Negli ultimi diciotto mesi l’architettura di vigilanza sul rischio informatico degli intermediari finanziari italiani si è irrobustita in modo significativo. Dal 2025 il Regolamento DORA (UE 2022/2554) disciplina integralmente governance ICT, gestione del rischio informatico, sicurezza ed esternalizzazione dei servizi tecnologici delle banche, sostituendo le vecchie sezioni della Circolare 285/2013 — abrogate con il 51° aggiornamento pubblicato in Gazzetta Ufficiale il 18 febbraio 2026. Gli intermediari vigilati devono segnalare gli incidenti ICT gravi, stimare su base annua costi e perdite aggregate, e a luglio 2026 sia la BCE sia Banca d’Italia hanno inviato alle banche significative richieste esplicite di piani d’azione contro le minacce cyber potenziate dall’intelligenza artificiale, con scadenza fissata al 31 ottobre.
Sul piano regolatorio, insomma, il rischio informatico bancario è oggi un oggetto di vigilanza strutturata, continua, e sempre più granulare. Eppure basta seguire un singolo caso di frode con carta di pagamento — uno dei tanti che transitano ogni anno per l’Arbitro Bancario Finanziario — per scoprire che questa architettura, per quanto sofisticata, non tocca mai il punto in cui la vittima incontra la banca.
Due mondi che non comunicano
Il punto merita di essere isolato con precisione, perché non è un’impressione ma una caratteristica strutturale del sistema. La vigilanza prudenziale sul rischio ICT — quella esercitata dalla BCE tramite il Meccanismo di Vigilanza Unico sulle banche “significative” come Intesa Sanpaolo, e da Banca d’Italia sugli intermediari minori — lavora su dati aggregati: quanti incidenti gravi, quale impatto economico complessivo, quale grado di maturità dei presidi difensivi. È un esercizio di risk management a livello di sistema, che confluisce nei processi SREP e nei colloqui riservati tra la banca e il proprio Joint Supervisory Team.
La tutela del singolo cliente che si vede negare il rimborso di un’operazione fraudolenta segue invece un binario completamente diverso: reclamo all’intermediario, eventuale ricorso all’Arbitro Bancario Finanziario, in ultima istanza causa civile. Su questo secondo binario, la responsabilità della banca si misura caso per caso, sulla base della prova — a carico del prestatore di servizi di pagamento, per effetto del D.Lgs. 11/2010 — di aver applicato correttamente l’autenticazione forte e di non essere incorsa in colpa.
I due binari non si incrociano mai. Un’anomalia tecnica rilevata nel log di un singolo cliente — un dispositivo abilitato con procedure che la stessa banca, nei propri sistemi, etichetta come prive di controlli antifrode — resta un fatto endogeno al singolo ricorso ABF. Non attiva alcun meccanismo che lo colleghi a una verifica prudenziale sulla tenuta complessiva dei presidi ICT dell’istituto, né tantomeno diventa visibile al mercato o al pubblico.
Un’asimmetria informativa per costruzione
Qui il quadro regolatorio stesso conferma l’asimmetria. I dati raccolti ai sensi di DORA sono trasmessi alle autorità di vigilanza e non pubblicati: restano riservati nel rapporto bilaterale tra intermediario e supervisore. Il mercato, gli analisti — e a maggior ragione il singolo consumatore — continuano a dipendere esclusivamente sulla disclosure volontaria nei bilanci e nei documenti di Terzo Pilastro, che per definizione riportano ciò che la banca sceglie di rendere pubblico.
La novità di DORA, quindi, non è colmare questo divario ma renderlo più efficiente dal solo lato della vigilanza: le autorità disporranno, a regime, di un set di dati individuali strutturati e comparabili sulla condizione IT di ogni banca, aumentando la pressione sugli intermediari per evitare rilievi SREP. È un progresso reale sul piano macroprudenziale. Ma non introduce alcun ponte verso il piano micro — quello del cliente che, davanti a un ricorso ABF respinto o a un’inadempienza sistematica della banca, non ha alcuno strumento per far emergere se il proprio caso sia un episodio isolato o il sintomo di una carenza strutturale nei presidi antifrode dell’istituto.
Il sistema di enforcement individuale è debole per costruzione
A completare il quadro c’è la debolezza intrinseca dello strumento pensato proprio per la tutela del singolo: le decisioni dell’ABF non sono vincolanti. Se un intermediario non vi dà seguito, l’unica conseguenza prevista è la pubblicazione della notizia sul sito dell’Arbitro per cinque anni e sul sito della banca per sei mesi — una sanzione reputazionale, non pecuniaria, e non collegata in alcun modo alla vigilanza sul rischio ICT. Il tasso di adesione spontanea delle banche alle decisioni ABF resta mediamente sopra il 90%, ma per i grandi gruppi il numero assoluto di inadempimenti pubblicati resta rilevante, e la motivazione più ricorrente — il non condividere le conclusioni del Collegio sulla lettura dei log — segnala un attrito sistematico più che episodico, senza che questo abbia alcuna eco nel dialogo prudenziale tra la banca e il proprio supervisore.
