Alessia Gilardi
Regional Product Compliance Consultant
Alessia Gilardi è una GRC manager con ampia esperienza internazionale in conformità, protezione dei dati, audit e gestione del rischio. È specializzata nel trasformare requisiti normativi complessi in soluzioni pratiche a supporto del business. È certificata dall'International Compliance Association (ICA).
Punti chiave:
Il 17 luglio 2026 Banca d'Italia ha pubblicato una Comunicazione al mercato su resilienza operativa digitale e modelli avanzati di AI. I modelli di ultima generazione sanno individuare le vulnerabilità di un software e generare il modo per sfruttarle in tempi brevissimi, senza competenze tecniche specifiche.
Banche e gruppi bancari meno significativi, istituti di pagamento, IMEL, SIM, fornitori di servizi per le cripto-attività, gestori di FIA, SGR, fornitori di servizi di crowdfunding e intermediari ex art. 106 TUB devono trasmettere la Relazione con il piano di lavoro entro il 31 dicembre 2026.
La Relazione copre sei aree: governance, igiene informatica, risorse informatiche e superficie d'esposizione, vulnerabilità e patch, monitoraggio e difesa, test. Per ciascuna descrive esposizione al rischio, adeguatezza dei presidi, carenze e priorità.
Il piano di lavoro indica azioni, tempi e investimenti e le modalità con cui il Consiglio di Amministrazione ne verificherà l'avanzamento. Ogni entità individua inoltre un punto di responsabilità aziendale, ad esempio la funzione di controllo dei rischi ICT di secondo livello.
Il regolamento DORA resta il quadro di riferimento: la Comunicazione chiede di applicarlo con una velocità e una profondità nuove, in linea con le richieste di BCE e IVASS.
Non è un adempimento come gli altri. È la conferma che l'AI non è soltanto una tecnologia da adottare per rendere più efficienti e innovare processi e servizi, ma un fattore di rischio strategico da governare. E Banca d'Italia non è sola: la BCE ha chiesto alle banche significative un piano d'azione entro il 31 ottobre, l'IVASS ha inviato lo stesso giorno una comunicazione analoga alle imprese di assicurazione e le Autorità europee di vigilanza sono intervenute con una dichiarazione congiunta a fine luglio. La governance, oggi, è ciò che separa chi subirà il cambiamento da chi saprà gestirlo.
Il nuovo scenario: quando l'attacco arriva prima della patch
I modelli di AI di ultima generazione sanno individuare le vulnerabilità di un software e, nello stesso momento, generare il modo per sfruttarle. Lo fanno in tempi brevissimi e senza che serva una particolare competenza tecnica. Il risultato è che la finestra tra la scoperta di una falla e il suo sfruttamento si accorcia drasticamente. Banca d'Italia lo dice senza giri di parole: queste tecnologie possono accrescere l'asimmetria tra attaccanti e difensori, a svantaggio di questi ultimi.
In questo contesto la resilienza operativa digitale smette di essere soltanto un tema di conformità. La Comunicazione la definisce una condizione essenziale per assicurare la continuità aziendale e la capacità di offrire servizi finanziari affidabili. I requisiti del regolamento DORA restano pienamente validi: quello che cambia è la velocità e la profondità con cui gli intermediari sono chiamati ad applicarli.
Chi deve trasmettere la Relazione?
La Comunicazione è rivolta ai soggetti vigilati direttamente dal Dipartimento Vigilanza Bancaria e Finanziaria di Banca d'Italia:
banche e gruppi bancari meno significativi, compresa BancoPosta
istituti di pagamento e istituti di moneta elettronica (IMEL)
imprese di investimento (SIM)
fornitori di servizi per le cripto-attività
gestori di fondi di investimento alternativi (FIA) e società di gestione del risparmio (SGR)
fornitori di servizi di crowdfunding
intermediari finanziari ex art. 106 TUB
Al seminario del 9 ottobre 2026, che per la prima volta ha riunito associazioni di categoria del settore finanziario e fornitori di servizi ICT, Banca d'Italia ha chiarito alcuni aspetti pratici:
Gruppi: una sola Relazione su base consolidata, riferita al perimetro di consolidamento prudenziale dei soggetti italiani vigilati direttamente. Sono escluse le controllate estere e le componenti assicurative, ma la Relazione deve evidenziare le specificità delle controllate incluse. I gruppi indicano un unico punto di responsabilità.
Esenzioni: le società fiduciarie e i gestori di FIA sotto soglia non trasmettono la Relazione, ma applicano comunque la Comunicazione secondo criteri di proporzionalità.
