Il Regolamento DORA: cosa prevede e come adeguarsi

– Cos’è il DORA (Digital Operational Resilience Act)

– Cosa richiede oggi il DORA

– Quando entra in vigore il DORA?

– Pilastri fondamentali del DORA

– Compliance Legale al DORA per il settore finanziario

Il DORA (Digital Operational Resilience Act (UE) 2022/2554) stabilisce standard uniformi nel settore dei servizi finanziari, con un focus specifico sulla gestione della cybersicurezza e la protezione dei dati personali. Il Regolamento è entrato in vigore il 16 gennaio 2023, ma è applicabile dal 17 gennaio 2025.

L’impianto normativo “DORA” è costituito da due atti legislativi principali:

• Il Regolamento (UE) 2022/2554 relativo alla resilienza operativa digitale per il settore finanziario, che si applica direttamente negli Stati Membri (Italia compresa, naturalmente).
• La Direttiva (UE) 2022/2556, che modifica una serie di direttive esistenti per allinearle ai requisiti del Regolamento, che deve essere recepita in ogni Stato Membro con un atto legislativo ad hoc (solitamente, in Italia, con un decreto legislativo).

È fondamentale sottolineare che, essendo un regolamento e non una direttiva, il DORA ha efficacia giuridica diretta in tutti gli Stati membri dell’UE, senza la necessità di essere recepito nella legislazione nazionale. Ciò garantisce una completa armonizzazione e un’applicazione uniforme delle regole, al pari del GDPR o dell’AI Act e a differenza di una direttiva come la NIS2, che richiede il recepimento in ciascun ordinamento nazionale, portando a possibili variazioni e peculiarità di ciascuno Stato nell’attuazione e applicazione della normativa.

In un mercato unico come quello europeo, l’obiettivo del DORA è uniformare il più possibile i livelli di sicurezza e la capacità di risposta alle minacce informatiche, considerando la crescente dipendenza degli istituti finanziari dai sistemi digitali, il rapido aumento dell’uso di tecnologie innovative ormai indispensabili, e i continui scambi tra Stati membri, in applicazione della libertà di circolazione dei capitali. Prima dell’entrata in vigore del DORA, le istituzioni finanziarie europee gestivano rischi operativi e rischi di sicurezza autonomamente e in maniera eterogenea. La normativa precedente presentava infatti una frammentazione critica, carente di requisiti specifici e uniformi. L’assenza di regole armonizzate, per esempio, rendeva impossibile ottenere una visione d’insieme sulla frequenza e gravità degli incidenti informatici, limitando gravemente la condivisione delle minacce e la relativa gestione del rischio in un ecosistema interconnesso e interdipendente come quello finanziario.

Ma perché questo settore è così rilevante? Come ribadito dal Parlamento Europeo, “i servizi finanziari costituiscono un elemento essenziale nel quadro degli sforzi dell’UE volti a completare il mercato interno, nell’ambito della libera circolazione di servizi e capitali”. Proprio data la sua importanza e l’enorme quantità di dati sensibili che tratta, il settore finanziario rappresenta da sempre uno dei bersagli degli attacchi informatici.

Un esempio è l’attacco a Equifax del 2017. Equifax, una delle tre principali agenzie di credito statunitensi, fu vittima di una massiccia violazione che compromise i dati personali di circa 147-148 milioni di persone. L’attacco espose informazioni estremamente sensibili: nomi completi, date di nascita, numeri di previdenza sociale e patenti di guida. Per circa 200.000 vittime, i cybercriminali riuscirono ad accedere anche ai numeri delle carte di pagamento.

L’esempio è di oltreoceano, ma è perfettamente calzante anche con il mercato europeo.

Il DORA si interseca strategicamente con l’ecosistema normativo europeo che comprende regolamenti e direttive su protezione dati, cybersicurezza e intelligenza artificiale. Così come il GDPR ha rivoluzionato la gestione della privacy, il DORA unifica e modernizza la gestione del rischio ICT e della sicurezza informatica nel settore finanziario europeo. Data la sua rilevanza strategica, il DORA si applica a un ampio spettro di entità del settore finanziario, garantendo una copertura normativa completa e uniforme.

