Pentest per Banca d’Italia (Circolare 285) e DORA: le differenze nel 2026

Dal gennaio 2025 il Regolamento DORA è pienamente applicabile in tutta l’UE. A febbraio 2026 la Banca d’Italia ha pubblicato il 51° aggiornamento della Circolare 285 per allineare la normativa italiana al nuovo framework. Per banche, assicurazioni, SIM, istituti di pagamento e fintech italiani significa una cosa concreta: i penetration test cambiano forma, frequenza e rigore.

Vediamo cosa succede. 

1. Cos’è la Circolare 285 e cosa chiedeva fino a oggi
2. Cos’è DORA e cosa richiede in materia di test
3. Pentest tradizionale vs TLPT: la differenza chiave
4. Chi deve fare cosa: la mappa per il 2026
5. Le scadenze da segnare in agenda
6. Sanzioni e conseguenze per chi non si adegua
7. Cosa fare ora: 6 passi pratici

Cos’è la Circolare 285 e cosa chiedeva fino a oggi

La Circolare 285 del 17 dicembre 2013 è il documento di riferimento di Banca d’Italia che raccoglie le “Disposizioni di vigilanza per le banche“. Da oltre dieci anni dice agli istituti bancari italiani come gestire i rischi operativi, inclusi quelli informatici.

Fino al 2024, in materia di sicurezza ICT, la Circolare 285 chiedeva alle banche di:

• Gestire il rischio ICT con un approccio risk-based
• Eseguire vulnerability assessment periodici sui sistemi critici
• Effettuare penetration test con frequenza adeguata al profilo di rischio
• Documentare metodologia, scope e risultati di ogni test
• Predisporre piani di remediation per le vulnerabilità identificate

L’approccio era relativamente flessibile: la frequenza dei test era determinata dal profilo di rischio della banca, la metodologia non era prescrittiva, e la portata dei test era decisa internamente. In pratica, una banca media faceva 1-2 pentest l’anno su sistemi internet-facing e applicazioni critiche.

Cos’è DORA e cosa richiede in materia di test

Il Digital Operational Resilience Act (Regolamento UE 2022/2554) è il nuovo quadro normativo armonizzato dell’Unione Europea per la resilienza operativa digitale del settore finanziario. È applicabile dal 17 gennaio 2025 ed è stato recepito in Italia dal D.Lgs. 23/2025.

DORA copre un ambito molto più ampio della Circolare 285: si applica a banche, assicurazioni, SIM, istituti di pagamento, istituti di moneta elettronica, gestori di fondi, fornitori di servizi cripto-attività e fornitori ICT critici per il settore finanziario.

In materia di test di sicurezza, DORA distingue due categorie:

• Testing della resilienza operativa digitale “di base”: vulnerability assessment, scansioni di sicurezza, source code review, network security assessment, penetration test “tradizionali”. Tutte le entità DORA devono eseguirli con cadenza annuale.
• Threat-Led Penetration Testing (TLPT): previsto dall’articolo 26 di DORA, è un test avanzato basato su scenari di minaccia realistici. Obbligatorio solo per le entità finanziarie “significative” identificate dalle autorità nazionali. Cadenza minima triennale.

Per il TLPT, DORA fa esplicito riferimento al framework TIBER-EU sviluppato dalla BCE. In Italia esiste già la sua versione localizzata, TIBER-IT, adottata congiuntamente da Banca d’Italia, Consob e IVASS fin dal 2022 in forma volontaria, e ora “promossa” a strumento di vigilanza obbligatorio nel perimetro DORA.

Pentest tradizionale vs TLPT: la differenza chiave

Il punto che genera più confusione è la differenza tra un penetration test “tradizionale” (quello che si fa da anni sotto Circolare 285) e un TLPT (la novità DORA). Sono attività che condividono parte degli strumenti tecnici ma rispondono a logiche profondamente diverse.

Un penetration test tradizionale parte da un perimetro definito a priori dal cliente: il portale di home banking, un’app mobile, un segmento di rete interno. La threat intelligence è opzionale e in genere generica, basata su CVE pubblici e checklist OWASP. Data, durata e perimetro del test sono concordati in anticipo: management, IT security e team coinvolti sanno orari, scope e finestra di attacco.

L’attività attiva dura tipicamente 1-4 settimane e può essere svolta da qualsiasi azienda di sicurezza con competenze documentate. Il costo va da poche migliaia a 50.000 euro per test, e la frequenza tipica è annuale o semestrale, oppure ad hoc dopo modifiche infrastrutturali significative. Quello che si misura è la presenza di vulnerabilità tecniche sul perimetro definito, e l’output finale è un report con CVE identificate, score CVSS e raccomandazioni puntuali di remediation.

Il TLPT lavora su un piano completamente diverso. Lo scope non è un singolo sistema ma la catena end-to-end di un servizio critico in produzione: client, API, backend, fornitori terzi e fattore umano. La threat intelligence è obbligatoria, costruita ad hoc da un provider accreditato e modellata su tattiche reali di APT e gang ransomware attive contro il settore finance.

Il test è coperto: solo un “White Team” di 3-5 persone all’interno dell’azienda conosce l’operazione, mentre il SOC e il Blue Team interni reagiscono come a un incidente reale. La durata complessiva è di 6-12 mesi, di cui l’active testing è solo la fase finale, dopo preparazione, threat intelligence e setup logistico.

Servono due fornitori distinti e indipendenti, entrambi accreditati TIBER-IT: uno per la threat intelligence, l’altro per il red team. Il TIBER Cyber Team Italia (TCT-IT) di Banca d’Italia è coinvolto in tutte le fasi, dallo scoping al closure report. Il costo per un ciclo completo si attesta tra 200.000 e 600.000 euro, e la frequenza minima è triennale.

