Il 7 luglio la Banca centrale europea ha inviato una comunicazione formale rivolta ai vertici di tutte le banche significative dell’area dell’euro. La lettera, firmata da Claudia Buch sollecita interventi immediati e organizzati per contrastare le minacce informatiche che l’uso avanzato dell’intelligenza artificiale ha reso più rapide e pervasive.
Il documento richiede che ogni banca presenti entro il 31 ottobre 2026 un piano d’azione comprensivo di misure concrete, responsabilità assegnate, risorse dedicate e tempi di attuazione definiti. Il richiamo della vigilanza mette la questione sul tavolo dei consigli di amministrazione, non più solo su quello dei reparti tecnici.
Perché la BCE ha lanciato l’allarme il 7 luglio
La lettera parte da un’analisi tecnica ma espressa in termini comprensibili: l’avanzamento dei modelli di AI ha cambiato le regole del gioco nella scoperta delle vulnerabilità e nella creazione di exploit. Il CERT-EU ha sintetizzato questa trasformazione con la frase “AI is changing the economics of vulnerability discovery“, evidenziando come l’automazione e la capacità predittiva riducano tempi e costi per chi scopre falle nel software.
Il risultato pratico è che la finestra temporale tra la scoperta di una vulnerabilità e il suo sfruttamento si è drasticamente accorciata. In questo nuovo contesto, ritardi nella chiusura di rilievi conosciuti non sono più sostenibili: la BCE chiede di sanare senza indugio le criticità emerse dalle verifiche precedenti del 2026, perché quelle debolezze diventano obiettivi più facilmente sfruttabili.
Richieste operative: patch, monitoraggio e responsabilità sui fornitori
Nel breve termine la Banca centrale europea indica tre priorità operative che le banche devono tradurre nel loro piano entro il 31 ottobre 2026. La prima priorità è l’accelerazione della gestione delle vulnerabilità e degli aggiornamenti: come osservato dal National Cyber Security Centre è necessario prepararsi a una “preparing for a vulnerability patch wave“, un’ondata di correzioni che richiederà capacità di implementazione rapida, risorse umane adeguate e contratti con fornitori che garantiscano tempi di intervento coerenti.
La seconda priorità riguarda il potenziamento del monitoraggio e della capacità di rilevare intrusioni, compreso l’uso di strumenti difensivi basati su intelligenza artificiale. La BCE incoraggia l’adozione di tali strumenti a condizione che il loro impiego sia accompagnato da valutazioni approfondite di rischi e benefici e da supervisione umana permanente.
La terza priorità è la gestione del rischio legato ai fornitori esterni gli istituti devono mantenere piena responsabilità per i servizi esternalizzati e verificare che i propri partner siano in grado di adeguarsi ai ritmi accelerati di correzione e risposta agli incidenti. In particolare, la protezione degli asset esposti a internet e il presidio delle componenti open source e del software di terze parti sono considerati urgenti.
Misure strutturali richieste
Oltre alle attività a breve termine, la lettera sottolinea la necessità di misure strutturali per ridurre l’impatto di una possibile intrusione. Tra queste figurano la segmentazione delle reti concepita per limitare la propagazione di un attacco, e l’adozione di principi di zero trust che impongono verifiche continue degli accessi indipendentemente dalla posizione nella rete. La manutenzione ordinaria, la gestione degli asset e la sostituzione di tecnologie non supportate restano elementi fondamentali per ridurre la superficie d’attacco.
Ruoli dei vertici e coordinamento sovranazionale
Un messaggio trasversale della lettera è che la responsabilità principale ricade sugli organi di amministrazione delle banche, non sui soli reparti tecnici: i consigli devono rivedere allocazione delle risorse, soglie di tolleranza al rischio e piani di investimento per essere coerenti con la rapidità richiesta dalle nuove minacce. La BCE preannuncia inoltre che i piani saranno discussi con i gruppi di vigilanza congiunti e che condurrà analisi aggregate per identificare tendenze e lacune comuni.
Infine, il documento si inserisce in una cornice di allerta condivisa a livello internazionale: autorità e agenzie di sicurezza hanno espresso preoccupazioni simili sull’impatto dei modelli avanzati di AI sulla resilienza informatica, sottolineando che la diffusione di tecnologie e fornitori comuni rende sistemico il rischio per il settore finanziario.
La scadenza del 31 ottobre 2026 rappresenta un punto di non ritorno operativo: le banche dell’area dell’euro dovranno dimostrare, con piani formalizzati e misurabili, di aver riallineato strutture, contratti e processi al ritmo imposto dall’evoluzione tecnologica.