Ma non solo. Il Regolamento inoltre introduce una novità assoluta nel panorama normativo: per la prima volta, i destinatari degli obblighi non si limitano ai soggetti direttamente coinvolti (le entità finanziarie), ma estendono anche ai loro fornitori ICT, indipendentemente dal livello in cui operano all’interno della catena di fornitura. L’art. 2 del Regolamento definisce l’ambito di applicazione. Di seguito un riassunto:

Ma cosa significa entità finanziaria e fornitore ICT? In base al DORA, le entità finanziarie comprendono circa una ventina di tipologie di soggetti del settore finanziario, dagli enti creditizi alle compagnie assicurative, dai gestori di fondi alternativi agli enti pensionistici, tutti accomunati dall’essere i principali destinatari della normativa sulla resilienza digitale. La lista delle entità finanziarie incluse nel DORA è molto estesa e comprende:

Istituti di credito, di pagamento e di moneta elettronica

• Istituti di credito (es. banche).
• Istituti di pagamento e istituti di moneta elettronica.
• Fornitori di servizi di informazione sui conti.

Imprese di investimento e gestori di fondi

• Imprese di investimento.
• Società di gestione di organismi di investimento collettivo in valori mobiliari (OICVM).
• Gestori di fondi di investimento alternativi (FIA).

Assicurazioni e intermediari

• Imprese di assicurazione e di riassicurazione.
• Intermediari assicurativi e intermediari riassicurativi.
• Enti pensionistici aziendali o professionali.

Infrastrutture del mercato finanziario

• Sedi di negoziazione.
• Controparti centrali.
• Depositari centrali di titoli.

Altre entità finanziarie

• Fornitori di servizi di crowdfunding.
• Fornitori di servizi di cripto-attività (come definito nel regolamento MiCA).
• Repository di dati relativi alle negoziazioni e ai titoli.

I fornitori ICT (o fornitori terzi di servizi TIC, come definiti dal DORA) sono invece le imprese che forniscono servizi tecnologici alle entità finanziarie, includendo una vasta gamma di attività che spaziano dalla gestione progetti IT ai servizi cloud, dalla sicurezza informatica al supporto tecnico. Mentre le entità finanziarie devono rispettare tutti gli obblighi del regolamento in materia di gestione dei rischi digitali, segnalazione incidenti e test di resilienza, i fornitori ICT hanno principalmente l’obbligo di formalizzare contrattualmente i loro rapporti con le entità finanziarie, salvo nel caso dei fornitori critici che sono soggetti a controllo diretto delle Autorità di Vigilanza.

Come anticipato, la rapida trasformazione digitale del settore finanziario europeo ha portato a un’aumentata dipendenza dalla tecnologia e dalle società tecnologiche per l’erogazione di servizi ai cittadini. Questa evoluzione, sebbene apporti indubbi benefici e miglioramenti, ha anche esposto il settore a nuove vulnerabilità.

Al centro del quadro normativo c’è il Regolamento (UE) 2022/2554, ossia il DORA, che fissa i principi generali e gli obblighi di resilienza operativa digitale per il settore finanziario.

Per tradurre quei principi in regole operative concrete, il Regolamento richiede alle tre Autorità europee di vigilanza, EBA (banche), ESMA (mercati) ed EIOPA (assicurazioni), la redazione di una serie di atti tecnici (RTS e ITS), nonché linee guida e materiali di orientamento che ne facilitano l’applicazione pratica.

Le Autorità hanno pubblicato più tranche di “policy products”, comprendenti in totale circa dieci standard tecnici tra RTS e ITS a supporto del testo di livello 1. Il sistema è a due livelli: le Regulatory Technical Standards (RTS) definiscono i requisiti tecnici e operativi (es. gestione del rischio ICT, notifiche di incidenti, test di resilienza), mentre le Implementing Technical Standards (ITS) stabiliscono formati, moduli e procedure comuni per assicurare uniformità nell’attuazione. Le bozze predisposte dalle Autorità diventano vincolanti solo dopo l’adozione formale da parte della Commissione delle RTS tramite atti delegati, e delle ITS tramite atti di esecuzione.

