Indice dei contenuti
Il Regolamento DORA (Digital Operational Resilience Act) rappresenta una svolta storica per il settore finanziario europeo. Per la prima volta, esiste un framework normativo unificato sulla resilienza operativa digitale che si applica a banche, assicurazioni, fondi di investimento e tutti gli attori del settore finanziario.
Con l'applicazione prevista per il 17 gennaio 2025, le istituzioni finanziarie italiane hanno poco tempo per adeguarsi. In questa guida analizziamo nel dettaglio i requisiti, le scadenze e le azioni concrete da intraprendere.
1. Cos'e il Regolamento DORA?
Il DORA e il Regolamento (UE) 2022/2554 del Parlamento Europeo e del Consiglio, pubblicato nella Gazzetta Ufficiale dell'UE il 27 dicembre 2022. A differenza delle direttive, essendo un regolamento e direttamente applicabile in tutti gli Stati membri senza necessita di recepimento.
Obiettivo del DORA
Garantire che tutte le entita finanziarie nell'UE siano in grado di resistere, rispondere e riprendersi da qualsiasi tipo di perturbazione e minaccia legata alle tecnologie dell'informazione e della comunicazione (ICT).
Perche il DORA e necessario?
Il settore finanziario e diventato sempre piu dipendente dalla tecnologia. Questa digitalizzazione, se da un lato ha portato enormi benefici, dall'altro ha esposto il sistema a nuovi rischi:
- Attacchi cyber in aumento: +38% di attacchi al settore finanziario nel 2023
- Dipendenza da terze parti: concentrazione su pochi provider cloud e ICT
- Rischio sistemico: un incidente in un grande provider puo impattare tutto il sistema
- Frammentazione normativa: prima del DORA ogni paese aveva regole diverse
2. Chi Coinvolge DORA?
Il DORA si applica a un ampio spettro di entita finanziarie. In totale, sono coinvolte oltre 22.000 organizzazioni nell'UE.
Entita finanziarie soggette al DORA
Fornitori terzi di servizi ICT
Una novita fondamentale del DORA e l'inclusione dei fornitori terzi critici di servizi ICT. Se un provider cloud o ICT e designato come "critico" dalle autorita europee, sara soggetto a supervisione diretta.
Esempi di fornitori potenzialmente critici:
3. I 5 Pilastri del DORA
Il regolamento DORA si articola in 5 pilastri fondamentali che coprono tutti gli aspetti della resilienza operativa digitale:
Gestione del rischio ICT
Framework completo per identificare, proteggere, rilevare, rispondere e ripristinare in caso di incidenti ICT.
Segnalazione degli incidenti
Processo armonizzato per classificare e segnalare gli incidenti ICT alle autorita competenti.
Test di resilienza operativa digitale
Programma di test periodici per verificare la capacita di resistere e rispondere agli incidenti.
Gestione dei rischi terze parti ICT
Requisiti stringenti per la gestione dei fornitori di servizi ICT, inclusi cloud provider.
Condivisione delle informazioni
Framework per lo scambio volontario di informazioni su minacce e vulnerabilita tra entita finanziarie.
4. Scadenze e Timeline
Il DORA segue una timeline ben definita. A differenza di altre normative, essendo un regolamento non richiede recepimento nazionale ed e direttamente applicabile.
5. Sanzioni e Penalita
Il regime sanzionatorio del DORA e particolarmente severo, con penalita che possono colpire sia le organizzazioni che i singoli responsabili.
Poteri delle autorita di vigilanza
- •Accesso a documenti e dati
- •Ispezioni in loco
- •Ordine di cessazione di attivita non conformi
- •Sospensione dei servizi
- •Pubblicazione delle violazioni
6. Come Prepararsi alla Compliance
La preparazione al DORA richiede un approccio strutturato che coinvolge diverse funzioni aziendali: IT, Risk, Compliance, Legal e Operations.
Roadmap di implementazione
Fase 1: Assessment
4-6 settimane- Gap analysis rispetto ai requisiti DORA
- Mappatura degli asset ICT critici
- Censimento dei fornitori ICT
- Valutazione della maturita attuale
Fase 2: Governance
4-8 settimane- Definizione ruoli e responsabilita
- Aggiornamento policy e procedure
- Framework di risk management ICT
- Formazione del board
Fase 3: Implementazione
12-20 settimane- Implementazione controlli tecnici
- Sviluppo piani di continuita
- Setup processi di incident management
- Rinegoziazione contratti fornitori
Fase 4: Testing
8-12 settimane- Vulnerability assessment
- Penetration testing
- Test dei piani di continuita
- Simulazioni di incidente
Fase 5: Monitoraggio
Continuo- Monitoraggio continuo della compliance
- Aggiornamento documentazione
- Reporting periodico al board
- Miglioramento continuo
7. FAQ - Domande Frequenti
DORA si applica anche alle piccole banche e assicurazioni?
Si, il DORA si applica a tutte le entita finanziarie indipendentemente dalle dimensioni. Tuttavia, il principio di proporzionalita prevede requisiti meno stringenti per le entita minori (es. meno test TLPT, procedure semplificate).
Qual e la relazione tra DORA e NIS2?
Il DORA e una "lex specialis" rispetto alla NIS2 per il settore finanziario. Le entita finanziarie soggette a DORA sono escluse dall'ambito NIS2 per evitare duplicazioni. I requisiti DORA sono generalmente piu stringenti.
Devo fare i test TLPT (Threat-Led Penetration Testing)?
I test TLPT sono obbligatori solo per le entita "significative" identificate dalle autorita. Per le altre entita sono richiesti test meno complessi (vulnerability assessment, pen test standard). I test TLPT vanno eseguiti almeno ogni 3 anni.
Come gestire i fornitori cloud extra-UE?
I contratti con fornitori ICT, inclusi i cloud provider extra-UE, devono includere clausole specifiche richieste dal DORA (diritti di audit, SLA, exit strategy, localizzazione dati). Se il fornitore non accetta, potrebbe essere necessario valutare alternative o mitigazioni.
Quanto costa adeguarsi al DORA?
I costi variano enormemente in base alla dimensione e maturita dell'entita. Per una banca media si stimano 500.000 - 2.000.000 EUR nel primo anno (consulenza, tool, personale, adeguamenti tecnici), con costi ricorrenti di 200.000 - 500.000 EUR/anno.
Conclusione
Il DORA rappresenta un cambiamento epocale per il settore finanziario europeo. Con la deadline del 17 gennaio 2025 ormai vicina, e fondamentale che banche, assicurazioni e tutte le entita finanziarie accelerino i propri programmi di compliance. Non si tratta solo di evitare sanzioni, ma di costruire una vera resilienza operativa in un contesto di minacce cyber in costante evoluzione.
