A dicembre 2024, un mese prima dell'entrata in applicazione di DORA, le autorità di vigilanza europee (ESA) hanno pubblicato i risultati di una prova generale volontaria del Registro delle Informazioni. Vi hanno partecipato quasi 1.000 entità finanziarie. Dei registri analizzati, solo il 6,5% ha superato tutti i 116 controlli sulla qualità dei dati. L'esercizio si è svolto secondo il criterio del massimo impegno, e metà dei registri restanti non ha superato meno di cinque controlli, quindi le ESA si sono mostrate cautamente ottimiste. Tuttavia, il problema più frequente era significativo: l'86% degli errori dipendeva dalla mancanza di informazioni obbligatorie.

È una chiave di lettura utile per DORA nel suo insieme. Le regole ormai sono ben comprese. Ciò che determina l'esito di un ciclo di vigilanza è la capacità dei dati, dei processi e delle evidenze di un'organizzazione di tenere il passo, ciclo dopo ciclo.

Che cos'è il Regolamento DORA?

Il Regolamento DORA, formalmente Regolamento (UE) 2022/2554, è il quadro dell'UE per la resilienza operativa digitale nel settore finanziario. L'UE lo ha introdotto per armonizzare quello che era un mosaico di norme nazionali sul rischio legato alle tecnologie dell'informazione e della comunicazione (TIC), sostituendo aspettative disomogenee con un unico regolamento direttamente applicabile in tutti gli Stati membri.

La cybersicurezza da sola, però, non basta. DORA riguarda la capacità di un'organizzazione di resistere, rispondere e riprendersi in caso di interruzioni delle TIC, il che riunisce governance, continuità aziendale e gestione del rischio TIC in un'unica struttura di responsabilità, anziché trattarle come questioni separate. Poiché DORA è un regolamento e non una direttiva, si applica direttamente. Non c'è alcuna legge nazionale da attendere, né margine perché uno Stato membro attenui ciò che richiede.

A chi si applica il Regolamento DORA?

L'articolo 2 definisce l'ambito di applicazione di DORA, che riguarda direttamente un'ampia gamma di entità finanziarie e raggiunge indirettamente i fornitori terzi di servizi TIC attraverso gli obblighi delle entità stesse.

Alcune entità più piccole e meno interconnesse, come le imprese di investimento piccole e non interconnesse, possono applicare un quadro semplificato di gestione del rischio TIC ai sensi dell'articolo 16. Restano comunque validi i requisiti di base: un quadro documentato, il monitoraggio, la continuità operativa e la formazione di sensibilizzazione.

Tra i fornitori terzi di servizi TIC, un gruppo più ristretto è soggetto a una regolamentazione più stringente: i fornitori terzi critici di servizi TIC (CTPP), designati singolarmente dalle ESA e sottoposti a sorveglianza diretta a livello UE, anziché al percorso indiretto seguito da tutti gli altri fornitori.

La NIS2 riguarda un'ampia gamma di entità altrettanto vasta nei settori critici. Per le entità finanziarie, tuttavia, DORA prevale in quanto normativa di settore per la gestione del rischio TIC e la segnalazione degli incidenti. I fornitori di servizi TIC costituiscono invece un caso diverso: possono rientrare nella NIS2 a titolo proprio pur servendo entità finanziarie ai sensi di DORA.

Quali sono i 5 pilastri del Regolamento DORA?

Cinque pilastri strutturano tutto ciò che DORA richiede, e sono più collegati tra loro di quanto possa sembrare a prima vista: una lacuna in uno di essi tende a emergere come carenza in un altro.

Gestione del rischio TIC

Le entità finanziarie devono dotarsi di un quadro documentato per identificare i rischi TIC, proteggersi da essi, rilevarli, rispondervi e ripristinare la normalità, e tale quadro deve funzionare nella pratica, non solo sulla carta. L'organo di gestione ne detiene la responsabilità ultima. Il quadro deve inoltre disciplinare il modo in cui il rischio TIC derivante da terze parti viene identificato e monitorato.

