La «Comunicazione al mercato in materia di resilienza operativa digitale e modelli avanzati di Intelligenza Artificiale» chiede agli intermediari vigilati da Banca d'Italia di rafforzare i presidi in sei aree e di trasmettere alla Vigilanza, entro il 31 dicembre 2026, una Relazione del Consiglio di Amministrazione con un piano di lavoro e un punto di responsabilità. Questa guida mette in fila cosa chiede ciascuna area, come si costruisce la Relazione e quali evidenze tecniche Fortgale può fornire.
La nota 1 della Comunicazione elenca i destinatari, tutti vigilati direttamente dal Dipartimento Vigilanza Bancaria e Finanziaria di Banca d'Italia: banche e gruppi bancari meno significativi (compresa Bancoposta), istituti di pagamento, istituti di moneta elettronica, imprese di investimento, fornitori di servizi per le cripto-attività, gestori di fondi di investimento alternativi, società di gestione, fornitori di servizi di crowdfunding, intermediari finanziari ex art. 106 TUB.
Nel seminario del 9 ottobre 2026 Banca d'Italia ha chiarito che per i gruppi la Relazione è una sola, su base consolidata, riferita al perimetro dei soggetti italiani vigilati direttamente, con le specificità rilevanti delle singole componenti e un punto di responsabilità unico a livello di gruppo. Società fiduciarie e gestori sotto soglia non trasmettono la Relazione, ma applicano le indicazioni secondo proporzionalità.
Le banche significant non sono destinatarie della Comunicazione: per loro vale la lettera BCE «Addressing AI-enabled cybersecurity threats» del 07/07/2026, con piano d'azione consegnato ai Joint Supervisory Team entro il 31/10/2026. Ora la fase successiva: analisi orizzontale della BCE e follow-up dei JST; l'IT Risk Questionnaire è rinviato a febbraio 2027.
Le imprese di assicurazione e riassicurazione con sede in Italia e le rappresentanze generali di imprese extra SEE seguono la Comunicazione IVASS dello stesso 17 luglio 2026: stesse sei aree, stessa scadenza del 31/12/2026, stesso punto di responsabilità aziendale. Relazione esaminata dal CdA in seduta congiunta con il Collegio sindacale e trasmessa all'Istituto.
La Comunicazione lo dice in apertura: i requisiti DORA «mantengono piena valenza anche in questo contesto». Non introduce obblighi nuovi, chiede di dimostrare con una scadenza e un responsabile che i presidi previsti da DORA reggono anche contro attacchi che usano modelli di IA di ultima generazione, capaci di trovare una vulnerabilità e di generarne lo sfruttamento in tempi ridotti e senza competenze specifiche.
Le sezioni sul sistema informativo del Capitolo 4 (Titolo IV, Parte Prima) sono abrogate con rinvio a DORA. Il Capitolo 5 sulla continuità operativa è stato adeguato nello stesso aggiornamento: il termine di sei mesi per l'allineamento è scaduto il 19 agosto 2026, quindi è un fatto da documentare nella Relazione, non un adempimento futuro. Il 52° aggiornamento non tocca i Capitoli 4 e 5.
Il Comitato europeo per il rischio sistemico classifica il rischio cyber come «severe»: è il contesto in cui Banca d'Italia chiede agli intermediari un adattamento rapido, non un esercizio documentale.
Le autorità europee chiedono governance e vigilanza coerente sui rischi dei modelli di IA di frontiera, senza obblighi nuovi: la stessa linea della Comunicazione italiana, che lavora dentro il perimetro DORA.
I titoli sono quelli del testo di Banca d'Italia. La Relazione va scritta «distintamente per ciascuna delle aree»: per ognuna, esposizione al rischio, adeguatezza dei presidi, carenze, priorità e azioni del piano. Le terze parti non sono una settima area: sono un tema trasversale, richiamato nella governance, nel monitoraggio del traffico verso i fornitori e nel passaggio sulle catene di fornitura.
Gli organi con funzione di amministrazione e di gestione rivedono il quadro di riferimento per la propensione al rischio (RAF) per incorporare i rischi delle tecnologie di frontiera, in coerenza con investimenti ICT e allocazione delle risorse. Attribuzione chiara delle responsabilità, anche su gestione e sicurezza dei dati; presidi per il governo dei fornitori esterni di servizi informatici (requisiti contrattuali su monitoraggio della sicurezza e gestione delle patch, valutazione ex ante e selezione); competenze tecnologiche e di IA nell'organo amministrativo, con un budget per la formazione continua.