Quello che si misura con un TLPT non sono le vulnerabilità tecniche, ma le capacità complessive di detection, response e resilience dell’organizzazione di fronte a un attacco realistico. L’output è triplice: replay tecnico dell’operazione svolta, Blue Team capability assessment, piano di rafforzamento strategico.

In sintesi: il pentest tradizionale è una verifica tecnica. Il TLPT è una simulazione realistica di attacco di stato o gang ransomware sull’intera organizzazione, eseguita all’insaputa del personale di sicurezza interno. Sono attività complementari, non sostitutive.
In sintesi: il pentest tradizionale è una verifica tecnica. Il TLPT è una simulazione realistica di attacco di stato o gang ransomware sull’intera organizzazione, eseguita all’insaputa del personale di sicurezza interno. Sono attività complementari, non sostitutive.

Chi deve fare cosa: la mappa per il 2026

Capire dove si colloca la propria azienda è la prima cosa da fare. Schematicamente:

• Banche italiane: continuano a essere soggette alla Circolare 285 (51° aggiornamento di febbraio 2026), che ora integra DORA. Devono fare pentest tradizionali annuali. Quelle classificate “significative” (G-SII e O-SII) saranno chiamate al TLPT.
• Assicurazioni, SIM, gestori OICR: soggette direttamente a DORA. Devono fare testing di base annuale. Le entità “significative” identificate da Consob, IVASS o Banca d’Italia saranno tenute al TLPT.
• Istituti di pagamento e moneta elettronica: soggetti a DORA. Devono fare testing di base annuale. Solo quelli che superano determinate soglie transazionali sono candidati al TLPT.
• Fintech, neobanche, exchange cripto: rientrano nel perimetro DORA. Stesso schema: testing annuale di base, TLPT solo se identificati come significativi.
• Fornitori ICT critici del settore finanziario: novità DORA. Anche aziende di software, cloud, payment processing che servono il finance sono ora nel perimetro e possono essere sottoposti a vigilanza diretta da parte delle ESAs.

Importante: il processo di identificazione delle entità “significative” da parte di Banca d’Italia, Consob e IVASS è ancora in corso. La timeline realistica per i primi TLPT obbligatori è fine 2026 – inizio 2027.

Le scadenze da segnare in agenda

Per orientarsi nel calendario 2026-2027:

• 15 marzo 2026 (e ogni anno successivo): trasmissione del Registro delle informazioni a Banca d’Italia tramite piattaforma INFOSTAT. Riferimento: dati al 31 dicembre dell’anno precedente.
• 18 febbraio 2026: pubblicato il 51° aggiornamento della Circolare 285, con disposizioni di vigilanza armonizzate a DORA. Già operativo per le banche.
• 1° gennaio 2027: entrata in vigore delle disposizioni del D.Lgs. 23/2025 specifiche per gli intermediari finanziari non bancari.
• Fine 2026 – inizio 2027: stima realistica per la prima ondata di TLPT obbligatori, dopo che le autorità avranno completato l’identificazione degli intermediari significativi.
• Già adesso: tutte le entità DORA devono avere un piano di testing annuale documentato.

Sanzioni e conseguenze per chi non si adegua

DORA prevede sanzioni amministrative fino all’1% del fatturato giornaliero medio mondiale per le entità non conformi. Significa che per una banca con fatturato di 5 miliardi di euro/anno, una sanzione massima si traduce in circa 137.000 euro al giorno fino a regolarizzazione — cifre che pesano rapidamente.

Per i fornitori ICT critici, la supervisione europea può includere ispezioni dirette, richieste di adeguamento vincolanti e, nei casi più gravi, la sospensione dei rapporti commerciali con le entità finanziarie supervisionate.

Oltre alle sanzioni dirette, ci sono effetti reputazionali e di vigilanza: i risultati dei test, in particolare dei TLPT, entrano nei processi di supervisione di Banca d’Italia. Un test fallito o ignorato può comportare richieste di azioni correttive con scadenze stringenti.

Cosa fare ora: 6 passi pratici

Per una banca, assicurazione o fintech italiana, la roadmap di adeguamento è abbastanza chiara:

1. Valutare l’ambito di applicazione: la mia azienda è “entità DORA”? Se sì, di quale categoria? È candidata a essere identificata come “significativa”?
2. Verificare il Registro delle informazioni: contiene tutti i fornitori ICT con i livelli di criticità correttamente classificati? Deve essere trasmesso entro il 15 marzo di ogni anno.
3. Pianificare il testing annuale di base: vulnerability assessment + penetration test sui sistemi critici. Documentare metodologia, scope, risultati e remediation.
4. Aggiornare le politiche ICT al framework DORA: governance, gestione del rischio ICT, gestione degli incidenti, gestione dei fornitori, business continuity.
5. Preparare il terreno per il TLPT (se candidata): identificare i servizi critici end-to-end, mappare le interdipendenze, valutare le capacità del Blue Team interno.
6. Formare il personale tecnico e il management: DORA non è solo un tema IT, coinvolge anche risk management, legal, internal audit e CdA.

Un dato positivo per chiudere: secondo il Rapporto Clusit 2025, gli attacchi al settore finanziario in Italia sono calati del 16% nel 2024 — la prima diminuzione in cinque anni. I ricercatori attribuiscono il risultato proprio all’effetto della nuova regolamentazione e del percorso di adeguamento intrapreso dalle banche italiane.

La tua banca, assicurazione o fintech è pronta per i nuovi obblighi DORA? Cyberment supporta le entità finanziarie italiane con servizi di Penetration Test, Vulnerability Assessment e Consulenza Cyber Security certificata ISO 27001 in linea con i requisiti DORA e Circolare 285.