Gestione e segnalazione degli incidenti connessi alle TIC

Gli incidenti gravi connessi alle TIC devono essere classificati in base a criteri armonizzati e segnalati all'autorità competente in tre fasi. La notifica iniziale è dovuta entro quattro ore dalla classificazione di un incidente come grave e, in ogni caso, entro 24 ore da quando se ne è venuti a conoscenza. Una relazione intermedia segue entro 72 ore dalla notifica iniziale, e una relazione finale entro un mese dall'ultima relazione intermedia.

Test di resilienza operativa digitale

Le entità finanziarie devono verificare se i propri sistemi TIC e i controlli di resilienza reggono nella pratica. Per la maggior parte delle entità, ciò significa un programma di test periodico. Le entità individuate dalla rispettiva autorità competente devono inoltre eseguire test di penetrazione guidati dalle minacce (TLPT) almeno ogni tre anni, su sistemi di produzione attivi e sulla base di informazioni reali sulle minacce.

Gestione del rischio derivante da terze parti TIC

Per molte organizzazioni, questo è il pilastro più impegnativo. Le entità finanziarie hanno bisogno di contratti che includano le clausole obbligatorie previste da DORA, riguardanti aspetti come i diritti di audit, la localizzazione dei dati e le strategie di uscita, e di una valutazione continua del rischio di concentrazione nella propria base di fornitori.

Al centro si trova il Registro delle Informazioni (RoI). Ai sensi dell'articolo 28, paragrafo 3, le entità finanziarie devono tenere e aggiornare un registro di tutti gli accordi contrattuali con i fornitori terzi di servizi TIC, nel formato standardizzato stabilito dalle norme tecniche di attuazione, e metterlo a disposizione della propria autorità competente. Le autorità di vigilanza raccolgono il registro una volta all'anno, con data di riferimento al 31 dicembre e finestre di trasmissione nazionali nel primo trimestre. Per approfondire il contenuto del registro e come mantenerlo aggiornato, consulta la nostra pagina sul Registro delle Informazioni.

Condivisione di informazioni e intelligence

DORA consente inoltre alle entità finanziarie di scambiarsi informazioni e intelligence sulle minacce informatiche, all'interno di comunità di fiducia. La partecipazione è volontaria e l'obiettivo è aiutare il settore a rispondere a minacce che raramente restano circoscritte a una sola organizzazione.

Sanzioni previste dal Regolamento DORA e conseguenze della non conformità

L'applicazione passa attraverso le autorità competenti nazionali, che vigilano direttamente sulle entità finanziarie e possono applicare le sanzioni amministrative e le misure correttive stabilite da ciascuno Stato membro. A differenza del Regolamento generale sulla protezione dei dati (GDPR), DORA non fissa un importo massimo di sanzione a livello UE per le entità finanziarie: l'articolo 50 rimette gli importi al diritto nazionale. L'applicazione non si limita comunque alle sanzioni pecuniarie. Misure di vigilanza, azioni correttive obbligatorie e un controllo più stringente fanno tutti parte degli strumenti disponibili e, per molte organizzazioni, il costo reputazionale e operativo di un'attenzione prolungata da parte delle autorità di vigilanza può superare quello della sanzione stessa.

I fornitori terzi critici di servizi TIC sono invece soggetti a un meccanismo completamente distinto. Sono sorvegliati direttamente a livello UE, non tramite un'autorità nazionale. Se un fornitore non collabora con il proprio sorvegliante capofila, ad esempio lasciando senza risposta le richieste di informazioni, ostacolando indagini o ispezioni, oppure omettendo di riferire sulle misure correttive adottate, il sorvegliante capofila può imporre penalità di mora ai sensi dell'articolo 35. Queste sono applicate su base giornaliera fino a quando il fornitore non si conforma, per un massimo di sei mesi, e possono arrivare fino all'1% del fatturato giornaliero medio mondiale del fornitore nell'esercizio precedente. Nel determinarne l'importo, il sorvegliante capofila tiene conto della gravità e della durata della non conformità, del suo carattere intenzionale o colposo e del grado di collaborazione del fornitore.

