Incidenti ICT gravi: il primo anno di segnalazioni DORA in Italia

Gli incidenti ICT gravi comunicati alla Banca d’Italia nel 2025 sono 101 eventi, che hanno prodotto 137 segnalazioni di vigilanza. I numeri compaiono nel Quadro segnaletico di Vigilanza dei gravi incidenti ICT, l’analisi orizzontale pubblicata il 9 luglio 2026 fra le pubblicazioni cyber dell’Istituto. Non è il primo documento del genere, perché la Banca d’Italia pubblica analisi analoghe da anni. È però il primo costruito interamente sulle definizioni, sul perimetro e sulle soglie del regolamento DORA, applicabili dal 17 gennaio 2025.

Letto accanto all’edizione precedente, il documento smentisce due convinzioni diffuse: che la quota degli attacchi stia crescendo, e che il peso dei fornitori continui a salire.

Come si contano gli incidenti ICT gravi

Un evento, molte segnalazioni

La Banca d’Italia distingue due grandezze che vengono spesso confuse. L’evento è il singolo accadimento. La segnalazione è la notifica che il singolo intermediario trasmette all’autorità.

Un guasto presso un fornitore usato da più intermediari resta un evento solo, e produce tante segnalazioni quanti sono i soggetti colpiti. Lo stesso effetto si ottiene quando più entità dello stesso gruppo segnalano l’evento che le riguarda tutte.

Il rapporto fra le due grandezze si è ridotto. Nel 2024 le segnalazioni erano 188 a fronte di 103 eventi, circa 1,8 per evento. Nel 2025 sono 137 a fronte di 101 eventi, circa 1,4.

Prima di leggervi un fenomeno di mercato conviene considerare una spiegazione normativa. Il nuovo quadro ammette la segnalazione aggregata, che prima non esisteva: una sola notifica per tutte le entità colpite dallo stesso incidente, da cui restano esclusi, fra gli altri, gli enti creditizi significativi.

Il requisito però è stretto. Non può farlo un fornitore qualsiasi, ma solo il terzo a cui l’entità abbia esternalizzato formalmente gli obblighi di segnalazione, con un accordo comunicato all’autorità prima della prima notifica. È una configurazione presumibilmente rara, non la condizione ordinaria di un fornitore usato da più banche.

Un guasto che prima produceva dieci segnalazioni può oggi produrne una. Il documento non dice se la Banca d’Italia abbia consentito l’aggregazione né quante ne siano arrivate, quindi fra le due letture, minore propagazione lungo la filiera oppure effetto del modulo, non si può scegliere.

Una riserva ulteriore, ripresa più avanti: il documento 2025 descrive a parole un aumento degli eventi che le cifre pubblicate nelle due edizioni non restituiscono.

Chi segnala, e secondo quali soglie

Il perimetro dei soggetti che segnalano alla Banca d’Italia comprende:

• banche, imprese di investimento e gestori;
• istituti di pagamento e istituti di moneta elettronica;
• prestatori di servizi per le cripto-attività ed emittenti di token collegati ad attività;
• fornitori di servizi di crowdfunding;
• Cassa Depositi e Prestiti;
• Poste Italiane, limitatamente all’attività di Bancoposta.

L’elenco non coincide con quello di DORA. L’articolo 2 del regolamento include anche imprese di assicurazione e di riassicurazione, intermediari assicurativi ed enti pensionistici aziendali o professionali. Include inoltre agenzie di rating del credito, amministratori di indici di riferimento critici, depositari centrali di titoli, controparti centrali, sedi di negoziazione e repertori di dati. Quei soggetti rispondono ad autorità diverse, nazionali o europee, quindi non compaiono in questo documento pur essendo pienamente dentro DORA.

Per banche, istituti di pagamento, prestatori di servizi di informazione sui conti e istituti di moneta elettronica l’obbligo non si ferma agli incidenti ICT gravi. Si estende anche agli incidenti operativi o relativi alla sicurezza dei pagamenti, che restano una categoria distinta.

