IA di frontiera e rischio cyber: BCE, Banca d'Italia e IVASS chiamano banche e assicurazioni all'azione

Nel giro di dieci giorni, tra il 7 e il 17 luglio 2026, tre autorità di vigilanza — BCE, Banca d'Italia e IVASS — hanno recapitato al settore finanziario e assicurativo europeo lo stesso messaggio: i modelli avanzati di intelligenza artificiale stanno riscrivendo le regole del gioco cyber, e chi gestisce risparmio, pagamenti e polizze deve adeguare le proprie difese subito, con piani formali, scadenze precise e responsabilità in capo ai vertici aziendali. Non tre iniziative scollegate, ma un'azione coordinata senza precedenti, innescata anche dal warning del Comitato europeo per il rischio sistemico (ESRB) sui rischi cyber sistemici derivanti dai modelli di IA di frontiera, pubblicato in contemporanea alla lettera BCE.

In questo articolo analizziamo i tre documenti nel dettaglio: cosa chiedono, a chi si rivolgono, entro quando bisogna adempiere e — soprattutto — cosa rivelano sulla direzione della vigilanza europea.

Perché ora: l'IA ha cambiato l'economia degli attacchi

Il punto di partenza è comune a tutti e tre i documenti. I modelli di IA di ultima generazione sono ormai in grado di identificare vulnerabilità nel software e generare contemporaneamente exploit funzionanti in tempi estremamente ridotti e, sottolineano Banca d'Italia e IVASS, «senza la necessità di specifiche competenze tecniche». Il risultato è la compressione drastica dell'intervallo tra la scoperta di una falla e il suo sfruttamento: quella finestra temporale che per anni ha dato ai difensori il margine per testare e distribuire le patch si sta chiudendo.

La BCE è esplicita su un punto spesso frainteso: non si tratta di rischi nuovi, ma di un'amplificazione radicale di velocità e scala con cui i rischi noti si materializzano. E non è un fenomeno passeggero legato a un singolo strumento: è «un cambiamento di lungo periodo del panorama delle minacce». Le autorità italiane aggiungono la conseguenza strategica: l'IA rischia di accrescere l'asimmetria tra attaccanti e difensori a scapito di questi ultimi, rendendo la resilienza operativa digitale non più solo un'esigenza di conformità ma «una condizione essenziale per assicurare la continuità aziendale».

Non è teoria: nei mesi scorsi abbiamo raccontato il primo ransomware guidato interamente da un'IA, vulnerabilità scoperte da sistemi di IA in OpenSSL e un Patch Tuesday da record con 570 falle corrette — proprio quella «ondata di patch» che il CERT-EU e l'NCSC britannico avevano preannunciato e che ora le autorità di vigilanza danno per scenario di riferimento.

La lettera della BCE alle banche significative (7 luglio)

La lettera firmata da Claudia Buch, presidente del Consiglio di vigilanza della BCE (rif. SSM-2026-0301), è indirizzata ai CEO delle banche significative dell'area euro, quelle vigilate direttamente da Francoforte. La richiesta centrale: valutare senza indugio l'impatto del nuovo panorama delle minacce e predisporre un piano d'azione completo con misure concrete, risorse allocate, ruoli e responsabilità chiari e tempistiche di attuazione. Il piano va trasmesso al proprio Joint Supervisory Team (JST) entro il 31 ottobre 2026.

Nel breve termine la BCE indica tre priorità: accelerare la gestione di vulnerabilità e patch su larga scala; potenziare monitoraggio, rilevamento e capacità difensive basate sull'IA; verificare che la gestione del rischio di terze parti sia adeguata al contesto attuale, dato il ruolo dei fornitori ICT nelle catene di approvvigionamento critiche. Priorità assoluta alla protezione delle tecnologie di perimetro e degli asset esposti su internet, inclusi software di terze parti e componenti open source.

Sul piano strutturale, la lettera chiede di rafforzare la difesa in profondità e l'igiene informatica, modernizzare le infrastrutture sostituendo le tecnologie legacy, non supportate o a fine vita, e migliorare risposta e recupero, inclusa la gestione delle crisi e gli accordi di condivisione delle informazioni. L'allegato tecnico scende ulteriormente nel dettaglio: segmentazione e micro-segmentazione, principi zero trust con verifica continua di utenti, dispositivi, applicazioni, API e service account, autenticazione a più fattori, least privilege, security-by-design nello sviluppo software ed esercitazioni su scenari ad alta velocità e volume — compromissioni tramite zero-day, ransomware distruttivi, interruzioni della supply chain o dei servizi cloud.