In pratica, DORA non è un testo “chiuso”, bensì un quadro dinamico in cui alcuni documenti tecnici sono già stati adottati e altri sono stati aggiornati o restano “pending”. I destinatari del DORA dovranno quindi tenere monitorata la pubblicazione e lo stato di adozione dei relativi atti delegati/di esecuzione per restare conformi.

Tuttavia, questa struttura complessa si è rivelata fin da subito poco efficace e scarsamente flessibile, con tempi di emissione eccessivamente lunghi. Una prova eloquente di queste criticità è rappresentata dal fatto che, a meno di 15 giorni dalla piena efficacia del Regolamento 2022/2554, non era ancora stato pubblicato il Regolamento delegato sui subfornitori, documento considerato fondamentale per l’implementazione pratica della normativa.

Tra gli obblighi principali, rientrano:

1. Gestione del rischio ICT: con requisiti che impongono framework di rischio, monitoraggio, preparazione di piani di risposta agli incidenti e misure di continuità aziendali;
2. Reporting degli incidenti: stabilendo sistemi di monitoraggio automatizzato delle anomalie e classificazione degli incidenti;
3. Gestione del rischio di terze parti: con l’obbligo di una due diligence rigorosa, mantenimento di un registro delle informazioni, implementazione di processi per la concentrazione del rischio e supervisione dei contratti ICT.
4. Obblighi di governance: introduzione di requisiti di governance che coprono la struttura organizzativa, i sistemi di monitoraggio e controllo, obblighi di documentazione (politiche e procedure, registri e inventari), obblighi di formazione, obblighi di audit e controlli e obblighi di comunicazione.

Il Regolamento DORA aveva delineato una precisa scansione temporale, distinguendo chiaramente tra la sua entrata in vigore e la piena applicabilità. Adottato tra novembre e dicembre 2022, il DORA è entrato in vigore il 16 gennaio 2023. La sua piena applicabilità per tutte le entità finanziarie e i fornitori di servizi ICT è arrivata il 17 gennaio 2025, concludendo un periodo di transizione biennale.

Questo periodo di preparazione ha permesso lo sviluppo degli standard tecnici di “livello 2” (RTS/ITS) da parte delle Autorità di Vigilanza Europee (ESAs). Questi documenti dettagliati, essenziali per l’operatività del Regolamento “di livello 1”, erano stati pubblicati in due ondate principali:

• la prima il 17 gennaio 2024, focalizzata su quadri di gestione del rischio ICT, classificazione degli incidenti e registri informativi;
• la seconda il 17 luglio 2024, per la segnalazione degli incidenti, la supervisione dei fornitori critici di servizi ICT e i test di penetrazione guidati dalla minaccia (TLPT).

Tale pubblicazione a fasi aveva rappresentato una sfida per le entità, che avevano dovuto pianificare l’implementazione in un contesto normativo in evoluzione, richiedendo un approccio flessibile e proattivo. Di seguito una rappresentazione grafica delle tappe fondamentali:

In linea generale, la normativa richiede alle entità finanziarie di rispettare requisiti minimi (Art. 1, lett. a) tra cui:

• gestione dei rischi delle tecnologie dell’informazione e della comunicazione (TIC);
• segnalazione alle autorità competenti degli incidenti gravi connessi alle TIC e notifica, su base volontaria, delle minacce informatiche significative;
• segnalazione alle autorità competenti, da parte delle entità finanziarie di cui all’articolo 2, paragrafo 1, lettere da a) a d), di gravi incidenti operativi o relativi alla sicurezza dei pagamenti;
• test di resilienza operativa digitale;
• condivisione di dati e di informazioni in relazione alle vulnerabilità e alle minacce informatiche;
• misure relative alla solida gestione dei rischi informatici derivanti da terzi;

Tuttavia, gli obblighi non si esauriscono nell’ambito strettamente tecnico-informatico, ma si estendono a comprendere una serie di aspetti cruciali, tra cui:

• un robusto sistema di governance interna, fondamentale per definire responsabilità, processi decisionali e meccanismi di controllo;
• la chiara definizione di ruoli e responsabilità, unitamente a framework operativi strutturati per la gestione della sicurezza;
• la pianificazione della continuità operativa e del recupero in caso di disastro (Business Continuity & Disaster Recovery);
• l’implementazione di misure preventive e la capacità di rilevamento tempestivo di anomalie o attività sospette, attraverso sistemi di monitoraggio proattivo;
• l’allocazione di risorse dedicate, intese come capitale umano specializzato, tecnologie avanzate e budget adeguati;
• piani di comunicazione efficaci sia interni che esterni, per la gestione di crisi e l’informazione delle parti interessate.