Che cosa conti come grave non lo decide la funzione sicurezza dell’intermediario. Lo stabilisce il regolamento delegato (UE) 2024/1772, che fissa i criteri di classificazione e le soglie di rilevanza. Formati, modelli e procedure standard arrivano invece dal regolamento di esecuzione (UE) 2025/302.

Il regolamento di esecuzione 2025/302 disciplina, all’articolo 7, la segnalazione aggregata richiamata sopra. Le condizioni sono cinque. L’incidente deve nascere presso il fornitore. Il fornitore deve prestare il servizio a più di un’entità finanziaria o a un gruppo. Le entità devono stare in un unico Stato membro e sotto la stessa autorità. Ciascuna deve averlo classificato come grave. E l’autorità competente deve aver espressamente consentito l’aggregazione a quel tipo di entità.

Ogni percentuale citata più avanti va letta dentro quelle soglie, e con l’indicazione della base su cui è calcolata.

Dove il sistema si rompe

Il fornitore, sopra la metà ma sotto il picco

Nel 56% delle segnalazioni del 2025 risulta coinvolto un fornitore di servizi. La cifra va inserita in una serie, perché da sola induce in errore: era circa il 45% nel 2023 e il 65% nel 2024. Il 2025 arriva quindi dopo un picco, non dopo una salita continua.

Il confronto resta indicativo, perché le basi di calcolo non coincidono. Il 65% del 2024 è calcolato sugli incidenti segnalati, il 56% del 2025 sulle segnalazioni, e il perimetro dei soggetti obbligati è cambiato nel mezzo.

Sulle banche meno significative il documento 2025 non pubblica una percentuale. Scrive che il fornitore è all’origine dell’evento nella quasi totalità delle segnalazioni relative a incidenti operativi. L’edizione 2024 quantificava: il 92% degli incidenti operativi di quelle banche nasceva presso un fornitore, contro il 46% delle banche significative.

Sempre nel 2024, il fornitore compariva nel 72% degli incidenti operativi e nel 40% di quelli cyber. La quota di incidenti con fornitore coinvolto era dell’86% nelle banche meno significative, contro il 44% di quelle significative. La lettura della redazione è che il divario rifletta un diverso grado di esternalizzazione, anche se la fonte non misura quanto ciascuna categoria abbia esternalizzato. È lo stesso quadro già descritto su queste pagine a proposito del rischio dei fornitori e della supply chain estesa.

Cambiamenti ICT e attacchi, un pareggio stimato

Qui servono due avvertenze sulle basi di calcolo, perché il documento ne usa di diverse nella stessa sezione.

Gli eventi di cybersicurezza sono il 23% degli eventi totali. Al loro interno prevale l’esfiltrazione di dati, seguita dagli attacchi alla catena di fornitura, dal ransomware e dall’ingegneria sociale.

Gli eventi operativi attribuibili ai cambiamenti dei sistemi ICT, cioè rilasci, migrazioni e aggiornamenti pianificati, valgono circa il 30% degli eventi operativi. Non del totale.

Perché la stima resta condizionata

La Banca d’Italia presenta gli eventi in due insiemi, operativi e di cybersicurezza. Il modulo di segnalazione è però più articolato. Il campo 3.23, tipo di incidente, prevede sei voci: connesso alla cibersicurezza, malfunzionamento del processo, avaria del sistema, eventi esterni, connesso ai pagamenti e altro da precisare.

Le voci sono a scelta multipla, quindi uno stesso incidente può portarne più di una, e una di esse è residuale. I due insiemi della presentazione sono perciò una scelta di aggregazione dell’Istituto, non una proprietà del sistema di segnalazione.