Tre elementi della lettera meritano particolare attenzione:

• I rilievi aperti diventano più gravi. La BCE avverte che le carenze già identificate in ispezioni, review mirate e nello stress test di cyber-resilienza del 2024, se non risolte, «possono diventare sempre più rilevanti» con l'accelerazione delle minacce. Chi ha finding ICT aperti è avvisato.
• La vigilanza fa spazio nelle agende. Per consentire alle banche di concentrarsi sulle priorità, la BCE posticipa la raccolta annuale dell'IT Risk Questionnaire da settembre 2026 a febbraio 2027 e valuterà caso per caso la ricalibrazione di altre attività ispettive. Un segnale concreto di quanto la questione sia considerata urgente.
• Il quantum è il prossimo capitolo. La lettera anticipa che i progressi del calcolo quantistico e l'adozione della crittografia post-quantum saranno oggetto di una comunicazione dedicata: l'investimento «deve iniziare ora».

La BCE condurrà inoltre un'analisi orizzontale dei piani ricevuti, condividendone le conclusioni con il sistema, e richiama il proprio impegno nei fora internazionali (G7, Comitato di Basilea, Financial Stability Board).

La comunicazione della Banca d'Italia (17 luglio)

Dieci giorni dopo, la Banca d'Italia ha esteso l'impostazione della vigilanza europea a tutto il perimetro nazionale. La comunicazione al mercato si rivolge ai soggetti vigilati direttamente dal Dipartimento Vigilanza Bancaria e Finanziaria: banche e gruppi bancari meno significativi (compresa Bancoposta), istituti di pagamento, istituti di moneta elettronica, imprese di investimento, fornitori di servizi per le cripto-attività, gestori di fondi alternativi, società di gestione, fornitori di servizi di crowdfunding e intermediari finanziari ex art. 106. In pratica: chi non riceve la lettera della BCE riceve quella di Via Nazionale.

L'invito è a rafforzare i presidi in sei aree:

1. Governance — gli organi di amministrazione e gestione devono rivedere il Risk Appetite Framework (RAF) per incorporare i rischi delle tecnologie di frontiera, garantire una chiara attribuzione delle responsabilità (anche su gestione e sicurezza dei dati) e definire presidi contrattuali rigorosi verso i fornitori ICT, con valutazione ex-ante e monitoraggio della gestione delle patch. Rilevante il passaggio sulle competenze: l'organo amministrativo deve annoverare componenti con adeguate competenze tecnologiche, anche in materia di IA, con un budget dedicato alla formazione continua.
2. Igiene informatica — difesa in profondità, autenticazione e autorizzazione rigorose, gestione granulare degli accessi, monitoraggio costante e segmentazione di reti e ambienti per limitare la propagazione delle compromissioni.
3. Gestione delle risorse informatiche e della superficie d'esposizione — inventari completi, aggiornati e affidabili come prerequisito per gestire le vulnerabilità e mappare la superficie di attacco; classificazione per criticità che consideri l'esposizione su internet e il ricorso al cloud; modernizzazione delle infrastrutture legacy.
4. Gestione di vulnerabilità e patch — scansioni evolute (se opportuno anche con sistemi di IA, previa valutazione costi-benefici ex art. 4 DORA), rimedi più tempestivi con priorità alle criticità maggiori, e messa in sicurezza prioritaria di software open source e sistemi accessibili dall'esterno, le cui vulnerabilità zero-day sono le più appetibili per gli attaccanti.
5. Monitoraggio, rilevazione e difesa — rafforzare il monitoraggio di applicazioni, accessi e traffico di rete (incluso quello da e verso i fornitori terzi), integrandolo ove opportuno con strumenti di IA per identificare anomalie in tempo reale, e sincronizzare i sistemi di monitoraggio con l'inventario degli asset.
6. Attività di test — potenziare i test di resilienza operativa digitale e dei processi di risposta e recupero, includendo la gestione delle crisi, con scenari realistici e progressivamente più complessi, in linea con gli articoli 24 e 25 del regolamento DORA (fermi restando i TLPT per i soggetti individuati dalle autorità).

Un passaggio dedicato riguarda la supply chain: catene di fornitura articolate su più livelli e concentrate in pochi operatori «possono trasformare criticità circoscritte in problemi di ampia portata», e sui fornitori esterni «ricadono le medesime responsabilità» di salvaguardia e continuità dei sistemi.

L'adempimento richiesto è formale e impegnativo: il Consiglio di Amministrazione, in seduta congiunta con il Collegio Sindacale, deve esaminare la comunicazione e avviare la stesura di una Relazione che, area per area, fotografi l'esposizione al rischio attuale e l'adeguatezza dei presidi, individui le carenze e le priorità, e definisca un piano di lavoro con azioni, tempi e investimenti, proporzionato al profilo di rischio dell'intermediario. Ogni entità deve inoltre indicare alla Vigilanza uno specifico punto di responsabilità aziendale (ad esempio la funzione di controllo dei rischi ICT di secondo livello). Scadenza: 31 dicembre 2026.

