La risposta breve
Il 17 luglio 2026 Banca d'Italia ha esteso a tutti i soggetti vigilati — non solo alle grandi banche — l'obbligo di valutare e mitigare il rischio cyber reso più acuto dall'intelligenza artificiale, con un piano da trasmettere entro il 31 dicembre 2026. È il recepimento nazionale della linea aperta dalla BCE il 27 giugno con la sua lettera alle banche significative: l'AI accelera la scoperta e lo sfruttamento delle vulnerabilità, quindi la difesa deve accelerare alla stessa velocità.
Per un'impresa che sviluppa o gestisce software per banche, istituti di pagamento o fintech, il messaggio è operativo: patch tempestive, monitoraggio continuo e governance dei fornitori non sono più «buone pratiche» facoltative, ma requisiti da dimostrare a un'autorità di vigilanza entro fine anno.
Cosa ha fatto Banca d'Italia
Il 17 luglio 2026 Banca d'Italia ha diffuso una comunicazione sulla resilienza operativa digitale e sui rischi legati ai modelli avanzati di intelligenza artificiale. La novità non è il tema — la cybersicurezza del sistema finanziario è sotto osservazione da anni — ma il perimetro: gli obblighi che finora gravavano sulle grandi banche vengono estesi a tutti i soggetti vigilati. L'elenco è lungo e comprende banche meno significative, istituti di pagamento e di moneta elettronica, imprese di investimento, società di gestione, gestori di fondi alternativi, piattaforme di crowdfunding e altri intermediari finanziari iscritti agli albi.
La mossa segue e recepisce a livello nazionale la lettera che la BCE aveva inviato il 27 giugno 2026 alle banche significative dell'area euro. In pratica, Via Nazionale allinea l'intero ecosistema vigilato allo stesso standard di attenzione, evitando che gli attori più piccoli — spesso i più esposti perché con team di sicurezza ridotti — restino l'anello debole. Per il tessuto fintech italiano, fatto di molte realtà agili ma non enormi, è un cambio di scala concreto: gli obblighi che sembravano «roba da banche sistemiche» ora riguardano anche loro.
Perché l'AI cambia il rischio cyber
Il cuore tecnico della comunicazione è il ruolo dell'intelligenza artificiale come moltiplicatore della minaccia. Banca d'Italia osserva che i modelli di ultima generazione sono in grado di individuare le vulnerabilità dei sistemi software e di generare gli strumenti per sfruttarle, il tutto in tempi molto ridotti e senza bisogno di competenze specialistiche. È un cambiamento qualitativo: quello che prima richiedeva un attaccante esperto e giorni di lavoro può ora essere prodotto rapidamente e su larga scala.
La conseguenza pratica è la compressione della finestra temporale tra la scoperta di una vulnerabilità e il suo sfruttamento. Se quel divario si misura in ore invece che in settimane, i processi difensivi tarati sui vecchi ritmi non reggono più. È il senso della formula «l'AI si combatte con l'AI»: i meccanismi di difesa devono evolvere alla stessa velocità delle minacce, con rilevamento e risposta sempre più automatizzati. Non è un caso isolato italiano — la stessa Banca d'Italia cita un aumento dell'80% degli incidenti cyber per gli intermediari nel triennio 2023-2025.
Le misure richieste e il quadro europeo
La comunicazione non si limita a segnalare il problema: indica una direzione operativa. Tra le misure richiamate ci sono il rafforzamento della governance e delle competenze digitali orientate all'AI, l'autenticazione a più fattori e una rigorosa gestione degli accessi, un patch management tempestivo che dia priorità alle falle critiche, e il monitoraggio continuo di applicazioni, accessi e traffico dei fornitori terzi. Un punto è particolarmente significativo: i piani devono essere preparati con il coinvolgimento diretto degli organi di vertice, non delegati alle sole funzioni tecniche.
Il tutto si inserisce nel quadro regolatorio europeo, non lo sostituisce. La comunicazione richiama DORA — il regolamento sulla resilienza operativa digitale del settore finanziario — insieme a NIS2 e al Cyber Resilience Act. Il messaggio è che l'impianto normativo resta quello, ma la sua attuazione diventa urgente: rafforzare la resilienza operativa digitale, scrive Banca d'Italia, «non è più mero rispetto di regole, ma condizione essenziale per garantire la continuità operativa». La conformità, in altre parole, si misura in capacità reale di restare in piedi sotto attacco.
Cosa significa per chi sviluppa software finanziario
Per un'impresa che costruisce o gestisce piattaforme per banche, pagamenti o investimenti, questa comunicazione tocca direttamente il modo di fare ingegneria. La tracciabilità delle dipendenze, la velocità con cui una patch critica arriva in produzione, la segmentazione degli accessi e il controllo sui fornitori software non sono più temi da audit annuale: diventano requisiti da documentare per la vigilanza. Molte organizzazioni scoprono, quando li mappano davvero, di avere più superficie d'attacco di quanto pensassero — librerie di terze parti, integrazioni con provider di pagamento, modelli AI incorporati in un servizio di scoring o antifrode.
