Comunicazione di Bankitalia: nuovi adempimenti e la scadenza del 31 dicembre 2026

Con comunicazione al mercato del 17 luglio 2026 Banca d’Italia richiama gli intermediari bancari e finanziari all’adozione di un presidio rafforzato sui rischi tecnologici, con particolare riferimento ai modelli di IA. La nota, In linea con il quadro DORA (Digital Operational Resilience Act), sottolinea l’obbligo di aggiornare gli adeguati assetti organizzativi e di controllo interni e di rafforzare la gestione del rischio derivante dai fornitori terzi di servizi TIC (Tecnologie dell’Informazione e della Comunicazione).

In particolare, vengono richiamate le seguenti aree di presidio:

• Governance. È necessario che i componenti del board abbiano competenze tecnologiche adeguate e che sia previsto un budget per la formazione continua.
• Igiene informatica. Deve essere adottata la strategia di difesa in profondità (defence-in-depth), con autenticazione rigorosa, gestione granulare degli accessi e segmentazione delle reti per limitare i danni in caso di compromissione.
• Gestione delle risorse (Asset Management). Vanno completati e aggiornati gli inventari per mappare la superficie di attacco e modernizzare dei sistemi obsoleti (legacy).
• Gestione delle vulnerabilità. Vanno accelerati i processi di patching (applicazione degli aggiornamenti), utilizzando eventualmente l’IA per le scansioni e dando priorità ai software open source e ai sistemi accessibili dall’esterno.
• Monitoraggio e difesa. Occorre impiegare strumenti di IA per analizzare grandi volumi di dati e rilevare anomalie in tempo reale sulle risorse critiche.
• Attività di test. Devono essere eseguiti i test di resilienza basati su scenari realistici e complessi, includendo la gestione delle crisi in linea con i requisiti DORA.

La comunicazione identifica poi il ricorso a fornitori terzi come un fattore di vulnerabilità e impone per questiuna selezione rigorosa e comunque l’adozione di opportune clausole contrattuali che assicurino il monitoraggio della sicurezza e la gestione tempestiva degli aggiornamenti.

È poi imposta la redazione di una relazione del Consiglio di Amministrazione, insieme al Collegio Sindacale, che includa, alla luce della comunicazione in parola, una analisi del livello attuale di esposizione al rischio, l’adeguatezza dei presidi esistenti e le carenze individuate, un piano di lavoro dettagliato con azioni, tempi e investimenti necessari.

Gli intermediari devono infine nominare un responsabile aziendale per la gestione dei rischi ICT.

Infine, sia la relazione che il piano di lavoro devono essere trasmessi alla Vigilanza entro il 31 dicembre 2026.