Che cos’è DORA e da quando si applica
Il Regolamento (UE) 2022/2554 sulla resilienza operativa digitale per il settore finanziario, in breve DORA, stabilisce requisiti uniformi per la sicurezza delle reti e dei sistemi informativi nel settore finanziario dell’UE. Si applica dal 17 gennaio 2025. Trattandosi di un regolamento, è direttamente applicabile, senza bisogno di recepimento nella legislazione nazionale. I dettagli sono disciplinati da norme tecniche di regolamentazione e di attuazione (RTS e ITS), predisposte dalle autorità europee di vigilanza EBA, EIOPA ed ESMA.
L’obiettivo del regolamento è che il soggetto finanziario sia in grado di resistere alle interruzioni ICT, di reagire e di riprendersi, indipendentemente dal fatto che siano causate da un attacco informatico, da un guasto dei sistemi o dall’indisponibilità di un fornitore. La responsabilità è dell’organo di gestione, non solo del reparto IT.
Per verificare rapidamente se e come DORA vi riguarda, usate lo strumento in questa pagina. Di seguito riassumiamo i requisiti principali.
A chi si applica
L’articolo 2 del regolamento elenca oltre venti tipologie di soggetti finanziari. Tra questi: enti creditizi, istituti di pagamento e istituti di moneta elettronica, imprese di investimento, società di gestione e gestori di fondi di investimento alternativi, imprese di assicurazione e di riassicurazione, intermediari assicurativi, enti pensionistici aziendali o professionali, prestatori di servizi per le cripto-attività, infrastrutture dei mercati finanziari (sedi di negoziazione, depositari centrali, controparti centrali) e agenzie di rating del credito. Per alcuni soggetti di minori dimensioni, come certi intermediari assicurativi di piccole dimensioni, sono previste esenzioni.
Gli obblighi sono proporzionati a dimensione, natura e profilo di rischio del soggetto (articolo 4). Alcuni soggetti di minori dimensioni, per esempio le piccole imprese di investimento non interconnesse e gli istituti di pagamento o di moneta elettronica esentati, applicano, al posto degli articoli da 5 a 15, il quadro semplificato dell’articolo 16. Sono previste agevolazioni anche per le microimprese.
Un ruolo particolare spetta ai fornitori terzi di servizi ICT: cloud, data center, servizi IT gestiti e di sicurezza, software. Non sono soggetti finanziari, ma DORA li riguarda attraverso i contratti con i clienti. I fornitori essenziali per il sistema finanziario sono designati dalle autorità europee di vigilanza come critici (CTPP) e sono sottoposti alla loro vigilanza diretta.
In Italia l’autorità competente dipende dal tipo di soggetto: di regola la Banca d’Italia, la CONSOB o l’IVASS. La ripartizione delle competenze e le modalità di vigilanza vanno verificate nella normativa nazionale di adeguamento e presso la propria autorità di vigilanza.
I cinque pilastri di DORA
I requisiti del regolamento sono di norma riassunti in cinque pilastri. Sugli stessi pilastri si basa anche la valutazione dello strumento.
| Pilastro | Articoli | Requisiti principali |
|---|---|---|
| Gestione del rischio ICT | da 5 a 16 | quadro approvato e sorvegliato dall’organo di gestione; inventario di risorse e dipendenze; protezione, rilevamento, risposta e ripristino; politica di continuità operativa ICT e di backup |
| Incidenti ICT | da 17 a 23 | processo di gestione degli incidenti; classificazione secondo criteri uniformi; notifica degli incidenti gravi all’autorità competente; comunicazione ai clienti |
| Test di resilienza | da 24 a 27 | programma di test basato sul rischio; test almeno annuali dei sistemi che supportano funzioni essenziali o importanti; TLPT almeno ogni tre anni per i soggetti individuati dall’autorità |
| Rischio dei fornitori terzi ICT | da 28 a 30 | strategia e politica per il rischio dei fornitori terzi; registro delle informazioni; valutazione del rischio di concentrazione; clausole contrattuali obbligatorie; strategie di uscita |
| Condivisione delle informazioni | 45 | scambio volontario di informazioni sulle minacce informatiche tra soggetti finanziari; notifica all’autorità competente della partecipazione |
Nella gestione del rischio è fondamentale che anche i piani di ripristino siano documentati e testati. Gli obiettivi RTO e RPO devono derivare dalla criticità delle funzioni aziendali, non dalle prestazioni delle apparecchiature esistenti. Come impostarli e calcolarli è spiegato nella guida Backup e disaster recovery: RPO e RTO.
Notifica degli incidenti gravi
Il soggetto finanziario deve registrare e classificare tutti gli incidenti connessi alle ICT secondo i criteri del regolamento delegato (UE) 2024/1772, per esempio in base al numero di clienti interessati, alla durata, alla diffusione geografica, alla perdita di dati, alla criticità dei servizi e all’impatto economico. Quando un incidente raggiunge la soglia dell’incidente grave, iniziano a decorrere i termini di notifica all’autorità competente. I termini sono fissati dal regolamento delegato (UE) 2025/301.
| Notifica | Termine | Contenuto in breve |
|---|---|---|
| Notifica iniziale | entro 4 ore dalla classificazione dell’incidente come grave, e comunque entro 24 ore da quando il soggetto ne è venuto a conoscenza | dati essenziali sull’incidente e prima valutazione dell’impatto |
| Relazione intermedia | entro 72 ore dalla notifica iniziale; aggiornamenti in caso di cambiamenti rilevanti | descrizione più dettagliata, cause, impatto e misure adottate |
| Relazione finale | al più tardi un mese dopo l’ultima relazione intermedia | analisi della causa originaria, impatto effettivo e misure permanenti |
Per alcuni soggetti valgono regole particolari quando il termine cade in un fine settimana o in un giorno festivo. Verificate le condizioni esatte nel regolamento e presso la vostra autorità di vigilanza. Poiché i termini sono misurati in ore, la notifica è realizzabile solo con un monitoraggio attivo 24 ore su 24, ruoli definiti in anticipo e modelli già pronti. Anche le minacce informatiche significative possono essere segnalate all’autorità competente su base volontaria.
