La resilienza digitale non è più un tema per soli tecnici, da affrontare quando l’emergenza è già esplosa, entra, invece, nel cuore della governance degli intermediari e diventa una misura della loro capacità di tenuta.
Nello specifico, con la comunicazione in esame, Banca d’Italia accende i riflettori su un profilo decisivo: i gravi incidenti ICT non devono soltanto essere gestiti, ma anche quantificati nel loro impatto economico. Costi, perdite, interruzioni operative e conseguenze organizzative, quindi, diventano dati da raccogliere, ordinare e rendere leggibili ai fini di vigilanza.
Banca d’Italia, Comunicazione sulle stime dei costi e delle perdite aggregati causati da gravi incidenti TIC, con prima scadenza al 30 giugno 2026.
Dal danno tecnico al rischio aziendale
Il punto di partenza è DORA, il Regolamento europeo che ha impresso un cambio di passo alla resilienza operativa digitale del settore finanziario: non più presidi dispersi o lasciati alla sola funzione informatica, ma un sistema organico che chiede agli operatori di prevenire, gestire e misurare gli effetti degli incidenti TIC.
È dentro questo scenario che la comunicazione assume rilievo concreto. Le entità finanziarie, diverse dalle microimprese, devono comunicare alle Autorità competenti, quando richiesto, una stima dei costi e delle perdite annuali aggregati causati da incidenti gravi.
L’obiettivo è chiaro: conoscere il peso reale di eventi che possono incidere sulla continuità operativa, sulla stabilità dell’intermediario e, non da ultimo, sulla fiducia del mercato.
Ed è proprio qui che cambia la prospettiva. L’incidente informatico non è più solo un guasto da risolvere e archiviare, ma viene considerato un evento aziendale che lascia tracce economiche, organizzative e reputazionali. Per questo, la sua misurazione non è un dettaglio amministrativo, ma una componente essenziale del governo del rischio digitale.
La scadenza come prova di maturità
Su questo terreno si innesta l’obbligo per gli intermediari direttamente vigilati di trasmettere ogni anno le stime richieste. La scadenza ordinaria è fissata al 31 maggio; per il primo anno, tuttavia, il termine slitta al 30 giugno 2026. Una proroga che non significa alleggerimento dell’obbligo, ma solo tempo concesso agli operatori per costruire un presidio destinato a diventare stabile.
Non basta, dunque, registrare l’evento, occorre individuarlo correttamente, ricostruirne gli effetti, aggregarne le ricadute economiche e conservare evidenze coerenti con le istruzioni operative. Il dato trasmesso all’Autorità diventa così il risultato visibile di un processo interno solido, documentato e verificabile.
In altri termini, la segnalazione annuale non misura soltanto il costo degli incidenti, ma misura anche la capacità dell’intermediario di conoscerli, governarli e trasformarli in informazioni utili per rafforzare i propri presidi.
Governance e controlli interni
La comunicazione conferma un dato ormai evidente: il rischio ICT non può più restare confinato nell’area tecnica, coinvolge compliance, risk management, internal audit, continuità operativa, gestione dei fornitori tecnologici e organi aziendali. La quantificazione dei costi richiede, quindi, una lettura integrata dell’incidente, capace di unire competenze informatiche, contabili, legali e organizzative.
In questa prospettiva, il dato richiesto dall’Autorità diventa anche un indicatore della qualità dei controlli interni: se l’intermediario non è in grado di ricostruire l’impatto economico di un incidente grave, il problema non riguarda soltanto la segnalazione, ma la tenuta complessiva del sistema di gestione del rischio.
La vera sfida sarà evitare che la raccolta delle informazioni resti un esercizio occasionale a ridosso della scadenza. DORA, infatti non impone solo una serie di obblighi, ma un vero e proprio salto culturale: trasformare il rischio digitale da emergenza da rincorrere a presidio ordinario, misurabile e governabile. Solo così l’incidente ICT potrà essere letto non come una parentesi critica, ma come un banco di prova della resilienza dell’intermediario.
09.07.2026
