Il Fondo Monetario Internazionale ha esortato l’Italia ad aggiornare la propria strategia nazionale di cybersicurezza per il settore finanziario, raccomandando l’integrazione formale degli organi di vigilanza assicurativa e dei fondi pensione.
È scritto chiaramente nel report Italy: Financial Sector Assessment Program. Qui il FMI elogia l’Italia per tanti aspetti, come un quadro di resilienza informatica maturo, la collaborazione efficace nella gestione degli incidenti e nella condivisione delle informazioni, supportate da ispezioni in loco e a distanza, revisioni tematiche e test avanzati in linea con gli standard internazionali.
Un altro aspetto positivo evidenziato è il rafforzamento della capacità di vigilanza grazie a unità dedicate, assunzione di esperti di tecnologie dell’informazione e a una formazione avanzata, oltre alla partecipazione attiva a simulazioni di crisi informatiche nazionali e internazionali.
Ma ci sono tre aree da migliorare entro 1-2 anni:
Aggiornare la strategia di cybersicurezza a livello di settore per riflettere il Digital Operational Resilience Act (DORA) dell’UE e integrare formalmente gli organi di vigilanza assicurativa e dei fondi pensione.
Rafforzare la governance e l’indipendenza della supervisione del rischio informatico in tutti gli enti finanziari, anche attraverso la nomina di alti funzionari addetti alla sicurezza informatica, come i responsabili della sicurezza delle informazioni (CISO).
Ampliare le simulazioni e gli stress test informatici per includere interruzioni dei pagamenti, attacchi alla catena di approvvigionamento e scenari intersettoriali che coinvolgono infrastrutture energetiche e di telecomunicazione, garantendo al contempo un effettivo coinvolgimento del consiglio di amministrazione in esercitazioni a livello di settore.
| Autorità di Vigilanza Destinataria | Ambito di Intervento Richiesto | Obiettivo di Resilienza Tecnica |
| Banca d’Italia & CONSOB | Infrastrutture di pagamento e mercati | Simulazione di attacchi alla catena di approvvigionamento (supply chain) e blocco dei regolamenti interbancari. |
| IVASS | Comparto assicurativo | Integrazione formale e immediata del settore nella strategia di cybersicurezza nazionale. |
| COVIP | Fondi pensione | Estensione dei requisiti di governance del rischio informatico e presidio dei dati sensibili degli iscritti. |
Queste raccomandazioni sono rivolte quindi alla Banca d’Italia, alla CONSOB, alla Commissione di Vigilanza sui Fondi Pensione e all’Istituto per la Vigilanza sulle Assicurazioni.
“Un panorama in rapida evoluzione di minacce informatiche basate sull’intelligenza artificiale, digitalizzazione e dipendenza da terze parti richiede un ulteriore rafforzamento della resilienza informatica“, ha affermato il FMI.
Ecco la roadmap tecnica per i nuovi stress test informatici raccomandati:
| Tipologia di Scenario Consigliato | Variabili Critiche da Monitorare | Infrastrutture Terze Coinvolte |
| Blocco dei Pagamenti di Massa | Tempi di ripristino (RTO) e integrità dei dati transazionali. | Circuiti di regolamento e clearing. |
| Contagio della Supply Chain | Compromissione dei software di terze parti distribuiti su larga scala. | Fornitori di servizi Cloud esterni. |
| Crisi Intersettoriale Combinata | Blackout energetici prolungati e interruzioni della rete dati. | Reti di telecomunicazione e utility elettriche. |
E ancora:
“L’attuazione del DORA dell’UE offre l’opportunità di rafforzare la governance informatica, la capacità di vigilanza e la responsabilità a livello di consiglio di amministrazione, ampliando al contempo gli stress test informatici a livello di sistema, in particolare per le interruzioni critiche causate da terze parti, e applicando misure coercitive laddove vengano individuate carenze“.
