In data 17 luglio 2026 la Banca d’Italia ha pubblicato nella sezione “Avvisi e comunicazioni” del proprio sito internet e comunicato attraverso il servizio di “E-mail Alert” una specifica “Comunicazione al mercato in materia di resilienza operativa digitale e modelli avanzati di Intelligenza Artificiale” (Documento integrale).

La Comunicazione è rivolta ai seguenti soggetti: banche e gruppi bancari meno significativi (compresa Bancoposta), istituti di pagamento, istituti di moneta elettronica, imprese di investimento (SIM), fornitori di servizi per le cripto-attività, gestori di fondi di investimento alternativi (SGR di FIA), società di gestione (SGR), fornitori di servizi di crowdfunding, intermediari finanziari art. 106 del TUB.

I sistemi di intelligenza artificiale hanno la capacità di identificare le vulnerabilità dei sistemi software e generare le relative modalità di sfruttamento in tempi rapidi, con un conseguente incremento dei rischi di subire attacchi cyber efficaci.

Per questo Banca d’Italia chiede agli intermediari di individuare e realizzare le misure necessarie per potenziare i processi e i presidi di sicurezza a protezione dei propri sistemi per rafforzare la propria resilienza operativa e cibernetica, in linea con quanto previsto da DORA.

Banca d’Italia ha individuato le seguenti aree di rafforzamento:

– Governance

– Igiene informatica

– Gestione delle risorse informatiche e della potenziale superficie d’esposizione

– Gestione delle vulnerabilità e degli aggiornamenti (patch)

– Monitoraggio, rilevazione e misure di difesa

– Attività di test

– Gestione dei fornitori esterni

A tale riguardo Banca d’Italia ha stabilito i seguenti nuovi adempimenti per gli intermediari:

– esame del contenuto della comunicazione da parte del Consiglio di Amministrazione e approvazione dell’avvio dei lavori di Gap analysis e di predisposizione di una Relazione finale e del relativo Piano di lavoro

– predisposizione della Relazione che descriva per le suddette aree il livello attuale di esposizione al rischio e l’adeguatezza dei presidi esistenti, individui le carenze e le relative priorità di intervento

– predisposizione del Piano di lavoro (cd Action Plan) con l’indicazione delle azioni, dei tempi e degli investimenti necessari

– nomina e comunicazione alla Banca d’Italia del soggetto interno responsabile del progetto in esame (es. Gap analysis, redazione Relazione e Piano di lavoro, esecuzione o monitoraggio delle azioni correttive)

– approvazione da parte del Consiglio di Amministrazione, sentito il Collegio Sindacale, della Relazione finale e del relativo Piano di lavoro, comprensivo delle modalità di verifica da parte del CdA dello stato di avanzamento del piano stesso

– invio entro il 31 dicembre 2026 alla Banca d’Italia della Relazione finale e del relativo Piano di lavoro sulla cybersicurezza.