Se quei due insiemi sono esaustivi e disgiunti, gli eventi operativi valgono il 77% e i cambiamenti ICT si collocano intorno al 23% degli eventi complessivi. È una stima derivata da chi scrive, subordinata a quella condizione, non una cifra pubblicata dall’Istituto.

Ne esce un pareggio sostanziale fra le due grandezze.

Il modulo tiene i cambiamenti su un altro asse

Non è però lecito ordinare i cambiamenti rispetto alle altre cause, perché le due letture stanno su assi diversi, e il regolamento lo dimostra.

Il tipo di incidente si dichiara nella relazione intermedia, al campo 3.23. Le cause di fondo si dichiarano nella relazione finale, su tre livelli. Il campo 4.1 elenca azioni dolose, malfunzionamento del processo, avaria o malfunzionamento del sistema, errore umano ed evento esterno. La gestione delle modifiche compare solo al terzo livello, il campo 4.3. Sta sotto la voce sull’inadeguatezza o il malfunzionamento delle operazioni TIC, accanto alla gestione delle vulnerabilità e delle patch, al backup e ripristino e al trattamento degli errori.

Il regolamento non ignora quindi i cambiamenti: li colloca su un altro asse e in un’altra fase. Un malfunzionamento può del resto nascere da un rilascio, e le due classificazioni non si escludono.

L’argomento regge quindi su un altro piano. Fra le cause di peso comparabile, il governo del cambiamento è l’unica interamente nelle mani dell’intermediario. Un programma di conformità che concentra la spesa sulla difesa dall’attaccante lascia scoperta una voce di dimensioni simili, e per giunta quella su cui l’organizzazione può intervenire senza dipendere da terzi.

La quota cyber non sta crescendo

Il confronto con gli anni precedenti smonta una narrazione diffusa. Nelle segnalazioni raccolte dal vecchio quadro la componente cyber è stata il 32% nel 2020, il 21% nel 2021, il 15% nel 2022, il 28% nel 2023 e il 21% nel 2024. Il 23% del 2025 cade dentro quella banda.

La quota va però tenuta distinta dal valore assoluto, che racconta un’altra storia. Le segnalazioni cyber sono passate da 26 nel 2020 a 40 nel 2024, mentre il totale cresceva più in fretta. Gli attacchi aumentano in numero, non in peso relativo, e i due fatti convivono senza contraddirsi.

Anche qui la base cambia, perché fino al 2024 la percentuale era calcolata sulle segnalazioni e nel 2025 sugli eventi. La conclusione prudente è che sei anni di dati di vigilanza non mostrano una crescita strutturale del peso relativo degli attacchi.

Tempi di reazione, danni e continuità

Quattro ore, non ventiquattro

La scadenza che circola nei materiali divulgativi, ventiquattro ore, è una semplificazione. L’articolo 5 del regolamento delegato (UE) 2025/301 fissa termini di segnalazione articolati.

La notifica iniziale va trasmessa quanto prima, e comunque entro quattro ore dalla classificazione dell’evento come grave, ed entro ventiquattro ore dal momento in cui l’entità ne è venuta a conoscenza. La relazione intermedia segue entro settantadue ore dalla notifica iniziale. La relazione finale arriva entro un mese dall’ultima relazione intermedia.

Il vincolo stringente sono quindi le quattro ore dalla classificazione. Su questo sfondo pesa un altro numero dell’analisi orizzontale: circa il 28% degli eventi viene rilevato oltre le ventiquattro ore. Circa la metà viene rilevata subito, il 20% entro otto ore e il 3% fra le otto e le ventiquattro. Le quote sono arrotondate e la loro somma eccede di poco il totale.

Il ritardo di rilevazione non produce di per sé una violazione, perché l’orologio parte dalla conoscenza. Misura però quanto a lungo l’intermediario resta all’oscuro, e di conseguenza quanto tardi il supervisore vede il fenomeno. Chi prepara i test di resilienza trova qui la metrica su cui allenarsi.

