Questa guida è rivolta a responsabili di cybersicurezza, compliance officer e dirigenti di banche, casse di risparmio e istituti di credito vigilati dalla Banca d'Italia. Scoprirai gli obblighi specifici imposti dalla normativa NIS2, le scadenze cruciali e come affrontare le lacune più comuni nella gestione del rischio ICT.
Tutte le banche, le casse di risparmio e gli istituti di credito autorizzati ed esercenti in Italia rientrano nella classificazione di entità essenziale secondo l'Allegato I della NIS2. Questa categoria comprende enti creditizi di qualsiasi dimensione soggetti alla supervisione della Banca d'Italia e sottoposti al coordinamento dell'Agenzia per la Cybersicurezza Nazionale (ACN).
Entro il periodo di registrazione annuale (dal 1° gennaio al 28 febbraio) è obbligatorio comunicare il vostro status di entità essenziale alla piattaforma ACN e fornire i recapiti dei responsabili di cybersicurezza e gestione del rischio ICT. La registrazione costituisce il fondamento della vostra relazione con l'autorità di vigilanza e la CSIRT nazionale.
Dovete implementare e documentare un sistema di gestione del rischio ICT che includa: analisi dei rischi di sicurezza, politiche di governance, procedure di incident response, piani di continuità operativa e strategie di trattamento del rischio. La documentazione deve dimostrare conformità agli standard internazionali (ISO 27001/27002) e alle Linee Guida dell'ENISA, con aggiornamenti almeno annuali.
Eseguite annualmente test di penetrazione su infrastrutture critiche, sistemi di pagamento e piattaforme di home banking, affidandovi a provider qualificati. Gestite le vulnerabilità scoperte secondo una matrice di criticità formale, documentando il tempo di remediation e le eccezioni di rischio approvate dai vostri organi di governo.
Vagliate e monitorate continuamente tutti i fornitori di servizi ICT (data center, piattaforme fintech, provider di cloud, sistemi di verifica dell'identità digitale) mediante auditor di sicurezza, verifiche di conformità normativa e clausole contrattuali che obbligano i fornitori a garantire standard di sicurezza equivalenti ai vostri. Documentate ogni valutazione e ogni modifica contrattuale relativa alla sicurezza.
In caso di incidente di cybersicurezza che compromette la disponibilità, integrità o riservatezza di dati o servizi, notificate il vostro supervisore bancario (Banca d'Italia) e il CSIRT Italia secondo le tempistiche previste: 24 ore per incidenti con impatto diretto sulla continuità operativa, 72 ore per altri incidenti rilevanti. La classificazione e la segnalazione devono seguire i criteri formali specificati nelle vostre procedure di incident management.
Per gli istituti creditizi regolamentati in Italia, gli obblighi di gestione del rischio ICT di NIS2 sono assorbiti nel più ampio framework DORA (Digital Operational Resilience Act). Dovete quindi rispettare i requisiti NIS2 di segnalazione incidenti e governance della cybersicurezza come parte dei vostri obblighi DORA, evitando duplicazioni: mantenete un'unica documentazione integrata che soddisfa entrambi i regimi.
Il D.Lgs. 138/2024 prevede sanzioni fino a €10 milioni o il 2% del fatturato annuale per le entità essenziali (come le banche) che non rispettano gli obblighi di gestione del rischio ICT, segnalazione di incidenti o governance della cybersicurezza. Sanzioni inferiori (fino a €7 milioni o 1,4% del fatturato) si applicano a entità importanti in caso di violazioni meno gravi.
Dovete registrarvi sulla piattaforma ACN ogni anno nel periodo dal 1° gennaio al 28 febbraio, comunicando il vostro status di entità essenziale, la denominazione, i dati di contatto del responsabile di cybersicurezza e del responsabile della gestione del rischio ICT, nonché una dichiarazione di conformità ai requisiti di governance. Questa registrazione è prerequisito per essere riconosciuto come soggetto vigilato dalla ACN.