I numeri, presi direttamente dal sito dell’Arbitro
Vale la pena guardare i dati grezzi, perché rendono il fenomeno meno astratto. Sul sito dell’ABF, nella sezione “Intermediari inadempienti”, una delle grandi banche del belpaese risulta con oltre 700 inadempimenti.
Restringendo lo sguardo alla sola materia dei servizi di pagamento e dei conti correnti — quella più vicina all’esperienza quotidiana del cliente retail — la sequenza delle comunicazioni obbligatorie che la stessa banca è tenuta a pubblicare sul proprio sito, ai sensi della disciplina ABF, mostra una cadenza pressoché mensile nel solo biennio 2025-2026.
Il dato qualitativo è tanto interessante quanto quello quantitativo: dove la banca specifica la motivazione, la formula ricorrente — sia nel 2023 sia, implicitamente, nelle comunicazioni più recenti — è di **non aver condiviso le conclusioni** del Collegio. Non un problema di reperimento documentale o di errore materiale, ma un disaccordo di merito dichiarato e sistematico, ripetuto identico a distanza di anni, su una materia — i servizi di pagamento — dove la prova dell’autenticazione forte è tecnicamente e per legge a carico della banca stessa.
Questo non è un problema che si esaurisce nel perimetro dei pagamenti con carta. È destinato a riproporsi, con posta in gioco più alta, nel progetto dell’euro digitale. Il calendario BCE prevede l’avvio del progetto pilota a metà 2027 e una possibile prima emissione nel 2029, subordinata all’adozione del regolamento istitutivo — il cui iter legislativo è entrato nella fase decisiva nel corso del 2026. Piero Cipollone, membro del Comitato esecutivo della BCE, ha sintetizzato l’essenza del progetto in una formula che vale la pena prendere sul serio: il denaro è fiducia. Ed è proprio sulla protezione dalle frodi e sulla resilienza informatica — insieme a continuità operativa e privacy — che la sperimentazione pilota dichiara di voler concentrare la verifica.
Il punto strutturale, però, è che l’euro digitale non sarà distribuito direttamente dalla BCE al cittadino: la moneta è pubblica, ma l’esperienza d’uso, l’onboarding, l’autenticazione e — inevitabilmente — la gestione dei casi di frode passeranno per gli stessi prestatori di servizi di pagamento che oggi gestiscono conti correnti e carte. Il regolamento in discussione punta a standardizzare l’esperienza utente in tutta l’area euro proprio attraverso questi PSP vigilati, che restano i “principali destinatari” delle nuove norme operative.
Questo significa che l’infrastruttura di responsabilità che oggi produce il pattern documentato in questo articolo tratto da un caso realmente accaduto – rifiuto sistematico di rimborsi anche a fronte di anomalie tecniche nei propri stessi log, enforcement individuale spuntato, nessun collegamento con la vigilanza ICT aggregata — non scompare con l’euro digitale. Si trasferisce, salvo correttivi specifici, sullo stesso strato di intermediazione. Se una grande banca continuerà a gestire le contestazioni di frode sull’euro digitale con lo stesso schema difensivo osservato oggi sui pagamenti con carta, il rischio non è solo il singolo rimborso negato: è che la promessa centrale del progetto — “la stessa affidabilità del contante”, garantita dalla banca centrale — venga percepita come vera sulla carta e smentita nell’esperienza pratica del cittadino, esattamente come accade oggi con la fiducia nei pagamenti elettronici in generale. Un euro digitale che eredita la stessa “discarica delle frodi” sui prestatori intermedi rischia di ereditarne anche il deficit di fiducia, vanificando in parte la ragion d’essere del progetto: offrire un’ancora di moneta pubblica proprio nei momenti in cui la moneta privata — i depositi bancari e gli strumenti ad essi collegati — mostra le sue debolezze.
Conclusione: colmare il ponte, non solo rafforzare le due sponde
Il rafforzamento della vigilanza ICT avvenuto con DORA è un passo necessario, ma da solo rischia di produrre un sistema a due velocità: un apparato di controllo macroprudenziale sempre più sofisticato sulla resilienza operativa aggregata delle banche (si fa per dire) e un cliente che, davanti alla singola frode, resta solo con lo strumento spuntato dell’ABF e l’eventualità, remota per importi modesti, di una causa civile.
Colmare questo divario non richiede necessariamente nuova normativa: basterebbe un meccanismo strutturato che permetta alle segnalazioni di anomalie tecniche ricorrenti, emerse nei ricorsi ABF, di alimentare — in forma aggregata e anonima – il dialogo prudenziale tra supervisore e banca sulla tenuta dei presidi ICT. Fino a quando questo ponte non esisterà, la fiducia nei pagamenti digitali continuerà a essere messa alla prova non dalla sofisticazione degli attacchi, ma dalla distanza tra chi vigila sul rischio e chi, alla fine, lo subisce. Ed è un problema che l’Eurosistema farebbe bene a risolvere prima del 2029, non dopo: la fiducia che l’euro digitale promette di ripristinare si costruisce — o si perde — esattamente in quello spazio.
