BCE e intelligenza artificiale: il piano d'azione chiesto alle banche contro gli attacchi accelerati

Analisi · 2 novembre 2026 · di cybercoverinsurance

Il 7 luglio 2026 la Vigilanza bancaria della BCE ha scritto agli amministratori delegati delle banche che vigila direttamente. Il messaggio è semplice: i modelli di intelligenza artificiale più avanzati trovano vulnerabilità e scrivono exploit funzionanti in tempi molto più brevi di prima, e le banche devono adeguarsi. Ogni banca doveva consegnare un piano d'azione al proprio gruppo di vigilanza entro il 31 ottobre 2026. La scadenza è appena passata, e i piani sono ora sul tavolo dei supervisori.

Per chi assume il rischio cyber la lettera conta per due motivi. Il primo: la BCE dice per iscritto che il tempo tra la scoperta di una vulnerabilità e il suo sfruttamento si sta comprimendo. È un cambio nella frequenza attesa dei sinistri, non solo un tema di conformità. Il secondo: i sei ambiti che la BCE chiede di coprire sono, quasi uno per uno, le domande di un buon questionario di assunzione per una banca.

In sintesi

• La lettera è firmata da Claudia Buch, presidente del Consiglio di vigilanza della BCE, ed è indirizzata alle banche significative dell'area euro.
• Secondo la BCE i modelli di frontiera comprimono i tempi tra scoperta e sfruttamento delle vulnerabilità: un cambiamento strutturale del rischio cyber.
• Ogni banca doveva consegnare entro il 31 ottobre 2026 un piano d'azione con misure, risorse, ruoli e tempi. Il gruppo di vigilanza ne segue l'attuazione e la BCE farà un'analisi orizzontale.
• La responsabilità è dell'organo di amministrazione. Le carenze aperte, comprese quelle emerse dallo stress test cyber del 2024, vanno chiuse.
• Lo stesso giorno il Comitato europeo per il rischio sistemico (CERS) ha pubblicato un avvertimento sui rischi cyber sistemici dei modelli di frontiera, e a giugno aveva portato il rischio cyber sistemico da «elevato» a «grave».

Cosa chiede la BCE

La minaccia. La lettera descrive modelli di intelligenza artificiale capaci di individuare vulnerabilità e generare exploit funzionanti in poco tempo, «comprimendo i tempi tra la scoperta di una vulnerabilità e il suo sfruttamento». La BCE parla di un cambiamento strutturale, non di un picco temporaneo (BCE, lettera alle banche).

Il piano d'azione. Entro il 31 ottobre 2026 ogni banca significativa doveva inviare al proprio gruppo di vigilanza congiunto un piano che indichi le misure di controllo, le risorse, i ruoli e i tempi di attuazione. Il gruppo di vigilanza segue i progressi. La BCE farà un'analisi orizzontale dei piani e potrà organizzare incontri tecnici con le banche (lettera BCE; A&O Shearman).

Chi risponde. La responsabilità primaria è dell'organo di amministrazione. Le banche devono chiudere le carenze già segnalate dai supervisori, comprese quelle dello stress test sulla resilienza cyber del 2024 (lettera BCE).

I sei ambiti dell'allegato. Il piano deve coprire:

1. Superficie di attacco e inventario. Un inventario completo dei sistemi, compresi i componenti di terzi e open source.
2. Vulnerabilità e patch più veloci. Tempi di correzione accelerati, riportati anche nei contratti e negli accordi sui livelli di servizio con i fornitori.
3. Monitoraggio e rilevamento. Capacità di rilevamento adeguate alla nuova velocità, anche con difese basate sull'intelligenza artificiale.
4. Governance, risorse e fornitori. Finanziamento, formazione e verifica della catena di fornitura. La banca resta responsabile del rischio esternalizzato e deve rivedere la propria propensione al rischio, compresi gli indicatori sui tempi di patch.
5. Difesa in profondità. Zero trust, segmentazione delle reti, autenticazione a più fattori, privilegi minimi e sostituzione dei sistemi obsoleti.
6. Risposta, ripristino e condivisione. Esercitazioni su ondate di vulnerabilità zero-day, ransomware e interruzioni di fornitori o del cloud, e condivisione delle informazioni sulle minacce.

Il calendario della vigilanza. La BCE sposta la scadenza del questionario sul rischio informatico da settembre 2026 a febbraio 2027, per lasciare spazio ai piani. Ricorda che i requisiti del regolamento DORA restano pienamente validi e annuncia una lettera separata sulla crittografia post-quantistica, la cui adozione «deve iniziare ora» (lettera BCE; KPMG).