Gli obblighi elencati richiedono un approccio olistico che permea ogni livello dell’organizzazione aziendale, dalla gestione delle risorse umane (HR) alla definizione delle strategie complessive. Questo sottolinea come gli investimenti in sicurezza informatica e cybersecurity non siano più una spesa discrezionale. Sono divenuti ormai indispensabili per la resilienza e la competitività di ogni entità, con particolare enfasi sulle organizzazioni operanti nel settore finanziario, data la loro natura critica e la sensibilità dei dati gestiti.

Tuttavia, accanto a tale approccio olistico, il Regolamento entra nel dettaglio di specifici e rilevanti obblighi legati alla gestione dell’Information and Communications Technology, imprescindibili per garantire la resilienza operativa digitale. Di seguito un riassunto degli obblighi principali:

Una delle particolarità del DORA è il Capo IV del Regolamento che stabilisce un quadro chiaro e obbligatorio per la conduzione di test volti a valutare e rafforzare la resilienza operativa digitale delle entità finanziarie. L’obiettivo principale è identificare proattivamente vulnerabilità, carenze e lacune, per poi attuare tempestivamente misure correttive.

Il programma di test deve essere solido, esaustivo e – come succede generalmente nelle normative europee – basato sul rischio. Questo significa che deve tenere conto delle dimensioni, del profilo di rischio e della complessità dei servizi dell’entità. Il DORA prevede due categorie principali di test: un test di base (Art. 25) e dei test avanzati di penetrazione guidati dalla minaccia (TLPT – Threat-Led Penetration Testing) (Art. 26).

• Il primo richiede a tutte le entità finanziarie (con le dovute eccezioni per le microimprese e altre categorie minori, come specificato nell’Articolo 16) a condurre test di base annuali. Questi test includono una vasta gamma di attività, tra cui valutazioni delle vulnerabilità, scansioni di sicurezza, analisi delle configurazioni, test di performance, test basati su scenari e test di penetrazione più semplici.
• La seconda tipologia di test è obbligatoria per le entità finanziarie di maggiore importanza o sistemiche e ha cadenza almeno triennale. Cosa richiedono? I TLPT sono simulazioni di attacchi informatici altamente realistici e sofisticati, eseguiti da “red teams” esterni e accreditati, che emulano tattiche di attori di minaccia reali. Un elemento distintivo è l’obbligo per i fornitori terzi critici di servizi ICT di partecipare attivamente a questi TLPT, garantendo che anche la supply chain esterna sia adeguatamente testata.

Al termine di tutti i test, è fondamentale documentare le risultanze, elaborare piani correttivi dettagliati e assicurare l’implementazione delle misure necessarie per migliorare continuamente la resilienza. È importante ribadire che le microimprese e le altre entità che rientrano nel quadro semplificato dell’Articolo 16 sono esonerate specificamente dall’obbligo di condurre i TLPT, pur rimanendo vincolate all’esecuzione di test di base proporzionati alla loro complessità e profilo di rischio.

Tuttavia, il Regolamento adotta un approccio basato sulla proporzionalità, riconoscendo che non tutte le entità finanziarie hanno le medesime risorse o gli stessi profili di rischio. Per questo, l’articolo 16 introduce un quadro semplificato per la gestione dei rischi ICT, esonerando alcune categorie di entità dall’applicazione degli obblighi più dettagliati contenuti negli articoli da 5 a 15.

Nello specifico, questo regime semplificato si applica a:

• imprese di investimento piccole e non interconnesse;
• istituti di pagamento esentati a norma della direttiva (UE) 2015/2366;
• istituti esentati a norma della direttiva 2013/36/UE (se gli Stati membri hanno applicato l’opzione di esclusione);
• istituti di moneta elettronica esentati a norma della direttiva 2009/110/CE;
• piccoli enti pensionistici aziendali o professionali.