Fornitori ICT, registro delle informazioni e strategie di uscita
Il pilastro dei fornitori terzi è spesso quello che nella pratica richiede più lavoro. Il soggetto finanziario resta pienamente responsabile della conformità anche quando affida i servizi ICT a un fornitore esterno.
- Registro delle informazioni. Inventario di tutti gli accordi contrattuali per i servizi ICT, con i dati obbligatori su fornitori, servizi, ubicazioni e subappaltatori. Il formato è stabilito dal regolamento di esecuzione (UE) 2024/2956 e le autorità di vigilanza raccolgono regolarmente il registro.
- Clausole contrattuali. L’articolo 30 definisce il contenuto minimo dei contratti: descrizione dei servizi, ubicazioni del trattamento dei dati, livelli di servizio, assistenza in caso di incidente, cooperazione con le autorità, diritti di recesso. Per i servizi che supportano funzioni essenziali o importanti valgono requisiti più estesi, tra cui diritti di accesso e di audit, partecipazione ai TLPT e periodo di transizione in caso di uscita.
- Strategie di uscita. Per i servizi che supportano funzioni essenziali o importanti il soggetto deve disporre di una strategia di uscita e di un piano di transizione testato verso un altro fornitore o verso l’ambiente interno.
- Rischio di concentrazione. Il soggetto deve valutare se dipende eccessivamente da un singolo fornitore o da servizi difficilmente sostituibili.
Per i fornitori ICT questo significa nuove aspettative da parte dei clienti: un allegato DORA standard ai contratti, i dati per il registro, una procedura concordata per la notifica degli incidenti, le evidenze dei test e della continuità operativa e un’uscita chiaramente definita.
DORA e NIS2: che cosa vale per chi
In Italia la direttiva NIS2 è stata recepita con il D.Lgs. 138/2024 e riguarda, tra l’altro, il settore bancario e le infrastrutture dei mercati finanziari. Per i soggetti finanziari DORA è una norma speciale (lex specialis), per cui i requisiti di gestione del rischio ICT e di notifica degli incidenti si soddisfano secondo DORA. Per i fornitori ICT possono applicarsi entrambi i quadri contemporaneamente.
| Ambito | DORA | NIS2 / D.Lgs. 138/2024 |
|---|---|---|
| Forma giuridica | regolamento, direttamente applicabile | direttiva, recepita con legge nazionale |
| Destinatari | soggetti finanziari; fornitori ICT critici sotto la vigilanza dell’UE | soggetti medi e grandi in 18 settori e alcuni a prescindere dalla dimensione |
| Vigilanza in Italia | Banca d’Italia, CONSOB o IVASS, a seconda del tipo di soggetto | Agenzia per la Cybersicurezza Nazionale (ACN) |
| Notifica degli incidenti | 4 ore dalla classificazione (al più tardi 24 ore), 72 ore, 1 mese | 24 ore, 72 ore, 1 mese |
| Test | programma di test, per alcuni soggetti TLPT | valutazione dell’efficacia delle misure |
| Catena di fornitura | registro delle informazioni, clausole contrattuali obbligatorie, strategie di uscita | sicurezza della catena di fornitura come una delle misure |
Per sapere come vi classifica la NIS2, consultate la guida NIS2 e D.Lgs. 138/2024: la vostra organizzazione è soggetta?
Come iniziare: dalla valutazione alla conformità dimostrabile
- Ambito e proporzionalità. Con lo strumento qui sopra stabilite quale regime vi riguarda e confermatelo con l’ufficio legale o con l’autorità di vigilanza.
- Funzioni critiche. Individuate le funzioni essenziali o importanti, nonché i sistemi, i dati e i fornitori da cui dipendono.
- Analisi dei divari. Per ogni pilastro confrontate la situazione attuale con i requisiti del regolamento e delle norme tecniche e raccogliete le evidenze.
- Fornitori e registro. Completate il registro delle informazioni, rivedete i contratti secondo l’articolo 30 e preparate le strategie di uscita.
- Prova sul campo. Eseguite un’esercitazione di notifica di un incidente, un test di ripristino e, ove necessario, la preparazione al TLPT.
Humanfrog supporta i soggetti finanziari nell’inventario dei servizi ICT per il registro delle informazioni, nella preparazione delle strategie di uscita e nei test di resilienza, compresi i test di ripristino dai backup Veeam in data center TIER III. Con il monitoraggio gestito della sicurezza sosteniamo il rilevamento tempestivo degli incidenti. In qualità di fornitore di servizi ICT siamo pronti a mettere a disposizione dei clienti finanziari i dati e le clausole contrattuali richiesti da DORA. Se volete verificare il vostro punto di partenza, parlate con noi.
