Intelligenza artificiale e cybersicurezza: richieste Banca d’Italia

Banca d’Italia, con comunicazione al mercato del 17 luglio 2026, in materia di resilienza operativa digitale e modelli avanzati di intelligenza artificiale, invita i soggetti vigilati (banche e intermediari) a considerare le gravi implicazioni dell’IA nell’ambito della cybersicurezza, ed invita i Consigli di Amministrazione a stendere una relazione da inoltrare a Banca d’Italia, che rappresenti il livello attuale di esposizione al rischio e l’adeguatezza dei presidi esistenti.

Analoga comunicazione, rivolta agli operatori del settore assicurativo, è stata pubblicata in pari data da IVASS.

Banca d’Italia ricorda che i modelli di ultima generazione di IA hanno la capacità di identificare le vulnerabilità dei sistemi software e generare contemporaneamente le relative modalità di sfruttamento in tempi estremamente ridotti e senza la necessità di specifiche competenze tecniche, comportando una sensibile riduzione dell’intervallo temporale tra l’individuazione delle
vulnerabilità e il loro sfruttamento, con conseguente incremento dei rischi di subire attacchi cyber efficaci: il rafforzamento della resilienza operativa digitale è una condizione essenziale per assicurare la continuità aziendale e la capacità di offrire servizi assicurativi e finanziari affidabili.

Abbiamo organizzato per il prossimo 17 settembre il webinar “La governance dell’Intelligenza Artificiale” che analizzerà le sfide normative, organizzative e di compliance derivanti dall’uso dell’intelligenza artificiale nel settore bancario e assicurativo. Il programma completo è visibile al seguente link.

Banca d’Italia quindi, tenendo presente i requisiti previsti da DORA, e le implicazioni recenti dell’intelligenza artificiale più avanzata nell’ambito cyber, invita banche e intermediari a individuare e realizzare con tempestività le misure necessarie per potenziare i processi e i presidi di cybersicurezza, con particolare riferimento alle seguenti aree:

• governance: gli organi con funzione di amministrazione e di gestione devono rivedere il quadro di riferimento per la determinazione della propensione al rischio (RAF) per incorporare i rischi derivanti dalle tecnologie di frontiera, in maniera coerente con le decisioni strategiche, incluse quelle concernenti gli investimenti in ambito ICT e l’allocazione delle risorse; in particolare:
  • promuovendo il rafforzamento dei sistemi di governo e di controllo
  • assicurando una chiara e puntuale attribuzione delle responsabilità, anche con riferimento alla gestione e sicurezza dei dati
  • definendo presidi appropriati per il governo degli eventuali fornitori esterni di servizi informatici, come adeguati requisiti contrattuali e criteri rigorosi per la valutazione ex-ante e la selezione dei fornitori
  • inserendo all’interno del C.d.A. componenti dotati di adeguate competenze tecnologiche, anche in materia di intelligenza artificiale
  • prevedendo un budget adeguato a garantire la propria formazione nel continuo
• una maggiore igiene informatica:
  • integrando nella propria strategia i principi della difesa in profondità (defence-in-depth) e dell’igiene informatica, che prevedono:
    • processi di autenticazione e autorizzazione rigorosi
    • gestione granulare degli accessi
    • monitoraggio costante delle attività.
  • affiancando strategie di segmentazione delle reti e degli ambienti operativi, al fine di limitare la propagazione di eventuali compromissioni.
• gestione delle risorse informatiche e della potenziale superficie d’esposizione:
  • disponendo di inventari completi, aggiornati e affidabili, anche in considerazione delle minacce emergenti, quale prerequisito essenziale sia per individuare e gestire correttamente le vulnerabilità sia per mappare la propria potenziale superficie di attacco e intervenire in modo efficace
  • considerando che la classificazione delle risorse informatiche in funzione della criticità deve tenere conto della loro eventuale esposizione diretta su internet, nonché del ricorso a soluzioni basate su infrastrutture cloud
  • procedendo alla modernizzazione delle infrastrutture, anche mediante la sostituzione o l’aggiornamento di tecnologie, non più supportate o giunte a fine vita (legacy)
• gestione delle vulnerabilità e degli aggiornamenti (patch): qualora le imprese decidano di avvalersi di strumenti di difesa basati sull’intelligenza artificiale, il loro impiego
  dovrà essere coerente con la strategia in materia di IA e accompagnato da un adeguata valutazione dei rischi specifici associati a tali tecnologie, nonché dall’adozione di idonei presidi (i.e. monitoraggio delle prestazioni e del deterioramento, supervisione umana, ecc.)
• monitoraggio, rilevazione e misure di difesa delle applicazioni, degli accessi e del traffico di rete (compreso quello da e verso i fornitori terzi di servizi informatici):
  • integrandoli con strumenti basati sull’intelligenza artificiale, per analizzare grandi volumi di dati e identificare anomalie in tempo reale, specie con riferimento alle risorse informatiche critiche
  • sincronizzandoli con l’inventario delle risorse informatiche per garantire che queste ultime siano monitorate in base alla loro classificazione di criticità
• rafforzare l’attività di test di resilienza operativa digitale e quelli dei processi di risposta e recupero, includendo in modo strutturato anche le attività di gestione delle crisi, attraverso il test periodico delle procedure operative, in linea con i requisiti previsti dal regolamento DORA, prevedendo la simulazione di scenari realistici e progressivamente più complessi, adeguati alla continua evoluzione del panorama delle minacce cyber a seguito dei cambiamenti nel contesto tecnologico
• gestione della leva tecnologica: catene di fornitura articolate su più livelli e concentrate in pochi operatori possono trasformare criticità circoscritte in problemi di ampia portata: le iniziative delle imprese devono essere supportate anche dai fornitori esterni, sui quali ricadono le medesime responsabilità di assicurare la salvaguardia e la continuità dei sistemi.

Banca d’Italia si attende dunque che il Consiglio di Amministrazione di ciascun soggetto direttamente vigilato dal Dipartimento Vigilanza Bancaria e Finanziaria di Banca d’Italia:

• nel corso di una seduta con il Collegio Sindacale esamini il contenuto della presente Comunicazione
• nella stessa seduta, dia avvio alla stesura di una Relazione che, distintamente per ciascuna delle aree richiamate nella comunicazione:
  • rappresenti il livello attuale di esposizione al rischio e l’adeguatezza dei presidi esistenti
  • individui le principali carenze e le relative priorità di intervento
  • definisca un piano di lavoro con l’indicazione delle azioni, dei tempi e degli investimenti necessari, proporzionato al profilo di rischio, alla complessità dei servizi, all’attività e all’operatività dell’impresa
  • definisca le modalità con cui il C.d.A. ne verificherà l’avanzamento.

Ciascuna impresa di assicurazione dovrà inoltre individuare e comunicare a Banca d’Italia uno specifico punto di responsabilità dell’ente (come la funzione di controllo dei rischi ICT di secondo livello).

La Relazione con allegato il piano di lavoro, dovrà essere trasmessa a Banca d’Italia entro il 31 dicembre 2026.