Queste entità, che spesso rientrano nella definizione di microimprese (come da art. 3, punto 60, del Regolamento DORA), sono comunque tenute a rispettare un set di obblighi essenziali, volti a garantire un adeguato livello di resilienza operativa digitale senza imporre un onere normativo sproporzionato.

Gli obblighi ICT più importanti che si applicano a queste entità includono:

• L’istituzione e il mantenimento di un quadro solido e documentato per la gestione dei rischi ICT, comprensivo di meccanismi e misure per una gestione efficiente e organica del rischio, anche per la protezione delle infrastrutture fisiche.
• Il monitoraggio costante della sicurezza e del funzionamento di tutti i sistemi ICT.
• L’adozione di sistemi, protocolli e strumenti ICT robusti, resilienti e aggiornati per minimizzare l’impatto dei rischi e proteggere disponibilità, autenticità, integrità e riservatezza dei dati.
• La capacità di individuare e rilevare tempestivamente le fonti di rischio e le anomalie dei sistemi, trattando con rapidità gli incidenti ICT.
• L’identificazione delle principali dipendenze da fornitori terzi di servizi ICT.
• La pianificazione della continuità operativa ICT per le funzioni essenziali o importanti, con misure di back-up e ripristino.
• L’esecuzione di test periodici sui piani di continuità e sulle misure implementate, verificandone l’efficacia.

Per le microimprese e le entità soggette a questo quadro semplificato, il Regolamento prevede esplicitamente l’esenzione dall’obbligo di svolgere i test avanzati di penetrazione guidati dalla minaccia (TLPT), un requisito invece vincolante per le entità di maggiori dimensioni e complessità.

Compliance Legale al DORA per il settore finanziario

Il DORA si inserisce in un quadro normativo più ampio e strategico dell’UE, noto come Digital Finance Package. Questo pacchetto, che include anche la Direttiva NIS 2 e la Direttiva CER (Critical Entities Resilience), mira a rafforzare la sicurezza informatica e la resilienza delle infrastrutture critiche a livello continentale.

La conformità non può essere improvvisata, e se le entità finanziarie sono da tempo abituate al costante aggiornamento della normativa e a regola specifiche e stringenti, non è sempre il caso per i fornitori di servizi ICT, che invece devono attenzionare questa normativa con particolare scrupolo, se fanno parte della supply chain in ambito finanziario, assicurativo o crypto.

Perché scegliere BSD Legal per la tua compliance in ottica DORA?

La nostra esperienza consolidata nella protezione dei dati e nella sicurezza informatica, sviluppata attraverso progetti GDPR e implementazioni ISO/IEC 27001:2022, si estende naturalmente al framework DORA. Questa continuità ci consente di offrire un approccio integrato alla resilienza digitale, valorizzando le competenze già acquisite nel settore della compliance normativa.

Copertura completa delle competenze tecniche: l’implementazione del DORA richiede un approccio multidisciplinare che va oltre gli aspetti puramente legali, includendo competenze di system integration, risk management ICT e governance digitale. La nostra rete di professionisti garantisce una copertura completa di tutte le aree di competenza necessarie per un’implementazione efficace del regolamento.

Metodologia di assessment strutturata: il nostro approccio parte da una Gap Analysis approfondita, sviluppata in conformità agli standard tecnici di implementazione (RTS/ITS) più recenti. Questa valutazione preliminare fornisce una mappatura dettagliata dello stato attuale di conformità dell’organizzazione, identificando priorità di intervento e definendo una roadmap personalizzata per l’adeguamento.

Accompagnamento nel percorso di conformità: offriamo supporto specialistico per l’intero percorso di adeguamento al DORA, dalla gestione dei rischi ICT alla supervisione della catena di fornitura tecnologica. Il nostro team multidisciplinare di esperti è disponibile per consulenze personalizzate e per approfondimenti specifici sui requisiti normativi.

Per maggiori informazioni sui nostri servizi di consulenza DORA, è possibile consultare la sezione dedicata del nostro sito web o contattare direttamente il nostro team specializzato.