IVASS: COMUNICAZIONE AL MERCATO IN MATERIA DI RESILIENZA OPERATIVA DIGITALE E MODELLI AVANZATI DI INTELLIGENZA ARTIFICIALE
“Comunicazione al mercato in materia di resilienza operativa digitale e modelli avanzati di intelligenza artificiale” (17 luglio 2026)
IVASS – ISTITUTO PER LA VIGILANZA SULLE ASSICURAZIONI
https://www.ivass.it/
IVASS – Link alla COMUNICAZIONE
IVASS ha pubblicato, il 17 luglio scorso, una Comunicazione al mercato in materia di resilienza operativa digitale e modelli avanzati di intelligenza artificiale.
Le tecnologie emergenti, e in particolare i sistemi di intelligenza artificiale, stanno trasformando il panorama della cybersicurezza e ponendo nuove sfide, anche nel settore assicurativo, per le loro possibili implicazioni per la riservatezza, l’integrità e la resilienza dei sistemi informatici e delle informazioni da essi gestite. In tale nuovo contesto, il rafforzamento della resilienza operativa digitale rappresenta una condizione essenziale per assicurare la continuità aziendale e la capacità di offrire servizi assicurativi e finanziari affidabili.
Alla luce di tali evoluzioni l’IVASS, tenendo presente i requisiti previsti dal Digital Operational Resilience Act (DORA), invita le imprese assicurative a individuare e realizzare con tempestività le misure necessarie per potenziare i processi e i presidi di sicurezza a protezione dei propri sistemi al fine di rafforzare la resilienza operativa e cibernetica.
L’Istituto segnala la necessità che le imprese attuino misure per rafforzare i presidi nelle seguenti aree:
- Governance: gli organi con funzione di amministrazione e di gestione devono rivedere il quadro di riferimento per la determinazione del risk appetite framework (RAF) per incorporare i rischi derivanti dalle tecnologie di frontiera, in maniera coerente con le decisioni strategiche, incluse quelle concernenti gli investimenti in ambito ICT e l’allocazione delle risorse;
- Igiene informatica: anche alla luce delle minacce connesse ai modelli avanzati di intelligenza artificiale, occorre integrare nella strategia i principi della difesa in profondità (defence-in-depth) e dell’igiene informatica, che prevedono processi di autenticazione e autorizzazione rigorosi, una gestione granulare degli accessi e un monitoraggio costante delle attività;
- Gestione delle risorse informatiche e della potenziale superficie d’esposizione: occorre disporre di inventari completi, aggiornati e affidabili, anche in considerazione delle minacce emergenti;
- Gestione delle vulnerabilità e degli aggiornamenti (patch): si rende necessario individuare rapidamente le vulnerabilità dei propri sistemi ICT, anche attraverso l’evoluzione delle tecniche di scansione delle vulnerabilità (e ove opportuno anche avvalendosi di sistemi di intelligenza artificiale) per ridurre il divario con eventuali attaccanti;
- Monitoraggio, rilevazione e misure di difesa: si rende necessario rafforzare i sistemi di monitoraggio e difesa delle applicazioni, degli accessi e del traffico di rete (compreso quello da e verso i fornitori terzi di servizi informatici), integrandoli, ove opportuno, con strumenti basati sull’intelligenza artificiale, per analizzare grandi volumi di dati e identificare anomalie in tempo reale, specie con riferimento alle risorse informatiche critiche;
- Attività di test: occorre rafforzare i test di resilienza operativa digitale e quelli dei processi di risposta e recupero, includendo in modo strutturato anche le attività di gestione delle crisi, attraverso il test periodico delle procedure operative in linea con i requisiti previsti dal Regolamento DORA.
IVASS si aspetta che il Consiglio di Amministrazione, nel corso di una seduta congiunta con il Collegio Sindacale, esamini il contenuto della Comunicazione. Nel corso della medesima seduta, dovrà essere dato avvio ai lavori per la stesura di una Relazione che, distintamente per ciascuna delle aree richiamate, rappresenti il livello attuale di esposizione al rischio e l'adeguatezza dei presidi esistenti, individui le principali carenze e le relative priorità di intervento nonché definisca un piano di lavoro con l’indicazione delle azioni, dei tempi e degli investimenti necessari, proporzionato al profilo di rischio, alla complessità dei servizi, all’attività e all’operatività dell’impresa; tale piano dovrà altresì definire le modalità con cui il Consiglio di Amministrazione verificherà l’avanzamento dello stesso.
Ogni impresa dovrà individuare e comunicare all’Organo di Vigilanza uno specifico punto di responsabilità aziendale (ad esempio, la funzione di controllo dei rischi ICT di secondo livello).
La Relazione, con allegato il piano di lavoro, sarà trasmessa all’Istituto entro il 31 dicembre 2026.