Invio: la Relazione va inviata alla posta elettronica certificata (PEC) della struttura di vigilanza competente, con copia a Supervisione_rischio_ICT@pec.bancaditalia.it.
Le banche significative sono vigilate direttamente dalla BCE, che con una lettera del 7 luglio 2026 ha chiesto loro un piano d'azione entro il 31 ottobre 2026. Le imprese di assicurazione hanno ricevuto il 17 luglio 2026 una comunicazione analoga dell'IVASS, con la stessa scadenza del 31 dicembre.
La governance viene prima della tecnologia
Un sistema di AI ben progettato non nasce dalla tecnologia, ma da una governance capace di definirne l'uso appropriato. È il filo che attraversa tutta la Comunicazione, e non è un caso che la governance sia la prima area citata. Banca d'Italia chiede agli organi con funzione di amministrazione e di gestione di:
Rivedere il RAF: includere nel quadro di riferimento per la propensione al rischio (RAF) i rischi derivanti dalle tecnologie di frontiera, in coerenza con le decisioni strategiche, compresi gli investimenti ICT e l'allocazione delle risorse.
Attribuire responsabilità chiare: rafforzare i sistemi di governo e di controllo e assegnare le responsabilità in modo puntuale, anche per la gestione e la sicurezza dei dati.
Governare i fornitori esterni: prevedere requisiti contrattuali adeguati sul monitoraggio della sicurezza e sulla gestione delle patch da parte del fornitore, oltre a criteri rigorosi di valutazione ex ante e di selezione.
Portare competenze nel Consiglio di Amministrazione (CdA): annoverare componenti con adeguate competenze tecnologiche, anche in materia di AI, e prevedere un budget per la loro formazione continua.
C'è poi un passaggio che merita attenzione. Quando l'AI viene usata per difendersi, il suo impiego deve essere coerente con la strategia aziendale sull'AI, accompagnato da una valutazione dei rischi specifici e da presidi come il monitoraggio delle prestazioni e del deterioramento e la supervisione umana. In altre parole, non basta adottare lo strumento giusto. Serve sapere il perché, il come e anche chi controlla. Senza questo disegno a monte, anche la soluzione più avanzata diventa un nuovo punto debole.
Le sei aree su cui intervenire
Per ciascuna area la Relazione deve descrivere esposizione al rischio, adeguatezza dei presidi esistenti, carenze e priorità. La domanda nell'ultima colonna aiuta a capire subito a che punto è la propria organizzazione.
Area | Cosa chiede Banca d'Italia | La domanda da porsi oggi |
|---|---|---|
Governance | RAF aggiornato ai rischi delle tecnologie di frontiera, responsabilità chiare, presidi sui fornitori, competenze tecnologiche e di AI nel CdA | Il nostro organo di amministrazione sa valutare i rischi dell'AI? |
Igiene informatica | Difesa in profondità, autenticazione e autorizzazione rigorose, gestione granulare degli accessi, monitoraggio costante delle attività, segmentazione delle reti | Una compromissione resterebbe circoscritta? |
Risorse informatiche e superficie d'esposizione | Inventari completi, aggiornati e affidabili, classificazione per criticità che tenga conto dell'esposizione su internet e del cloud, superamento dei sistemi legacy | Sappiamo davvero cosa è esposto su internet o gira in cloud? |
Vulnerabilità e patch | Scansione più evoluta (anche con l'AI, ove opportuno), rimedi più tempestivi a partire dai più critici, priorità a software open source e sistemi accessibili dall'esterno | Quanto tempo passa tra scoperta e correzione? |
Monitoraggio e difesa | Controllo rafforzato di applicazioni, accessi e traffico di rete, anche verso e dai fornitori, sincronizzato con l'inventario e la sua classificazione di criticità | Quanto velocemente vedremmo un'anomalia su un sistema critico? |
Test | Test di resilienza, di risposta e di ripristino, inclusa la gestione delle crisi, con scenari realistici e sempre più complessi, in linea con il regolamento DORA | Abbiamo mai simulato un attacco potenziato dall'AI? |
A queste aree si aggiunge un tema trasversale: la catena di fornitura. Catene articolate su più livelli e concentrate in pochi operatori possono trasformare una criticità circoscritta in un problema di ampia portata. Per questo le iniziative degli intermediari devono essere supportate anche dai fornitori esterni, sui quali, ricorda Banca d'Italia, ricadono le medesime responsabilità di assicurare la salvaguardia e la continuità dei sistemi.