Il quadro sistemico: l'avvertimento del CERS

Lo stesso 7 luglio il CERS ha pubblicato un avvertimento sui rischi cyber sistemici legati ai modelli di frontiera. Il CERS definisce questi modelli «un cambio di paradigma per la sicurezza cyber». Nel lungo periodo dovrebbero rafforzare la resilienza, ma nel breve e medio periodo danno un vantaggio agli attaccanti, che possono trovare vulnerabilità e attaccare più in fretta, su scala più ampia e con più sofisticazione (CERS, comunicato stampa).

Il CERS segnala anche un rischio di concentrazione: i principali fornitori di modelli di frontiera sono in gran parte fuori dall'Unione, con una dipendenza strategica e un rischio geopolitico. Chiede alle autorità di tenere conto di questi rischi nella vigilanza e una risposta coordinata tra fornitori di intelligenza artificiale e di software, società di sicurezza, manutentori open source, istituzioni finanziarie e autorità (Osborne Clarke; Regulation Tomorrow).

Cosa cambia per chi assicura le banche

La frequenza attesa sale. Se il tempo tra pubblicazione di una vulnerabilità e attacco si accorcia, la finestra in cui una banca è esposta su un sistema non corretto si allarga in proporzione al suo ritardo di patch. Un modello di prezzo che usa la frequenza storica dei sinistri sottostima il rischio di chi corregge lentamente. Il tempo medio di patch delle vulnerabilità critiche diventa una variabile di prezzo, non solo una domanda del questionario.

Il rischio di cumulo cresce. Un'ondata di vulnerabilità zero-day sfruttate in parallelo colpisce molti assicurati nello stesso momento, soprattutto se usano lo stesso software o lo stesso fornitore cloud. La BCE chiede esplicitamente esercitazioni su questo scenario. Per un portafoglio di istituzioni finanziarie è lo scenario di cumulo da modellare: un evento unico, molti sinistri, nella stessa settimana.

Il fornitore resta un problema della banca. La BCE ripete che la banca resta responsabile del rischio esternalizzato e chiede tempi di patch scritti nei contratti con i fornitori. È coerente con DORA, che già impone la gestione del rischio da terze parti ICT. Per chi assume il rischio, il contratto con il fornitore è una prova documentale: se i tempi di correzione non ci sono, il rischio di interruzione da fornitore è meno controllato.

Il piano è un documento da chiedere. Le banche significative hanno appena prodotto un documento che descrive, per i sei ambiti, misure, risorse e tempi. Chiederne una sintesi al rinnovo dà a chi assume il rischio un'informazione aggiornata e già validata dal vertice della banca. Il confronto tra quanto previsto e quanto attuato, al rinnovo successivo, misura la qualità della gestione.

Le banche più piccole non sono escluse dal tema. La lettera riguarda solo le banche significative, vigilate direttamente dalla BCE. Le banche meno significative, vigilate dalle autorità nazionali, hanno la stessa esposizione tecnica ma nessuna scadenza. Per un assicuratore, è probabile che il divario di preparazione sia più ampio proprio in questa fascia.

Cosa portare ai rinnovi

Impatto per gli assicuratoriAlto

La BCE riconosce per iscritto che l'intelligenza artificiale accelera lo sfruttamento delle vulnerabilità e chiede alle banche significative un piano d'azione: velocità di patch, rischio da fornitori e cumulo da ondate zero-day diventano variabili centrali dell'assunzione.

Sul fronte del portafoglio, la lettera suggerisce di trattare il tempo di patch come fattore di prezzo e di modellare uno scenario di cumulo da sfruttamento rapido e simultaneo di vulnerabilità sul software più diffuso nel settore finanziario. Per le banche meno significative, che non hanno avuto la stessa richiesta, conviene usare i sei ambiti della BCE come base del questionario.

Fonti

• BCE, Vigilanza bancaria – lettera alle banche significative sulle minacce cyber potenziate dall'intelligenza artificiale, 7 luglio 2026
• CERS – comunicato stampa del 7 luglio 2026 sull'avvertimento sui modelli di frontiera
• A&O Shearman – la BCE chiede alle banche significative di affrontare le minacce cyber da intelligenza artificiale
• KPMG – la BCE chiede un piano d'azione contro gli attacchi cyber guidati dall'intelligenza artificiale
• Osborne Clarke – avvertimento CERS/2026/3 e cosa significa per le istituzioni finanziarie
• Regulation Tomorrow – l'avvertimento del CERS e la lettera della BCE