Le perdite passano da un altro canale

Circa il 35% delle segnalazioni riporta perdite economiche, che il documento definisce di bassa entità. Cinque episodi hanno superato il milione di euro: il recupero è stato integrale in due casi, parziale negli altri.

Il 2024 raccontava la stessa dimensione con un altro riferimento, segnalando che in pochi casi, sette su 188, l’impatto superava i due milioni di euro. Nessuna delle due cifre è una soglia normativa, sono entrambe illustrazioni, quindi il confronto fra le due non dice nulla.

Una soglia normativa però esiste, e sta molto più in basso. L’articolo 7 del regolamento 2024/1772 definisce l’impatto economico come somma di costi e perdite diretti e indiretti, al lordo dei recuperi. L’articolo 9, paragrafo 6 ne fissa la soglia di rilevanza a 100.000 euro, sostenuti o potenziali.

Quella soglia da sola non fa però scattare nulla. L’impatto economico è una delle sei soglie di rilevanza dell’articolo 9. L’articolo 8 richiede che l’incidente abbia interessato servizi critici. In aggiunta deve essere raggiunta la soglia dell’articolo 9, paragrafo 5, lettera b, oppure ne devono essere raggiunte almeno due fra le altre.

Quella lettera b riguarda gli accessi non autorizzati, dolosi e riusciti ai sistemi informatici e di rete, quando possono comportare perdite di dati. È l’unica cui il regolamento riconosca uno statuto speciale. Toccati i servizi critici, l’intrusione andata a segno basta da sola, anche senza alcun impatto misurabile.

Il milione e i due milioni citati nelle due edizioni restano quindi episodi di coda, dieci e venti volte sopra la soglia di rilevanza economica.

C’è però una ragione più profonda per non cercare qui la fotografia delle perdite. L’articolo 11, paragrafo 10 di DORA impone alle entità finanziarie una trasmissione annuale separata delle stime aggregate dei costi e delle perdite causati da gravi incidenti ICT, secondo gli orientamenti congiunti JC/GL/2024/34. Per i soggetti vigilati dalla Banca d’Italia il termine ordinario è il 31 maggio, spostato al 30 giugno per il 2026. Per i gruppi bancari meno significativi e i gruppi di SIM la trasmissione avviene su base consolidata. Il dato economico vero viaggia quindi su un canale separato e aggregato, mentre il 35% citato sopra resta il residuo di una rilevazione incidente per incidente.

Il servizio si ferma in sette segnalazioni su dieci

Sulla continuità del servizio la trappola è diversa. In entrambe le edizioni circa il 70% delle segnalazioni indica l’interruzione di un servizio, ma la statistica pubblicata cambia. Il 2024 riportava una durata media di circa 21 ore, in forte crescita dalle 9 ore del 2023, e ne attribuiva la causa a eventi operativi presso fornitori. Il 2025 non pubblica alcuna media e descrive solo una distribuzione per fasce: nella maggior parte dei casi non oltre le otto ore, in alcuni episodi fino a ventiquattro, in un numero limitato di casi oltre. Una media e una distribuzione non si confrontano, quindi il quesito su un eventuale miglioramento resta senza risposta pubblica.

Il metro normativo aiuta comunque a inquadrare quella distribuzione. La soglia di rilevanza del criterio sulla durata è raggiunta quando l’incidente supera le 24 ore, oppure quando l’inattività supera le due ore per i servizi TIC a supporto di funzioni essenziali o importanti. Il legislatore considera quindi rilevante un’inattività di due ore, mentre il dato pubblicato descrive interruzioni fino a quattro volte tanto.

Che cosa ha cambiato il passaggio a DORA

Continuità dichiarata, discontinuità di fatto

Il 2024 è stato l’ultimo anno del vecchio quadro, fondato sulla Circolare n. 285 e sulle disposizioni per istituti di pagamento e istituti di moneta elettronica. Dal 17 gennaio 2025 è operativo lo schema DORA, reso applicabile in Italia dalla comunicazione della Banca d’Italia del 27 dicembre 2024.

