Bankitalia: istruzioni sulla Relazione cyber 2026
Bankitalia chiarisce contenuti e modalità della Relazione 2026 sulla resilienza operativa digitale, con focus su governance, cyber security e rischi ICT.
La Banca d’Italia ha pubblicato una nota di chiarimento sulla Comunicazione del 17 luglio 2026 relativa al rafforzamento della resilienza operativa digitale e della sicurezza informatica degli intermediari vigilati. Il documento è stato diffuso a seguito del seminario “Resilienza operativa digitale e i modelli avanzati di Intelligenza Artificiale: sfide e prospettive”, organizzato con la partecipazione delle associazioni di categoria del settore finanziario e di alcuni fornitori di servizi ICT.
L’iniziativa si inserisce nel più ampio percorso di rafforzamento dei presidi di sicurezza e resilienza cibernetica richiesto agli operatori finanziari in un contesto caratterizzato da una crescente esposizione ai rischi digitali e dall’adozione sempre più diffusa di tecnologie avanzate, inclusi i sistemi di Intelligenza Artificiale.
Relazione da presentare entro il 31 dicembre 2026
Con la Comunicazione del 17 luglio, l’Autorità di vigilanza aveva invitato i soggetti vigilati, tramite i rispettivi Consigli di Amministrazione riuniti congiuntamente con i Collegi Sindacali, a predisporre una Relazione da trasmettere entro il 31 dicembre 2026.
L’obiettivo è individuare e attuare tempestivamente le misure necessarie per potenziare i processi di sicurezza a protezione dei sistemi informativi e rafforzare la resilienza operativa e cibernetica. L’attenzione dovrà concentrarsi su sei aree chiave:
- governance;
- igiene informatica;
- gestione delle risorse informatiche e della superficie di esposizione;
- gestione delle vulnerabilità e degli aggiornamenti;
- monitoraggio, rilevazione e misure di difesa;
- attività di test.
I contenuti attesi della Relazione
Nell’allegato alla nota, la Banca d’Italia dettaglia i contenuti che gli intermediari dovranno sviluppare per ciascuna delle sei aree individuate.
L’analisi dovrà essere articolata secondo uno schema omogeneo che prevede:
- la descrizione dei processi e dei presidi esistenti;
- la valutazione dell’attuale livello di esposizione al rischio e dell’adeguatezza dei controlli rispetto al nuovo contesto operativo;
- l’individuazione delle carenze e delle priorità di intervento;
- la definizione di un piano di lavoro con azioni, tempistiche e investimenti necessari.
L’approccio richiesto punta non soltanto a fotografare lo stato attuale dei presidi di sicurezza, ma anche a delineare un percorso concreto di miglioramento e rafforzamento delle capacità di prevenzione e risposta agli incidenti ICT.
Le indicazioni operative per gli intermediari
La nota fornisce inoltre alcuni chiarimenti applicativi utili per la predisposizione della documentazione.
In particolare, la Relazione dovrà essere trasmessa alla PEC della competente Struttura di Vigilanza e, per conoscenza, all’indirizzo Supervisione_rischio_ICT@pec.bancaditalia.it.
Per i gruppi bancari e finanziari è prevista la redazione di un’unica Relazione su base consolidata, riferita al perimetro di consolidamento prudenziale dei soggetti italiani sottoposti alla vigilanza diretta della Banca d’Italia.
Restano escluse dal perimetro le controllate estere e le componenti assicurative dei gruppi italiani. La documentazione dovrà tuttavia evidenziare le specificità delle società controllate incluse nel perimetro considerato, anche in relazione alle eventuali misure correttive da adottare.
Infine, con riferimento al “punto di responsabilità aziendale” incaricato di fungere da referente per le tematiche oggetto della Relazione, la Banca d’Italia precisa che la scelta è rimessa alla discrezionalità dei singoli intermediari sulla base della propria organizzazione interna. Nel caso dei gruppi dovrà essere indicato un unico referente.
Focus su governance e sicurezza cyber
I chiarimenti pubblicati confermano l’attenzione crescente dell’Autorità verso la resilienza operativa digitale come elemento strategico per la stabilità del sistema finanziario. La Relazione rappresenterà un importante strumento di autovalutazione e pianificazione degli interventi, chiamando gli intermediari a verificare l’efficacia dei propri presidi e ad accelerare gli investimenti necessari per affrontare un panorama delle minacce informatiche sempre più complesso e in continua evoluzione.