Fatta la mappatura, il lavoro è ingegneristico prima che formale. Ridurre la finestra tra scoperta e sfruttamento significa avere pipeline di build e deploy capaci di rilasciare una correzione in ore, non in settimane; significa logging e monitoraggio che rilevano l'anomalia mentre accade. Sono capacità che si progettano meglio dentro il software su misura fin dall'inizio e che diventano costose se aggiunte dopo. Dove mancano competenze interne di sicurezza — scarse e contese sul mercato — un team esterno consente di avviare subito valutazione e remediation, invece di rimandare in attesa di assunzioni difficili.
C'è anche un risvolto commerciale. Un intermediario che arriva alla scadenza con sistemi già resilienti può presentarsi ai partner bancari e ai clienti enterprise con una postura di sicurezza dimostrabile, mentre i concorrenti rincorrono. In un settore dove la fiducia è il prodotto, la resilienza ben progettata non è un costo: è un argomento di vendita.
Come prepararsi entro dicembre
La scadenza è vicina ma il percorso è gestibile se affrontato per gradi. Una sequenza praticabile, soprattutto per gli intermediari più piccoli:
- Inventariate la superficie d'attacco. Mappate applicazioni, dipendenze di terze parti, integrazioni e modelli AI incorporati, con chi è il fornitore e quali dati trattano.
- Valutate il rischio. Classificate i sistemi per criticità ed esposizione, concentrando gli sforzi dove un incidente fermerebbe l'operatività o esporrebbe dati dei clienti.
- Accelerate patch e accessi. Rendete il patch management delle falle critiche una procedura misurata in ore, con autenticazione a più fattori e gestione rigorosa degli accessi.
- Attivate il monitoraggio continuo. Applicazioni, accessi e traffico dei fornitori vanno osservati in tempo reale, con rilevamento e risposta il più possibile automatizzati.
- Coinvolgete i vertici. Il piano da trasmettere entro il 31 dicembre deve nascere in consiglio, non solo nell'IT: è un requisito esplicito della comunicazione.
Nulla di tutto questo trasforma un intermediario in una software house, e non è l'obiettivo. Il segnale strategico è un altro: in Italia e in Europa la sicurezza del sistema finanziario è passata dalla teoria a date, autorità e obblighi verificabili. Il vantaggio andrà a chi la incorpora nel modo di costruire e gestire software, non a chi la subisce all'ultimo momento — e si comincia da un inventario onesto della propria superficie d'attacco.
Domande frequenti
Cosa ha chiesto Banca d'Italia il 17 luglio 2026?
Con una comunicazione del 17 luglio 2026, Banca d'Italia ha esteso a tutti i soggetti vigilati gli obblighi di gestione del rischio cyber amplificato dall'intelligenza artificiale. La mossa allinea gli intermediari italiani alla lettera inviata dalla BCE il 27 giugno 2026 alle banche significative, ampliando il perimetro a banche meno significative, istituti di pagamento e di moneta elettronica, imprese di investimento, gestori di fondi e altri intermediari.
Entro quando le banche devono presentare il piano?
Entro il 31 dicembre 2026 ogni intermediario vigilato deve trasmettere a Banca d'Italia una valutazione del rischio e un piano d'azione. Il piano deve essere preparato con il coinvolgimento diretto degli organi di vertice aziendali, non delegato solo alle funzioni tecniche.
Perché l'AI aumenta il rischio cyber per le banche?
Secondo Banca d'Italia, i modelli di intelligenza artificiale di ultima generazione possono individuare le vulnerabilità dei sistemi software e generare gli strumenti per sfruttarle in tempi molto ridotti e senza bisogno di competenze specialistiche. Questo comprime la finestra temporale tra la scoperta di una falla e l'attacco, rendendo più urgenti patch tempestive e monitoraggio continuo.
Cosa devono fare in concreto gli intermediari?
Le misure indicate includono governance e competenze digitali orientate all'AI, autenticazione a più fattori e gestione degli accessi, patch management tempestivo con priorità alle falle critiche, monitoraggio continuo di applicazioni, accessi e traffico dei fornitori terzi, e il coinvolgimento del consiglio nella preparazione dei piani. Il tutto dentro il quadro europeo di DORA, NIS2 e Cyber Resilience Act.
Fonti
Agenda Digitale — Attacchi cyber potenziati dall'AI, scatta il piano di Bankitalia
Cyber Security 360 — Nuovo monito di Bankitalia sui rischi dell'AI per il sistema finanziario
Diritto Bancario — Intelligenza artificiale e cybersicurezza: le richieste di Banca d'Italia
ANSA — BCE: le banche facciano piani contro le minacce da intelligenza artificiale