Scadenza principale: 31 dicembre 2026
Le imprese di assicurazione soggette alla comunicazione dovranno trasmettere a IVASS, entro il 31 dicembre 2026, una relazione di valutazione approvata dal Consiglio di Amministrazione, unitamente al relativo piano di interventi correttivi.
Il 17 luglio 2026, IVASS ha pubblicato una comunicazione al mercato in materia di resilienza operativa digitale e modelli avanzati di Intelligenza Artificiale (IA), rivolta alle imprese di assicurazione e riassicurazione italiane e alle sedi secondarie italiane di imprese assicurative con sede al di fuori dello Spazio Economico Europeo (SEE).
IVASS rileva che i modelli di IA di ultima generazione sono in grado di individuare vulnerabilità software e generare modalità di sfruttamento delle stesse in tempi estremamente ridotti, aumentando il rischio e la potenziale efficacia degli attacchi informatici. In tale contesto, l’Autorità sottolinea che la resilienza operativa digitale è essenziale non soltanto ai fini della conformità normativa, ma anche per garantire la continuità operativa e l’erogazione affidabile dei servizi assicurativi e finanziari.
Principali aree di intervento
Alla luce degli obblighi previsti dal Digital Operational Resilience Act (DORA), IVASS si attende che le imprese assicurative rafforzino i propri presidi nelle seguenti aree:
- Governance, incluso il riesame del Risk Appetite Framework (RAF) al fine di tenere conto dei rischi derivanti dalle tecnologie emergenti e dall’IA;
- Cyber hygiene, attraverso misure di difesa multilivello (defence in depth), controlli rafforzati degli accessi e segmentazione delle reti;
- Gestione degli asset IT e della superficie di attacco, inclusa la predisposizione di inventari accurati e la modernizzazione dei sistemi legacy;
- Gestione delle vulnerabilità e delle patch, con particolare attenzione alla tempestiva individuazione e risoluzione delle vulnerabilità critiche;
- Capacità di monitoraggio e rilevamento, incluso il possibile ricorso a strumenti di sicurezza basati sull’IA;
- Test di resilienza operativa digitale, attraverso scenari realistici di incidenti informatici e di gestione delle crisi; e
- Gestione dei rischi derivanti da terze parti e dalla catena di fornitura ICT, con particolare riguardo agli assetti caratterizzati da concentrazione e da rapporti multilivello tra fornitori di servizi.
Aspettative in materia di governance e reporting
IVASS si attende che il Consiglio di Amministrazione di ciascuna impresa assicurativa, congiuntamente al Collegio Sindacale, esamini la Comunicazione e avvii la predisposizione di una relazione volta a valutare:
- l’attuale esposizione ai rischi informatici e di resilienza operativa;
- l’adeguatezza dei presidi esistenti;
- le principali carenze e le priorità di intervento; e
- un piano d’azione dettagliato, comprensivo di tempistiche, investimenti e modalità di supervisione da parte del Consiglio di Amministrazione.
Le imprese assicurative dovranno inoltre individuare e comunicare a IVASS una specifica funzione interna responsabile di tali aspetti, quale, ad esempio, la funzione di controllo dei rischi ICT di seconda linea.
Indicazioni operative
La Comunicazione segnala un rafforzamento dell’attenzione dell’Autorità di vigilanza sulle implicazioni in materia di cybersecurity derivanti dall’utilizzo di tecnologie di IA avanzate e ribadisce gli obblighi delle imprese assicurative ai sensi del DORA.
Le imprese dovrebbero pertanto procedere tempestivamente alla verifica dei propri assetti di governance, dei presidi di resilienza informatica, dei sistemi di testing e dei framework di gestione dei rischi connessi a terze parti, al fine di assicurare la piena preparazione in vista della scadenza del 31 dicembre 2026 per la trasmissione della relazione.
Autrici: Chiara Cimarelli, Ina Doci e Francesca Santovito
About the Author: DLA Piper
