La Comunicazione muove dalla considerazione che i modelli di intelligenza artificiale di ultima generazione sono in grado di individuare le vulnerabilità dei sistemi software e di generarne le modalità di sfruttamento in tempi estremamente ridotti, accrescendo l'asimmetria tra attaccanti e difensori e il rischio di attacchi cyber efficaci. In tale scenario, il rafforzamento della resilienza operativa digitale non rappresenta soltanto un'esigenza di conformità, ma una condizione essenziale per la continuità aziendale.
L'Autorità invita dunque gli intermediari a rafforzare tempestivamente i propri presidi, soprattutto con riferimento a taluni specifici aspetti: la governance, con la revisione del RAF per incorporare i rischi delle tecnologie di frontiera e un adeguato governo dei fornitori ICT; l'igiene informatica, secondo i principi della difesa in profondità (defence-in-depth); la gestione delle risorse informatiche e della superficie di esposizione, mediante inventari completi e la modernizzazione delle tecnologie legacy.
Sotto il profilo degli adempimenti, il Consiglio di Amministrazione di ciascuna entità finanziaria, in seduta congiunta con il Collegio Sindacale, dovrà esaminare la Comunicazione e avviare la stesura di una Relazione che, per ciascuna area, rappresenti l'esposizione al rischio e l'adeguatezza dei presidi, individui le carenze e definisca un piano di lavoro con azioni, tempi e investimenti, proporzionato al profilo di rischio dell'intermediario. Andrà inoltre individuato e comunicato alla Vigilanza uno specifico punto di responsabilità aziendale e la Relazione, con allegato il piano di lavoro, dovrà essere trasmessa alla Vigilanza entro il 31 dicembre 2026.
La presente comunicazione è rivolta ai seguenti soggetti direttamente vigilati dal Dipartimento Vigilanza Bancaria e Finanziaria della Banca d'Italia: banche e gruppi bancari meno significativi (compresa Bancoposta), istituti di pagamento, istituti di moneta elettronica, imprese di investimento, fornitori di servizi per le cripto-attività, gestori di fondi di investimento alternativi, società di gestione, fornitori di servizi di crowdfunding, intermediari finanziari (ex. 106).