La pressante scadenza per gli intermediari vigilati: relazione e piano di lavoro entro il 31 dicembre 2026

Nella comunicazione al mercato del 17 luglio 2026, la Vigilanza nazionale invita gli intermediari [1] direttamente vigilati a “individuare e realizzare con tempestività le misure necessarie per potenziare i processi e i presidi di sicurezza a protezione dei propri sistemi al fine di rafforzare la propria resilienza operativa e cibernetica”.

Con tale provvedimento, l’Autorità sottolinea l’alta vulnerabilità del settore finanziario, che non può più trascurare eventuali falle dei propri sistemi informatici. Le tecnologie di intelligenza artificiale più avanzate, infatti, hanno reso più veloce, più economico e più alla portata di tutti individuare una falla in un sistema informatico e sfruttarla. Ne deriva, osserva la Banca d’Italia, una crescente asimmetria fra attaccanti e difensori, a scapito di questi ultimi.

L’importante scadenza del 31 dicembre 2026 e i presidi di difesa informatica

La risposta richiesta agli intermediari vigilati dalla Banca d’Italia non è affatto un adempimento formale. Si tratta di un’apposita relazione che, distintamente per ciascuna delle aree indicate dall’Autorità, rappresenti il livello attuale di esposizione al rischio e l’adeguatezza dei presidi esistenti, individui le principali carenze e le relative priorità di intervento. Ad essa va allegato un piano di lavoro – non eventuale, ma parte integrante dell’adempimento – con l’indicazione delle azioni, dei tempi e degli investimenti necessari, proporzionato al profilo di rischio e all’operatività dell’intermediario, nonché delle modalità con cui il Consiglio di Amministrazione ne verificherà l’avanzamento.

Il Consiglio di Amministrazione è chiamato a esaminare la Comunicazione in una seduta congiunta con il Collegio Sindacale e, nella medesima seduta, ad avviare i lavori per la stesura della relazione.

Tale passaggio formale costituisce un’aspettativa di vigilanza anche per gli istituti c.d. less significant, avendo i CEO dei gruppi bancari significativi, già ricevuto analoga richiesta dalla Banca Centrale Europea, con scadenza 31 ottobre 2026.

In concreto, l’ordine del giorno del consiglio di amministrazione dovrà indicare un punto dedicato, che diverrà speculare ad una richiesta ispettiva.

Ogni intermediario dovrà individuare e comunicare all’Autorità di Vigilanza uno specifico punto di responsabilità aziendale – la Comunicazione indica, a titolo esemplificativo, la funzione di controllo dei rischi ICT di secondo livello. Relazione e piano di lavoro dovranno essere trasmessi alla Vigilanza entro il 31 dicembre 2026.

L’intermediario dovrà pertanto dimostrare di avere uno strutturato sistema di governance, con relativi centri di responsabilità, uffici preposti, presidi in tema di sicurezza informatica, gestione degli asset, della vulnerabilità, il monitoraggio, i test e fornitori terzi.

L’Autorità di Vigilanza esorta esplicitamente a incrementare le misure di gestione della sicurezza informatica, trasformando la compliance in un vero e proprio sistema di difesa.

Il rischio ICT, quindi, non va più inteso come isolato: esso vive nell’interdipendenza tra dati che arrivano da fornitori, funzioni e sistemi diversi, interdipendenza che emerge di norma solo in sede ispettiva o al verificarsi di un incidente.

Alcuni pilastri della resilienza digitale per gli intermediari suggeriti da Banca d’Italia nella comunicazione del 17 luglio

• una revisione del proprio quadro di propensione al rischio (RAF) e il rafforzamento della governance, all’interno della quale la Comunicazione chiede di annoverare componenti dotati di adeguate competenze tecnologiche, anche in materia di intelligenza artificiale, e di prevedere un budget adeguato alla loro formazione continua;
• l’adozione dei principi della difesa in profondità (defence-in-depth) e dell’igiene informatica: autenticazione e autorizzazione rigorose, gestione granulare degli accessi, monitoraggio costante e segmentazione delle reti e degli ambienti operativi, per limitare la propagazione di eventuali compromissioni;
• la mappatura delle proprie risorse informatiche, con inventari completi, aggiornati e affidabili di eventuali asset critici e della loro esposizione;
• la gestione delle vulnerabilità, con priorità alla remediation sui sistemi più esposti e alle vulnerabilità più critiche, i relativi responsabili e le scadenze;
• la pianificazione, esecuzione e reporting dei test di resilienza operativa digitale, in un contesto dove gli scenari divengono sempre più complessi, con l’inclusione strutturata delle attività di gestione delle crisi;
• l’eventuale rafforzamento dei presidi di monitoraggio, difesa e test di resilienza, fino alla gestione del rischio ICT di terzi.

___________________________________________________

Fonti:

[1] La comunicazione è rivolta ai soggetti direttamente vigilati dal Dipartimento Vigilanza Bancaria e Finanziaria della Banca d’Italia, ossia: banche e gruppi bancari cd less significant (compresa Bancoposta), istituti di pagamento, istituti di moneta elettronica, imprese di investimento, fornitori di servizi per le cripto-attività (CASP), gestori di fondi di investimento alternativi, società di gestione, fornitori di servizi di crowdfunding, intermediari finanziari (ex. 106).