IVASS: stesso schema per assicurazioni e riassicurazioni

Lo stesso 17 luglio l'IVASS ha pubblicato una comunicazione al mercato pressoché speculare, rivolta alle imprese di assicurazione e riassicurazione con sede legale in Italia e alle rappresentanze generali per l'Italia di imprese con sede in Stati terzi rispetto allo Spazio Economico Europeo. Il contenuto ricalca quello della Banca d'Italia: stesse sei aree di intervento, stesso richiamo alla piena validità dei requisiti DORA, stessa procedura (esame in seduta congiunta CdA-Collegio Sindacale, Relazione con piano di lavoro allegato, punto di responsabilità da comunicare all'Istituto) e stessa scadenza del 31 dicembre 2026.

La scelta di replicare quasi alla lettera il testo di Banca d'Italia non è pigrizia redazionale: è un messaggio. Il rischio cyber potenziato dall'IA viene trattato come rischio di sistema trasversale, che non distingue tra banche, intermediari non bancari e compagnie assicurative. E per il settore assicurativo — storicamente meno pressato sul fronte cyber rispetto a quello bancario — è di fatto la prima richiesta formale di questa portata.

Chi deve fare cosa, entro quando

La lettura d'insieme: cinque punti che colpiscono

1. Nessuna nuova regola: si chiede di eseguire. Tutti e tre i documenti ribadiscono che i requisiti DORA «mantengono piena valenza». Il messaggio implicito è che il quadro normativo c'è già; ciò che manca è la velocità di attuazione. Chi sperava in una pausa regolamentare dopo l'entrata in applicazione di DORA troverà qui la conferma del contrario: la compliance formale non basta più, contano i presidi effettivi.

2. La responsabilità sale ai vertici. Il piano non lo scrive l'ufficio IT: lo esaminano CdA e Collegio Sindacale in seduta congiunta, e la BCE indirizza la lettera direttamente ai CEO. La richiesta di consiglieri con competenze tecnologiche e in materia di IA, con budget di formazione dedicato, sposta il tema dalla sala server al consiglio di amministrazione — con tutte le implicazioni di accountability che ne derivano in caso di incidente.

3. Open source e supply chain sono il fronte caldo. L'insistenza su componenti open source, software di terze parti, VPN verso fornitori e catene di fornitura concentrate riflette la lezione degli ultimi anni: si viene compromessi sempre più spesso attraverso qualcun altro. Le richieste contrattuali verso i fornitori (monitoraggio della sicurezza, gestione delle patch, valutazione ex-ante) diventeranno presto clausole standard nei contratti ICT del settore.

4. L'IA difensiva è ammessa, ma con giudizio. Le autorità non demonizzano l'IA: la indicano anzi come strumento per scansioni delle vulnerabilità e rilevamento delle anomalie. Ma sempre con valutazione preventiva dei rischi, coerenza con la strategia IA aziendale, monitoraggio delle prestazioni e supervisione umana. È la stessa filosofia dell'AI Act applicata alla difesa cyber.

5. Il preavviso sul quantum. Quasi in chiusura, la BCE annuncia una futura lettera sulla crittografia post-quantum, precisando che l'investimento «deve iniziare ora». Chi pianifica i budget ICT 2027 farebbe bene a prenderne nota: dopo i piani anti-IA, arriveranno le roadmap di migrazione crittografica.

Da dove cominciare

Per le banche significative la corsa è già iniziata: il piano d'azione va consegnato al JST entro il 31 ottobre 2026, il che significa — al netto della pausa estiva — circa tre mesi per costruirlo, farlo validare dagli organi aziendali e allinearlo alla strategia cyber esistente, su cui la BCE chiede esplicitamente di fondarlo. Chi ha finding ICT ancora aperti dovrà integrarne la remediation nel piano, perché la lettera li richiama espressamente.

Per gli intermediari vigilati da Banca d'Italia e per le imprese assicurative, che devono costruire la Relazione entro il 31 dicembre 2026, il percorso ragionevole parte da quattro mosse: calendarizzare subito la seduta congiunta CdA-Collegio Sindacale, perché l'avvio dei lavori deve avvenire formalmente in quella sede; eseguire un gap assessment sulle sei aree indicate, partendo dall'inventario degli asset (se l'inventario non è affidabile, tutto il resto — classificazione, monitoraggio, patching prioritizzato — poggia sul vuoto); mappare l'esposizione esterna, censendo sistemi esposti su internet, componenti open source e dipendenze da fornitori critici; e quantificare gli investimenti, perché un piano senza budget e senza tempi non supererà l'esame della Vigilanza, che ha chiesto esplicitamente azioni, tempi e investimenti.

La finestra temporale è più stretta di quanto sembri: tra la pausa estiva e i tempi di convocazione degli organi sociali, i mesi utili sono tre per chi risponde alla BCE e quattro, forse cinque, per chi risponde a Banca d'Italia e IVASS. E le due scadenze — 31 ottobre per le banche significative, 31 dicembre per tutti gli altri — questa volta non sono adempimenti come gli altri: sono le date in cui ogni consiglio di amministrazione del sistema finanziario e assicurativo avrà messo nero su bianco, davanti alla propria autorità di vigilanza, quanto è davvero pronto all'era degli attacchi potenziati dall'intelligenza artificiale.