Governance, sicurezza ICT, gestione delle vulnerabilità, fornitori tecnologici e test: la comunicazione IVASS del 17 luglio 2026 richiede alle imprese assicurative una valutazione strutturata dei rischi e un piano di lavoro da trasmettere entro il 31 dicembre 2026.
La resilienza operativa digitale diventa una priorità ancora più rilevante per il settore assicurativo alla luce dell’evoluzione dei modelli avanzati di intelligenza artificiale.
Con la comunicazione al mercato del 17 luglio 2026, l’IVASS richiama l’attenzione delle imprese sui nuovi rischi derivanti dall’utilizzo delle tecnologie di frontiera e sulla necessità di rafforzare rapidamente i processi, i controlli e i presidi di sicurezza posti a protezione dei sistemi informatici.
La comunicazione è rivolta alle imprese di assicurazione e riassicurazione con sede legale in Italia e alle rappresentanze generali italiane delle imprese aventi sede in uno Stato esterno allo Spazio economico europeo.
L’intervento dell’Autorità si colloca nel quadro del Digital Operational Resilience Act – DORA, i cui requisiti continuano a trovare piena applicazione anche rispetto alle nuove minacce connesse all’intelligenza artificiale.
L’intelligenza artificiale accelera lo sfruttamento delle vulnerabilità
Secondo l’IVASS, i modelli di intelligenza artificiale di ultima generazione possono individuare le vulnerabilità dei sistemi software e generare contemporaneamente le modalità attraverso le quali sfruttarle, anche in assenza di competenze tecniche particolarmente avanzate.
Il risultato è una significativa riduzione dell’intervallo temporale tra la scoperta di una vulnerabilità e il suo effettivo sfruttamento da parte di soggetti malevoli.
Questa evoluzione potrebbe aumentare l’asimmetria tra attaccanti e difensori, costringendo le imprese ad adeguare più rapidamente le proprie strategie di cybersicurezza.
In tale scenario, la resilienza operativa digitale non rappresenta soltanto un adempimento regolamentare. Costituisce una condizione essenziale per garantire la continuità aziendale, proteggere le informazioni e assicurare l’affidabilità dei servizi assicurativi e finanziari.
Resilienza operativa digitale e responsabilità del Consiglio di Amministrazione
Il primo ambito sul quale interviene la comunicazione IVASS è quello della governance.
Gli organi con funzione di amministrazione e gestione devono riesaminare il quadro di riferimento utilizzato per determinare la propensione al rischio aziendale, il cosiddetto Risk Appetite Framework – RAF, includendo i rischi derivanti dalle tecnologie di frontiera.
La valutazione deve risultare coerente con le scelte strategiche dell’impresa, con gli investimenti ICT e con l’allocazione delle risorse economiche e organizzative.
Il Consiglio di Amministrazione è inoltre chiamato a:
rafforzare i sistemi di governo e controllo;
definire con chiarezza le responsabilità relative alla gestione e alla sicurezza dei dati;
governare adeguatamente i fornitori esterni di servizi informatici;
prevedere requisiti contrattuali relativi alla sicurezza, al monitoraggio e all’applicazione degli aggiornamenti;
adottare criteri rigorosi per la valutazione preventiva e la selezione dei fornitori.
L’IVASS sottolinea anche l’importanza della presenza, all’interno dell’organo amministrativo, di componenti dotati di adeguate competenze tecnologiche e di intelligenza artificiale.
Le imprese dovranno conseguentemente prevedere risorse economiche adeguate per assicurare la formazione continua degli amministratori.
Le 6 aree di intervento indicate da IVASS
La comunicazione individua sei aree nelle quali le imprese devono verificare l’adeguatezza dei propri presidi.
1. Governance e controllo dei rischi tecnologici
Il sistema di governo societario deve incorporare i rischi connessi all’intelligenza artificiale, alla sicurezza dei dati e all’evoluzione delle minacce informatiche.
Le responsabilità devono essere attribuite in modo chiaro e documentato, includendo i rapporti con i fornitori ICT e la supervisione degli eventuali strumenti di difesa basati sull’intelligenza artificiale.
Qualora vengano adottate soluzioni di sicurezza fondate sull’IA, il loro utilizzo dovrà risultare coerente con la strategia aziendale in materia di intelligenza artificiale ed essere accompagnato da un’adeguata valutazione dei rischi.
Dovranno inoltre essere previsti il monitoraggio delle prestazioni, la verifica dell’eventuale deterioramento dei sistemi e forme appropriate di supervisione umana.
2. Igiene informatica e difesa in profondità
Le imprese devono integrare nella strategia di sicurezza i principi dell’igiene informatica e della difesa in profondità – defence-in-depth.
Questo approccio prevede diversi livelli sovrapposti di protezione, in modo che il superamento di una misura di sicurezza non determini automaticamente la compromissione dell’intero sistema.
Particolare attenzione deve essere riservata ai processi di autenticazione e autorizzazione, alla gestione granulare degli accessi, al monitoraggio delle attività e alla segmentazione delle reti e degli ambienti operativi.
La segmentazione consente di contenere la propagazione di un’eventuale compromissione e di proteggere le risorse più critiche.
3. Inventario delle risorse e superficie di esposizione
Una corretta resilienza operativa digitale richiede inventari completi, aggiornati e affidabili delle risorse informatiche.
La conoscenza puntuale degli asset rappresenta il presupposto necessario per individuare le vulnerabilità, classificare le risorse in base alla loro criticità e mappare la potenziale superficie di attacco.