Il supervisore dichiara continuità di impianto fra i due quadri. La discontinuità riguarda il perimetro, le definizioni e le soglie, e rende improprio ogni confronto puntuale fra le due edizioni, mentre la direzione dei fenomeni resta leggibile.

L’effetto sui numeri è vistoso. Le segnalazioni scendono da 188 a 137, oltre un quarto in meno. Nel frattempo la platea degli obbligati si allarga, e accoglie imprese di investimento, gestori, emittenti di token, prestatori di servizi per le cripto-attività e fornitori di servizi di crowdfunding. Un calo di quella ampiezza a perimetro crescente rimanda alle nuove soglie di rilevanza e alla segnalazione aggregata più che a un sistema improvvisamente più solido.

Resta un punto aperto, quello anticipato in apertura. Il documento 2025 descrive una diminuzione delle segnalazioni a fronte di un aumento degli eventi, mentre le cifre pubblicate nelle due edizioni danno 103 eventi nel 2024 e 101 nel 2025. La discrepanza merita un chiarimento, e nel frattempo conviene non attribuire una direzione al movimento degli eventi.

Tre minacce significative in dodici mesi

Il nuovo quadro ha introdotto la notifica delle minacce informatiche significative, che si trasmette con un modulo separato, l’allegato III al regolamento 2025/302, e non presuppone alcun incidente. La Banca d’Italia vi dedica un capitolo del documento.

Le condizioni per qualificare una minaccia come significativa sono tre e cumulative, fissate dall’articolo 10 del regolamento 2024/1772. La minaccia deve poter colpire funzioni essenziali o importanti dell’entità, oppure altre entità finanziarie, fornitori terzi, clienti o controparti finanziarie. Deve avere elevata probabilità di concretizzarsi. E, se si concretizzasse, dovrebbe soddisfare il criterio della criticità dei servizi oppure raggiungere le soglie sui clienti e sulle transazioni o quella sull’estensione geografica.

Nel 2025 le segnalazioni ricevute su questo canale sono state tre. Due riguardavano minacce ai dati degli intermediari, gestiti da fornitori terzi. La terza riguardava tentativi di accesso non autorizzato ai conti della clientela. Tre in dodici mesi, sull’intero perimetro vigilato, per lo strumento che DORA presenta come la propria novità di metodo.

Le misure che il primo bilancio non fornisce

Tre grandezze mancano, e sono quelle che permetterebbero di valutare l’allargamento del perimetro. Il documento non indica quante segnalazioni provengano dai soggetti prima esclusi. Non riporta le comunicazioni ricevute da altri Stati membri per eventi con impatto in Italia. E non riprende una serie che il vecchio quadro pubblicava da cinque anni, quella sulla quota di incidenti a carico dei servizi di pagamento, intorno all’80% nel 2024.

Che cosa guardare nel prossimo ciclo

Il valore di questo primo bilancio sugli incidenti ICT gravi sta nella linea di base che costruisce. Tre grandezze meritano di essere seguite: la quota di segnalazioni riconducibili a fornitori, il peso dei cambiamenti ICT sugli eventi operativi e la percentuale di rilevazioni oltre le ventiquattro ore. Sono le tre misure su cui un intermediario incide con scelte proprie.

La data che conta di più però è un’altra, il 30 giugno 2026, quando i soggetti vigilati trasmettono le stime aggregate di costi e perdite. Sarà quella misura, e non il conteggio degli eventi, a dire al supervisore quanto costano davvero gli incidenti ICT gravi e se gli adempimenti DORA 2026 stiano incidendo. Si tratta però di una segnalazione di vigilanza, non di una pubblicazione, e nessuna fonte oggi garantisce se e in quale forma quel dato sarà diffuso.