La BCE ha imposto alle banche significative dell’eurozona di presentare un piano d’azione contro le minacce informatiche potenziate dall’AI entro il 31 ottobre 2026. Per gli avvocati che assistono istituti di credito, fornitori IT o imprese con esposizione bancaria, questo genera obblighi di compliance tracciabili e responsabilità dei vertici già azionabili. Il perimetro include vulnerabilità software, gestione dei fornitori terzi e resilienza cibernetica come presupposto di corretta governance.
Punti chiave
- Punto 1 — La BCE fissa al 31 ottobre 2026 il termine per i piani anti-cyber AI delle banche significative.
- Punto 2 — La responsabilità dei vertici bancari per la resilienza cibernetica diventa oggetto di vigilanza diretta BCE.
- Punto 3 — La catena dei fornitori IT rientra nel perimetro di rischio: contratti e SLA vanno rivisti in chiave DORA.
Se assisti una banca significativa, una fintech o anche solo un’impresa che dipende da servizi bancari digitalizzati, la direttiva BCE sulle minacce cyber potenziate dall’AI non è una notizia di settore: è un aggiornamento del perimetro di rischio legale su cui devi posizionarti adesso, non a ottobre 2026. La responsabilità degli organi di vertice, la tenuta contrattuale con i fornitori IT e la mappatura delle vulnerabilità diventano terreno di contenzioso prima ancora che la scadenza arrivi.
La Banca Centrale Europea ha chiesto alle banche significative dell’area euro di presentare un piano d’azione strutturato contro le minacce informatiche amplificate dall’intelligenza artificiale, con scadenza fissata al 31 ottobre 2026. Al centro dell’iniziativa ci sono vulnerabilità software, esposizione ai fornitori terzi, continuità operativa e responsabilità diretta dei vertici aziendali. I dettagli della misura sono riportati da Agenda Digitale.
Il contesto normativo
Il quadro di riferimento principale è il Regolamento (UE) 2022/2554, noto come DORA — Digital Operational Resilience Act — applicabile dal 17 gennaio 2025 a banche, assicurazioni e fornitori critici di servizi ICT. L’art. 5 DORA attribuisce agli organi di gestione la responsabilità diretta e non delegabile del framework di resilienza operativa digitale, con obblighi di formazione continua e approvazione delle politiche ICT. L’art. 28 impone invece una gestione contrattuale specifica del rischio dei fornitori terzi, con clausole obbligatorie su audit, portabilità dei dati e diritti di uscita. Sul piano sanzionatorio, il d.lgs. 23 dicembre 2024 n. 209, che recepisce DORA nell’ordinamento italiano, attribuisce a Banca d’Italia e CONSOB poteri di irrogare sanzioni fino al 2% del fatturato annuo mondiale per le violazioni più gravi. La richiesta BCE si innesta su questo impianto, aggiungendo un livello di supervisione microprudenziale specifico sul rischio AI.
Cosa cambia per lo studio
- Revisione dei contratti con fornitori IT: i contratti di outsourcing tecnologico stipulati prima del 17 gennaio 2025 devono essere adeguati alle clausole obbligatorie dell’art. 28 DORA. Se il tuo cliente bancario non lo ha ancora fatto, è già in ritardo e potenzialmente esposto a rilievi di vigilanza.
- Responsabilità degli amministratori: l’art. 5 DORA e la richiesta BCE costruiscono una responsabilità personale dei membri del CDA per carenze nella governance cyber. In caso di sinistro informatico, la domanda di responsabilità ex art. 2392 c.c. verso gli amministratori ha ora un ancoraggio normativo più solido e tracciabile.
- Mappatura del rischio AI come documento gestionale: il piano d’azione richiesto dalla BCE non è un adempimento formale ma un documento che, in sede di contenzioso o vigilanza, attesta la diligenza dell’organo di gestione. Assenza o inadeguatezza del piano equivale a prova di omissione organizzativa.
- Rischio sistemico e class action: la BCE segnala esplicitamente il rischio sistemico. Se un attacco AI-driven colpisce più istituti simultaneamente, si apre lo scenario di azioni risarcitorie coordinate da parte di correntisti o investitori istituzionali, con litisconsorzio complesso e giurisdizione potenzialmente europea.
- Clausole di indennizzo nei contratti fintech: le imprese che erogano servizi a banche significative devono verificare se i propri contratti contengono clausole di manleva o limitazione di responsabilità compatibili con gli obblighi DORA del cliente bancario.
Attenzione a
Il primo rischio concreto è trattare la scadenza del 31 ottobre 2026 come lontana. La BCE valuterà i piani con anticipo e le carenze emerse in fase istruttoria possono tradursi in misure correttive immediate, inclusa la limitazione delle attività. Chi assiste banche deve iniziare l’analisi del gap DORA-AI adesso, non nei prossimi dodici mesi.
Il secondo errore frequente è separare il tema cyber dal diritto contrattuale ordinario. I fornitori IT che non garantiscono i livelli di resilienza richiesti espongono la banca a violazioni regolamentari: una clausola SLA mal redatta oggi può diventare la causa di un procedimento sanzionatorio domani. Verifica che i contratti in essere prevedano diritti di audit, obblighi di notifica degli incidenti entro 24 ore e meccanismi di exit conformi all’art. 28 DORA.
Domande frequenti
Un amministratore di banca può essere ritenuto personalmente responsabile per un attacco informatico AI?
Sì. L’art. 5 DORA attribuisce agli organi di gestione la responsabilità diretta del framework di resilienza digitale. In caso di attacco cyber con danno accertato, la responsabilità ex art. 2392 c.c. verso gli amministratori è azionabile se risulta che il CDA non aveva approvato, monitorato o aggiornato le politiche ICT richieste dalla normativa. La richiesta BCE rafforza ulteriormente questo ancoraggio.
Cosa deve contenere il piano anti-cyber AI che la BCE chiede alle banche entro il 2026?
La BCE richiede un piano strutturato che copra almeno quattro aree: mappatura delle vulnerabilità software ampliate dall’AI, gestione del rischio dei fornitori terzi (art. 28 DORA), misure di resilienza cibernetica operativa e definizione della responsabilità dei vertici. Il piano deve essere un documento gestionale approvato dal CDA, non una dichiarazione generica di intenti.
I contratti con fornitori IT stipulati prima del DORA devono essere modificati?
Sì, entro il 17 gennaio 2025 i contratti avrebbero già dovuto essere adeguati. L’art. 28 DORA impone clausole obbligatorie su diritti di audit, portabilità dei dati, notifica degli incidenti entro 24 ore e diritti di exit. Contratti privi di queste previsioni espongono la banca a rilievi di vigilanza e, in caso di sinistro, a una posizione difensiva molto debole.
Fonte di riferimento: AgendaDigitale