La valutazione dovrà considerare, in particolare, i sistemi direttamente esposti su internet e le soluzioni basate su infrastrutture cloud.
IVASS richiama inoltre la necessità di modernizzare le infrastrutture, sostituendo o aggiornando le tecnologie non più supportate o giunte alla fine del proprio ciclo di vita.
4. Vulnerabilità e tempestività degli aggiornamenti
Le imprese devono accelerare l’individuazione e la gestione delle vulnerabilità dei propri sistemi ICT.
Le tecniche di scansione dovranno evolvere tenendo conto delle nuove capacità offerte dall’intelligenza artificiale e della maggiore velocità con la quale gli attaccanti possono sfruttare le falle dei sistemi.
Le azioni di rimedio e gli aggiornamenti di sicurezza dovranno essere applicati tempestivamente, attribuendo priorità alle vulnerabilità considerate maggiormente critiche.
Una particolare attenzione dovrà essere riservata ai software open source, ai sistemi accessibili dall’esterno e alle vulnerabilità zero-day, per le quali non risulta ancora disponibile una correzione.
5. Monitoraggio, rilevazione e misure di difesa
La comunicazione richiede il rafforzamento dei sistemi di monitoraggio delle applicazioni, degli accessi e del traffico di rete, compresi i flussi provenienti dai fornitori esterni di servizi informatici.
Gli strumenti basati sull’intelligenza artificiale potranno essere utilizzati per analizzare grandi volumi di informazioni e individuare anomalie in tempo reale, soprattutto rispetto agli asset maggiormente critici.
I sistemi di monitoraggio dovranno essere sincronizzati con l’inventario delle risorse informatiche, affinché ciascun asset sia controllato in maniera proporzionata alla propria classificazione di rischio.
6. Test di resilienza e gestione delle crisi
Le imprese devono rafforzare i test di resilienza operativa digitale, i processi di risposta agli incidenti e le procedure di recupero.
Le verifiche dovranno includere anche le attività di gestione delle crisi e la simulazione di scenari realistici, progressivamente più complessi e coerenti con l’evoluzione delle minacce cyber.
L’obiettivo non è limitarsi a verificare l’esistenza formale delle procedure, ma accertare la concreta capacità dell’organizzazione di reagire a un incidente ICT, limitarne gli effetti e ripristinare tempestivamente le attività.
Fornitori ICT e rischio della catena di approvvigionamento
Un ulteriore elemento centrale riguarda il crescente ricorso a fornitori esterni.
Catene di fornitura tecnologica articolate su più livelli e concentrate in un numero limitato di operatori possono trasformare una vulnerabilità circoscritta in un problema capace di coinvolgere contemporaneamente molte imprese.
Le iniziative adottate dalle compagnie dovranno pertanto essere sostenute anche dai fornitori esterni, ai quali viene richiesta la capacità di assicurare la protezione e la continuità dei sistemi.
Per le imprese diventa quindi essenziale rafforzare la valutazione preventiva dei fornitori, il contenuto dei contratti, il monitoraggio delle prestazioni e la verifica della tempestiva applicazione degli aggiornamenti di sicurezza.
Relazione e piano di lavoro entro il 31 dicembre 2026
La parte più operativa della comunicazione riguarda gli adempimenti richiesti agli organi societari.
IVASS si attende che il Consiglio di Amministrazione, nel corso di una seduta congiunta con il Collegio Sindacale, esamini formalmente il contenuto della comunicazione.
Nella stessa seduta dovranno essere avviati i lavori per predisporre una Relazione che, per ciascuna delle sei aree individuate, rappresenti:
il livello attuale di esposizione al rischio;
l’adeguatezza dei presidi esistenti;
le principali carenze riscontrate;
le priorità di intervento;
le azioni, i tempi e gli investimenti necessari.
Alla Relazione dovrà essere allegato un piano di lavoro proporzionato al profilo di rischio, alla complessità dei servizi e all’operatività dell’impresa.
Il piano dovrà indicare anche le modalità attraverso le quali il Consiglio di Amministrazione verificherà lo stato di avanzamento delle azioni programmate.
Ogni impresa dovrà inoltre individuare e comunicare all’IVASS uno specifico punto di responsabilità aziendale, che potrebbe essere rappresentato, ad esempio, dalla funzione di controllo dei rischi ICT di secondo livello.
La Relazione e il relativo piano di lavoro dovranno essere trasmessi all’Istituto entro il 31 dicembre 2026.
Dalla conformità alla capacità concreta di risposta
La comunicazione IVASS conferma che la resilienza operativa digitale non può più essere considerata una materia riservata esclusivamente alle funzioni ICT.
La gestione delle minacce cyber, dell’intelligenza artificiale e dei fornitori tecnologici coinvolge direttamente la governance societaria, le funzioni di controllo, il Collegio Sindacale e le strutture responsabili della continuità operativa.
Per le imprese assicurative si apre quindi una fase di verifica organizzativa che dovrà tradurre i requisiti DORA e le aspettative dell’Autorità in responsabilità definite, investimenti adeguati, interventi prioritari e sistemi di controllo capaci di misurare nel tempo l’effettivo rafforzamento dei presidi.
Continuiamo ad approfondire l’evoluzione della normativa in materia di DORA, cybersicurezza, governance dell’intelligenza artificiale e responsabilità degli organi societari attraverso iniziative formative rivolte a imprese, professionisti e funzioni di controllo.
Visita il nostro sito