Difesa in profondità e igiene informatica integrate nella strategia: autenticazione e autorizzazione rigorose, gestione granulare degli accessi, monitoraggio costante delle attività, segmentazione delle reti e degli ambienti operativi per limitare la propagazione di una compromissione.
Inventari completi, aggiornati e affidabili: prerequisito per gestire le vulnerabilità e mappare la superficie di attacco. Classificazione per criticità che tiene conto dell'esposizione diretta su internet e del ricorso al cloud; modernizzazione delle infrastrutture con sostituzione o aggiornamento delle tecnologie a fine vita (legacy).
Individuare rapidamente le vulnerabilità, anche evolvendo le tecniche di scansione e, «ove opportuno», con sistemi di intelligenza artificiale; rimedio più tempestivo, con precedenza alle vulnerabilità critiche, ai software open source e ai sistemi accessibili dall'esterno, zero-day comprese. L'uso di strumenti di difesa basati su IA va accompagnato da una valutazione dei rischi specifici, dal monitoraggio delle prestazioni e del deterioramento e dalla supervisione umana (nota 2).
Rafforzare monitoraggio e difesa di applicazioni, accessi e traffico di rete, compreso quello da e verso i fornitori terzi di servizi informatici, integrandoli «ove opportuno» con strumenti basati su IA per identificare anomalie in tempo reale sulle risorse critiche. I sistemi di monitoraggio devono essere sincronizzati con l'inventario, così che ogni risorsa sia monitorata in base alla sua classificazione di criticità.
Rafforzare i test di resilienza operativa digitale e quelli dei processi di risposta e recupero, gestione delle crisi compresa, con scenari realistici e progressivamente più complessi. Riferimenti: art. 24.1 DORA (programma di test aggiornato, solido ed esaustivo) e art. 25.1 (dalla scansione delle vulnerabilità ai test di penetrazione); restano salvi i TLPT per i soggetti individuati dalle autorità ai sensi dell'art. 26, almeno ogni 3 anni.
Il Consiglio di Amministrazione, in seduta congiunta con il Collegio sindacale, esamina la Comunicazione e nella stessa seduta avvia i lavori della Relazione. La data di quella seduta va indicata nella Relazione.
Per ciascuna delle sei aree: descrizione dei processi e dei presidi esistenti, livello attuale di esposizione al rischio e adeguatezza dei presidi rispetto al nuovo contesto.
Le principali carenze e le relative priorità di intervento, con un ordine che tenga conto di criticità ed esposizione diretta su internet.
Azioni, tempi e investimenti necessari, proporzionati al profilo di rischio, alla complessità dei servizi, all'attività e all'operatività dell'intermediario. Il piano è allegato alla Relazione.
Il piano definisce le modalità con cui il CdA verificherà l'avanzamento: cadenza, indicatori, chi riferisce. È la parte che trasforma la Relazione in un programma, non in un documento.
Uno specifico punto di responsabilità aziendale, comunicato alla Vigilanza (ad esempio la funzione di controllo dei rischi ICT di secondo livello); per i gruppi è unico, a livello consolidato.
Relazione e piano vanno alla PEC della Struttura di vigilanza competente, con copia a Supervisione_rischio_ICT@pec.bancaditalia.it. Per i gruppi, una Relazione consolidata sul perimetro dei soggetti italiani vigilati direttamente.
Un servizio MDR, SOC o CTI gestito è un servizio ICT: Fortgale è un fornitore ICT terzo nel senso della Comunicazione e di DORA, con le stesse responsabilità di salvaguardia e continuità. Le evidenze che forniamo sono tecniche; la valutazione di adeguatezza resta del CdA e delle funzioni di controllo.
Briefing al CdA sugli attori attivi contro il comparto e sulla postura; per i presidi contrattuali verso i fornitori ICT terzi, Fortgale entra nel registro delle informazioni come fornitore ICT terzo e documenta nel Trust Center organizzazione, sedi, continuità e gestione dei dati.
Rilevazione e risposta sugli abusi di identità e di sessione: accessi anomali, token rubati, privilegi elevati. Evidenza: timeline degli eventi di identità gestiti e delle azioni di contenimento.
Attack Surface Management · Vulnerability Assessment
Mappa della superficie esposta su internet confrontata con l'inventario interno: asset sconosciuti, servizi esposti, tecnologie a fine vita. Evidenza: report periodico degli asset esposti e delle variazioni.
Vulnerability Assessment · difese IA con supervisione umana · AI Security per i sistemi di IA dell'intermediario
Scansioni ricorrenti con priorità per criticità ed esposizione; dove usiamo analisi assistite dall'IA nel SOC, l'analista decide e il degrado dei modelli è monitorato, come chiede la nota 2. Evidenza: report delle vulnerabilità con stato di rimedio e tempi.
