imprese di investimento di classe 3 (“piccole e non interconnesse” ai sensi del quadro IFR/IFD) e, più in generale, i soggetti che adottano il quadro semplificato di gestione dei rischi ICT di cui all’art. 16 DORA. Il quadro semplificato non è infatti un’esenzione, ma un regime di obblighi ridotto e comunque pienamente vincolante.
La dimensione e la complessità dell’intermediario non incidono dunque sul se l’adempimento sia dovuto, ma sul quanto: operano come criterio di proporzionalità del contenuto della Relazione e del piano di lavoro, in coerenza con il principio sancito dall’art. 4 DORA.
Le aree oggetto di intervento
La Comunicazione invita gli intermediari a individuare e realizzare con tempestività le misure necessarie a rafforzare i propri presidi di sicurezza, articolandole in sei aree:
- Governance — revisione del Risk Appetite Framework (RAF) per incorporare i rischi delle tecnologie di frontiera; chiara attribuzione delle responsabilità, anche sulla sicurezza dei dati; presidi per il governo dei fornitori esterni di servizi informatici (requisiti contrattuali su monitoraggio della sicurezza e gestione delle patch, criteri rigorosi di selezione ex ante); adeguate competenze tecnologiche, anche in materia di IA, in seno all’organo di amministrazione e budget per la formazione continua.
- Igiene informatica — adozione dei principi di defence-in-depth e igiene informatica: processi di autenticazione e autorizzazione rigorosi, gestione granulare degli accessi, monitoraggio costante, segmentazione delle reti e degli ambienti operativi.
- Gestione delle risorse informatiche e della superficie d’esposizione — inventari completi, aggiornati e affidabili; classificazione degli asset per criticità tenendo conto dell’esposizione diretta su internet e del ricorso al cloud; modernizzazione delle infrastrutture e superamento delle tecnologie legacy.
- Gestione delle vulnerabilità e degli aggiornamenti (patch) — individuazione rapida delle vulnerabilità, anche mediante l’evoluzione delle tecniche di scansione; applicazione tempestiva delle azioni di rimedio con priorità a quelle più critiche; attenzione prioritaria ai software open source e ai sistemi esposti verso l’esterno, specie per le vulnerabilità zero-day.
- Monitoraggio, rilevazione e misure di difesa — rafforzamento del monitoraggio di applicazioni, accessi e traffico di rete (incluso quello da e verso i fornitori terzi), eventualmente integrato con strumenti basati sull’IA per l’analisi in tempo reale delle anomalie; sincronizzazione dei sistemi di monitoraggio con l’inventario degli asset.
- Attività di test — rafforzamento dei test di resilienza operativa digitale e dei processi di risposta e recupero, con simulazione di scenari realistici e progressivamente più complessi, in linea con i requisiti degli artt. 24 e 25 DORA (restando ferme, per i soggetti individuati, le prescrizioni sui test di penetrazione guidati dalla minaccia — TLPT).
La Comunicazione sottolinea inoltre che le iniziative degli intermediari devono essere supportate anche dai fornitori esterni, sui quali ricadono le medesime responsabilità di salvaguardia e continuità dei sistemi, tenuto conto dei rischi di concentrazione lungo catene di fornitura articolate su più livelli.
Il rapporto con DORA e con il Riesame ex art. 27
La Comunicazione precisa che i requisiti DORA mantengono piena valenza anche in questo contesto: l’adempimento non deroga né sostituisce il quadro per la gestione dei rischi ICT, ma vi si appoggia, utilizzando DORA come parametro di adeguatezza delle misure.
La Relazione richiesta si configura tuttavia come adempimento autonomo e a termine, distinto dal Riesame annuale del quadro di gestione dei rischi ICT di cui all’art. 27 DORA. Ne differisce per innesco (una seduta dedicata degli organi aziendali), per scadenza fissa (31 dicembre 2026), per taglio tematico (il rischio connesso ai modelli avanzati di IA) e per struttura (gap analysis e piano di rimedio per ciascuna delle sei aree). Gli output già disponibili nell’ambito del framework DORA — esiti del riesame, programmi di test, gestione dei fornitori — costituiscono comunque una base documentale riutilizzabile ai fini della Relazione.
Governance dell’adempimento e scadenza
La Comunicazione definisce un percorso procedurale preciso:
- il Consiglio di Amministrazione, in seduta congiunta con il Collegio Sindacale, esamina il contenuto della Comunicazione e avvia i lavori per la stesura della Relazione;
- la Relazione rappresenta, distintamente per ciascuna delle sei aree, il livello attuale di esposizione al rischio e l’adeguatezza dei presidi esistenti, individua le principali carenze e le relative priorità di intervento e definisce un piano di lavoro con azioni, tempi e investimenti necessari, proporzionato al profilo di rischio, alla complessità dei servizi e all’operatività dell’intermediario;
- il piano definisce altresì le modalità con cui il CdA verificherà l’avanzamento delle attività;
- ogni entità individua e comunica all’Organo di Vigilanza uno specifico punto di responsabilità aziendale (a titolo esemplificativo, la funzione di controllo dei rischi ICT di secondo livello);
- la Relazione, con allegato il piano di lavoro, è trasmessa alla Vigilanza entro il 31 dicembre 2026.
Perché attivarsi per tempo
Sebbene la scadenza sia fissata a fine 2026, la tempistica effettiva è più stringente di quanto appaia. La Relazione presuppone una fase istruttoria non banale: una ricognizione dello stato dei presidi su sei aree, la conduzione di una gap analysis, la definizione delle priorità e la costruzione di un piano di lavoro con stime di tempi e investimenti. A monte, l’iter richiede una seduta congiunta CdA–Collegio Sindacale che deve essere calendarizzata, e a valle l’individuazione formale del punto di responsabilità aziendale.
Per gli intermediari di minori dimensioni, il principio di proporzionalità consente una Relazione più snella, calibrata sul profilo di rischio e sull’operatività; resta però ferma — e non graduabile — la componente procedurale (seduta congiunta degli organi, struttura per le sei aree, individuazione del punto di responsabilità, rispetto della scadenza).
Si raccomanda pertanto di avviare quanto prima la pianificazione delle attività, coordinando le funzioni di controllo di secondo livello (in particolare la funzione ICT Risk), la funzione di Compliance e l’Internal Audit, e coinvolgendo tempestivamente gli organi aziendali.
Il presente Alert ha finalità meramente informativa e non sostituisce l’esame del testo integrale della Comunicazione, al quale si rimanda per ogni valutazione operativa. Per un’analisi calibrata sul profilo del singolo intermediario e per il supporto nella predisposizione della Relazione e del piano di lavoro, è possibile contattare il team di Conformis in Finance.