Cosa deve contenere la Relazione
Banca d'Italia si attende che il CdA, in seduta congiunta con il Collegio Sindacale, esamini la Comunicazione e avvii nella stessa seduta i lavori per la stesura della Relazione. Distintamente per ciascuna delle sei aree, la Relazione deve:
rappresentare il livello attuale di esposizione al rischio
valutare l'adeguatezza dei presidi esistenti
individuare le principali carenze e le relative priorità di intervento
Il piano di lavoro allegato definisce azioni, tempi e investimenti necessari, in modo proporzionato al profilo di rischio, alla complessità dei servizi, all'attività e all'operatività dell'intermediario, e stabilisce come il CdA ne verificherà l'avanzamento. Ogni entità deve inoltre individuare e comunicare alla Vigilanza uno specifico punto di responsabilità aziendale, ad esempio la funzione di controllo dei rischi ICT di secondo livello. Relazione e piano di lavoro vanno trasmessi entro il 31 dicembre 2026.
31 dicembre 2026: il tempo è già poco
Mancano circa due mesi alla scadenza, e il percorso richiesto non è breve. Chi parte adesso ha ancora il tempo per un'analisi seria. Chi aspetta rischia di consegnare un documento formale, ma privo della sostanza che la Vigilanza si aspetta di trovare.
La vera sfida non è scrivere la Relazione, ma arrivarci con un quadro ordinato: sapere dove si è, cosa manca e in che ordine intervenire. Serve un metodo strutturato, che traduca le richieste della Vigilanza in verifiche concrete, area per area:
Avviare formalmente i lavori: tenere la seduta congiunta di CdA e Collegio Sindacale, se non è ancora avvenuta, e verbalizzare l'avvio della Relazione.
Individuare il punto di responsabilità: scegliere la funzione, comunicarla alla Vigilanza e darle un mandato chiaro.
Fotografare lo stato attuale area per area: riusare il lavoro già fatto per il regolamento DORA, come il quadro per la gestione dei rischi informatici, gli inventari, i risultati dei test, le valutazioni dei fornitori e il registro delle informazioni.
Valutare l'adeguatezza con occhio critico: annotare dove i presidi mancano, sono deboli o non sono dimostrabili, e ordinare le carenze per priorità.
Trasformare le carenze in un piano di lavoro: a ogni azione un responsabile, una scadenza e una stima dell'investimento.
Decidere come il CdA seguirà l'avanzamento: cosa vede, con quale frequenza e chi gli riferisce.
Dal requisito al presidio: il contributo di Formalize
È esattamente l'approccio che abbiamo adottato in Formalize. Abbiamo sviluppato una checklist ad hoc, costruita sui contenuti della Comunicazione e sui relativi requisiti, pensata per accompagnare CdA, Collegio Sindacale e funzioni di controllo nella preparazione della Relazione. Il punto di partenza è fotografare lo stato attuale dei presidi, valutando con occhio critico le carenze e i punti che richiedono un presidio più forte o più efficace. L'obiettivo è impostare un piano di lavoro difendibile davanti alla Vigilanza.
La checklist è solo un punto di partenza. Ogni intermediario ha un profilo di rischio, una complessità operativa e un livello di maturità diversi, e la piattaforma Formalize permette anche di:
Valutare ogni area in un unico posto: collegare esposizione, presidi e carenze ai controlli, ai rischi informatici e ai fornitori già gestiti per il regolamento DORA.
Trasformare le carenze in un piano di lavoro: ogni azione ha un responsabile, una scadenza e le relative evidenze, e il CdA segue l'avanzamento sugli stessi dati.
Governare i fornitori ICT: valutarli per criticità nella Gestione delle terze parti e conservare con ciascuno contratti e requisiti di sicurezza.
Pianificare i test di resilienza: programmare i test, inclusi i test di penetrazione guidati dalla minaccia (TLPT) dove previsti, come attività ricorrenti con evidenze.
Governare l'AI, anche quella usata per difendersi: registrare i sistemi di AI e valutarne i rischi con i Blueprint AI Act e ISO 42001.
Formalize non sostituisce gli strumenti di scansione delle vulnerabilità o di monitoraggio della sicurezza, e la valutazione resta in capo ai team interni e al CdA. Alla Relazione dà una struttura e una traccia delle evidenze dietro ogni risposta.
Questo articolo ha finalità esclusivamente informative e non costituisce consulenza legale.
Il 31 dicembre è vicino
Per capire come impostare i presidi nel modo giusto, e in tempo, presentiamo la checklist e individuiamo insieme il percorso più adatto a ogni realtà.
