BCE, Banca d’Italia e IVASS, in considerazione della qualificazione del rischio informatico come grave da parte del CERS – in ragione del diffondersi di sistemi di intelligenza artificiale sempre più avanzati – hanno recentemente chiesto a banche, intermediari e imprese di assicurazione di valutare l’impatto delle più avanzate tecnologie di IA sulla cybersecurity, e, in particolare, di rafforzare la governance ed i presidi di controllo di ciascun ente.
Si ricorda che la nostra Rivista ha organizzato per l’8 ottobre 2026 il webinar “Cybersecurity e Intelligenza Artificiale: le richieste della Vigilanza – Comunicazioni BCE, ESAs, Banca d’Italia e IVASS” – che approfondirà nello specifico le richieste formulate dalle Autorità di vigilanza, fornendo un inquadramento operativo delle attività necessarie per predisporre la relazione richiesta e per rafforzare i presidi di cybersecurity.
Più nel dettaglio, quanto ai destinatari di ciascuna richiesta:
- la lettera della BCE (SSM-2026-0301) del 7 luglio 2026, si rivolge direttamente ai CEO delle istituzioni significative (Significant Institutions – SI), sottoposte alla vigilanza diretta del Meccanismo di Vigilanza Unico (SSM)
- la comunicazione al mercato del 17 luglio 2026 di Banca d’Italia è destinata agli intermediari meno significativi (Less Significant Institutions – LSI) e agli altri soggetti vigilati, come istituti di pagamento (IP), istituti di moneta elettronica (IMEL), imprese di investimento (SIM), fornitori di servizi per le cripto-attività (CASP), gestori di fondi (SGR/AIFM) e fornitori di crowdfunding e intermediari finanziari ex art. 106 TUB
- la comunicazione al mercato IVASS del 17 luglio 2026 è rivolta all’intero settore assicurativo e riassicurativo, ovvero alle imprese di assicurazione e riassicurazione con sede legale in Italia e alle rappresentanze generali per l’Italia di imprese con sede in Stati terzi SEE.
Da un lato, è richiesto di adeguare il Risk Appetite Framework (RAF), per cui gli organi con funzione di amministrazione e gestione dovranno rivedere il quadro di determinazione e di tolleranza della propensione al rischio di ciascun ente, incorporando i rischi derivanti dai modelli IA avanzati e riallineando di conseguenza le decisioni strategiche, gli investimenti ICT e l’allocazione delle risorse.
Per altro verso, viene richiesto di prevedere specifici piani d’azione e valutazione dei rischi:
- conducendo una valutazione d’impatto sul panorama delle minacce in evoluzione
- individuando i divari operativi
- definendo piani d’azione con tempistiche e allocazione di risorse adeguate.
Le procedure e le scadenze
Dal punto di vista meramente procedurale, la BCE richiede l’adozione di un piano strutturato volte a contrastare le minacce in termini di cybersecurity accentuate dai modelli avanzati di IA, che dovrà essere trasmesso entro il 31 ottobre 2026 al rispettivo Team Congiunto di Supervisione (c.d. JST, ovvero la squadra mista composta da funzionari della BCE e delle Autorità di vigilanza nazionali – come Banca d’Italia – che segue nel continuo l’istituto); il JST avvierà dunque un confronto diretto con la banca per discuterne l’adeguatezza rispetto allo specifico profilo di rischio della banca, seguendone nel tempo l’avanzamento.
La BCE condurrà infine un riesame trasversale su tutti i piani d’azione inviati dai gruppi bancari UE, che le consentirà di identificare tendenze di settore, vulnerabilità diffuse e buone prassi, condividendo poi i risultati con le banche, al fine ultimo di rafforzare la resilienza complessiva del sistema.
Banca d’Italia e IVASS, invece, hanno richiesto ai soggetti rispettivamente vigilati di esaminare la Comunicazione al mercato emanata in una seduta congiunta tra C.d.A. e Collegio Sindacale, per avviare la stesura della Relazione da inoltrare alle due Autorità, con il relativo piano di lavoro (contenente le azioni, le tempistiche, gli investimenti e le verifiche del C.d.A.), entro il 31 dicembre 2026.
Cybersecurity e IA: le richieste sull’assetto degli organi sociali e sulla data governance
La BCE invece, pur richiedendo un rafforzamento generale della governance e l’assegnazione di ruoli e responsabilità chiare, non pare richiedere esplicitamente la presenza di consiglieri con competenze IA esplicite o un budget formativo formalizzato per il Board.
In tema di Data Governance, poi, Banca d’Italia ed IVASS prescrivono una chiara e puntuale attribuzione delle responsabilità organizzative, con specifico riferimento alla gestione e sicurezza dei dati; inoltre, richiedono di individuare e notificare alla Vigilanza un punto di responsabilità aziendale (ad esempio identificato nella funzione di controllo dei rischi ICT di secondo livello).
Sotto quest’ultimo profilo, invece, la BCE non parrebbe richiedere la formalizzazione verso l’Autorità di un singolo referente di 2° livello.