Il 17 luglio 2026 l’IVASS ha pubblicato la “Comunicazione al mercato in materia di resilienza operativa digitale e modelli avanzati di intelligenza artificiale”, richiamando l’attenzione delle imprese assicurative sui nuovi rischi generati dall’evoluzione tecnologica.

Le tecnologie emergenti (in particolare i sistemi di intelligenza artificiale) stanno introducendo nuove sfide per la cybersicurezza. Ci saranno possibili conseguenze sulla riservatezza e sull’integrità delle informazioni, sulla sicurezza dei sistemi informatici e sulla continuità dei servizi assicurativi.

Perché l’intelligenza artificiale aumenta il cyber risk

La preoccupazione dell’autorità di vigilanza riguarda soprattutto la velocità con cui i modelli più avanzati possono modificare lo scenario delle minacce.

Questi strumenti sono in grado di individuare le vulnerabilità presenti nei software e, contemporaneamente, di elaborare le modalità per sfruttarle, in tempi estremamente ridotti e senza richiedere necessariamente competenze tecniche specialistiche.

Si restringe così l’intervallo tra la scoperta di una vulnerabilità e il suo possibile sfruttamento. Per le imprese diminuisce, di conseguenza, il tempo disponibile per valutare il rischio, applicare gli aggiornamenti e proteggere i sistemi.

L’intelligenza artificiale potrebbe quindi accentuare l’asimmetria tra “attaccanti” e “difensori”: mentre i primi possono automatizzare e moltiplicare le attività offensive, le imprese devono proteggere infrastrutture complesse, dati sensibili, sistemi legacy e catene di fornitura sempre più articolate.

Le misure richieste dall’IVASS per rafforzare la sicurezza digitale

In questo scenario – coerentemente con i requisiti previsti dal Digital Operational Resilience Act – DORA – l’IVASS invita le imprese assicurative a individuare e realizzare con tempestività le misure necessarie per rafforzare i processi e i presidi di sicurezza.

La resilienza operativa digitale non viene quindi considerata soltanto un’esigenza di conformità normativa, ma una condizione essenziale per garantire la continuità aziendale e l’affidabilità dei servizi offerti.

Le aree sulle quali intervenire coinvolgono l’intera organizzazione:

• governance, propensione al rischio e competenze tecnologiche degli organi aziendali;
• igiene informatica, autenticazione, autorizzazione e gestione degli accessi;
• inventario e classificazione delle risorse ICT;
• gestione delle vulnerabilità e applicazione tempestiva delle patch;
• monitoraggio degli accessi, delle applicazioni e del traffico di rete;
• test di resilienza, risposta agli incidenti, recupero e gestione delle crisi;
• governo dei fornitori esterni e delle dipendenze tecnologiche.

Il ruolo del Consiglio di amministrazione e le prossime scadenze

Particolare rilievo assume il ruolo del Consiglio di amministrazione, chiamato ad avviare la predisposizione di una relazione sul livello di esposizione ai rischi.

La relazione dovrà individuare le carenze esistenti, definire le priorità di intervento e tradurle in un piano di lavoro che indichi azioni, tempi, investimenti e responsabilità.

Il documento, accompagnato dal relativo piano, dovrà essere trasmesso all’IVASS entro il 31 dicembre 2026.

La Comunicazione dell’IVASS richiama le imprese a un approccio strutturato alla resilienza operativa digitale.

In un contesto in cui l’intelligenza artificiale può accelerare l’individuazione e lo sfruttamento delle vulnerabilità, la tempestività degli interventi, la chiarezza delle responsabilità e la capacità di reazione dell’organizzazione diventano elementi essenziali della resilienza operativa e cibernetica.

La tua azienda dispone delle competenze necessarie per rafforzare la resilienza operativa digitale? Scopri il catalogo corsi sui temi di Cybersecurity, oppure approfondisci i più recenti corsi DORA – Il regolamento europeo sulla resilienza operativa digitale e Cultura della Cybersecurity – Viaggio nella Direttiva NIS2, dedicati ai principali obblighi normativi in materia di sicurezza informatica. Se invece il tuo gruppo di lavoro ha esigenze specifiche, contattaci per una soluzione ad hoc.