Le raccomandazioni di sorveglianza funzionano in modo diverso. Se un fornitore non vi dà seguito, il sorvegliante capofila può renderlo pubblico e, come ultima risorsa, le autorità competenti possono imporre alle entità finanziarie di sospendere o cessare l'utilizzo dei servizi di quel fornitore.

Come implementare la conformità a DORA nella pratica

Comprendere il regolamento e gestirlo ogni giorno sono due problemi diversi. Questa è la sequenza che la maggior parte delle organizzazioni deve effettivamente seguire:

1. Confermare l'ambito di applicazione di DORA: stabilire quale categoria di entità si applica e se è disponibile il regime semplificato.

2. Individuare le funzioni critiche o importanti: gli altri requisiti di DORA si calibrano su questo elenco, quindi definirlo correttamente fin dall'inizio evita di dover rifare il lavoro in seguito.

3. Mappare gli asset TIC e le dipendenze: collegare sistemi, fornitori e funzioni aziendali prima di provare a valutare il rischio rispetto a ciascuno di essi.

4. Valutare il quadro di gestione del rischio TIC: confrontare quanto è documentato con quanto richiedono gli articoli da 5 a 16.

5. Istituire i flussi di lavoro di gestione degli incidenti: integrare classificazione e segnalazione in un processo, non in un documento che qualcuno apre solo quando qualcosa si rompe.

6. Costruire e mantenere il Registro delle Informazioni: trattarlo come un dato operativo vivo, non come un esercizio di esportazione annuale.

7. Istituire il programma di test di resilienza: definire ambito, calendario ed evidenze dei test su base ricorrente, compresi i TLPT dove applicabili.

8. Monitorare e mantenere la conformità: rivedere tutti i punti precedenti al variare di fornitori, sistemi e aspettative delle autorità di vigilanza.

I passaggi 3 e 6 tendono a richiedere più tempo, in gran parte perché dipendono da dati sparsi tra acquisti, IT e unità di business. Formalize riunisce in un unico posto il quadro di rischio TIC, i flussi di lavoro degli incidenti, i calendari dei test, il registro delle terze parti e i controlli che li supportano, accanto al lavoro su ISO 27001 e NIS2, anziché disperderli tra fogli di calcolo e strumenti separati. Il Registro delle Informazioni resta aggiornato al variare di contratti e fornitori, invece di essere ricostruito da zero a ogni ciclo di segnalazione.

Come Formalize supporta la conformità a DORA

Formalize è pensato per la parte di DORA che si ripete: mantenere dati ed evidenze aggiornati tra un ciclo e l'altro, invece di ricostruirli ogni volta.

• Un Registro delle Informazioni sempre aggiornato. Fornitori, contratti, servizi TIC e funzioni aziendali restano collegati, gli errori vengono segnalati già in fase di inserimento e il registro si esporta nel formato ufficiale. Maggiori dettagli nella pagina sul Registro delle Informazioni.

• Un RoI Validator gratuito. Esegue 294 controlli su tutti i 15 report nel formato ufficiale, senza registrazione, che tu usi o meno Formalize.

• Rischi, incidenti e test in un unico posto. Ciascuno con responsabili designati, scadenze ed evidenze allegate man mano che il lavoro procede.

• DORA insieme a ISO 27001, NIS2 e GDPR, nello stesso sistema anziché in strumenti separati.

Più di 8.000 organizzazioni in tutta Europa utilizzano già i prodotti di Formalize.

Dove si può scaricare il PDF del Regolamento DORA?

Per il regolamento in sé, EUR-Lex è la fonte autorevole. I riepiloghi di seconda mano sono utili per orientarsi, ma il testo pubblicato nella Gazzetta ufficiale è l'unico che ha valore legale.

Il regolamento da solo, però, non basta. I 13 RTS e ITS trattati sopra completano il dettaglio operativo che DORA stesso non specifica, e gli orientamenti di vigilanza delle autorità di vigilanza europee continuano a chiarire come le autorità si aspettano che i requisiti siano soddisfatti nella pratica. Un'implementazione basata solo sul testo del regolamento, senza le norme tecniche di supporto, tende a trascurare proprio i dettagli che le autorità di vigilanza chiederanno per primi.