MDR · SOC 24·7·365 · MDIR · CTI · AI Security
Monitoraggio continuo di applicazioni, accessi e rete dal SOC di Milano con TTD mediano sotto i 15 minuti e TTC mediano sotto i 30 minuti; intelligence su 287 tra gruppi avversari e strumenti d'attacco che dà peso agli alert. Evidenza: report mensile con tempi misurati, alert gestiti e copertura degli asset per classe di criticità.
Tabletop e scenario testing · TLPT con partner
Esercitazioni tabletop con CdA e funzioni di controllo su scenari costruiti dagli attori che colpiscono il comparto; per i TLPT, intelligence e scenari a supporto del tester qualificato. Evidenza: verbale dell'esercitazione, lezioni apprese e azioni di rimedio con responsabile e data.
Le evidenze che forniamo sono tecniche; la valutazione di adeguatezza resta del CdA e delle funzioni di controllo. Il contributo di Fortgale copre le aree di sua competenza: la Relazione, il piano e il punto di responsabilità restano dell'intermediario. Per il quadro del comparto: sicurezza informatica per banche e finanza.
Una scadenza nazionale certa, un follow-up europeo già in corso e un orizzonte regolatorio sull'IA che la Relazione può anticipare.
Banca d'Italia
Trasmissione della Relazione con il piano di lavoro allegato alla Struttura di vigilanza competente (PEC), copia a Supervisione_rischio_ICT@pec.bancaditalia.it.
IVASS
Stessa scadenza per imprese di assicurazione e riassicurazione: Relazione esaminata dal CdA in seduta congiunta con il Collegio sindacale e trasmessa all'Istituto, con il punto di responsabilità aziendale.
BCE · banche significant
Dopo i piani d'azione consegnati ai JST entro il 31/10/2026: analisi orizzontale della BCE e follow-up dei Joint Supervisory Team. IT Risk Questionnaire rinviato a febbraio 2027.
AI Act
Applicazione degli obblighi per i sistemi di IA ad alto rischio dell'Allegato III, tra cui l'accesso ai servizi finanziari essenziali: la governance dell'IA chiesta oggi dall'area 1 anticipa quel perimetro.
No. La Comunicazione non introduce una norma nuova: DORA resta la base e i suoi requisiti «mantengono piena valenza». Chiede una Relazione che, area per area, descriva l'esposizione al rischio e l'adeguatezza dei presidi esistenti, individui le carenze e definisca un piano di lavoro. Le policy servono solo dove il piano le prevede come azione.
No. La Relazione è un atto del Consiglio di Amministrazione, avviato in seduta congiunta con il Collegio sindacale, e il punto di responsabilità è interno all'intermediario (ad esempio la funzione di controllo dei rischi ICT di secondo livello). Un fornitore come Fortgale può consegnare evidenze tecniche, misurazioni e contributi per le aree di sua competenza: la valutazione di adeguatezza resta dell'organo amministrativo e delle funzioni di controllo.
Valgono come documentazione a supporto della Relazione, non come giudizio di adeguatezza. La Comunicazione dice che le iniziative degli intermediari devono essere supportate anche dai fornitori esterni, sui quali ricadono le medesime responsabilità di salvaguardia e continuità dei sistemi: un fornitore ICT terzo deve quindi dimostrare i propri presidi (monitoraggio, gestione delle patch, continuità) con requisiti contrattuali e con evidenze verificabili, che l'intermediario valuta e integra nella propria Relazione.
Sì. La nota 1 della Comunicazione elenca tra i destinatari le società di gestione e i gestori di fondi di investimento alternativi vigilati direttamente da Banca d'Italia. Nel seminario del 9 ottobre 2026 Banca d'Italia ha precisato che le società fiduciarie e i gestori sotto soglia non sono tenuti a trasmettere la Relazione, ma sono invitati ad applicare le indicazioni della Comunicazione secondo criteri di proporzionalità.
Un confronto con il nostro team chiarisce, area per area, quali evidenze tecniche possiamo mettere a disposizione della Relazione e con quali tempi. SOC di Milano, attivo dal 2017, 24·7·365: il team italiano risponde entro un giorno lavorativo.
Niente sequence di nurturing, niente auto-reply. Vi richiama un nostro analista entro un giorno lavorativo.
Il Report completo (executive summary · IoC operativi · runbook tecnico) è riservato. Inviaci due dettagli e un nostro analista ti ricontatta con l'accesso e un breve briefing tecnico.
Risposta in 30 minuti, contenimento in 1–4 ore. Anche se non sei cliente Fortgale.
