Il regolamento DORA mira a garantire una maggiore resilienza del settore finanziario disciplinando la gestione del rischio delle tecnologie e dei servizi ICT di supporto.
Cos’è il regolamento DORA: sintesi e obiettivi
Nel panorama in rapida evoluzione della sicurezza informatica, il regolamento DORA (Digital Operational Resilience Act) sta causando una rivoluzione nel settore finanziario europeo. Questo nuovo quadro normativo mira a rafforzare la resilienza operativa digitale delle istituzioni finanziarie, affrontando le crescenti minacce cibernetiche e i rischi tecnologici. L’entrata in vigore del regolamento DORA segna un punto di svolta significativo, imponendo nuovi standard e pratiche per garantire la stabilità e la sicurezza del sistema finanziario nell’era digitale.
In particolare, l’articolo 4 del regolamento DORA introduce esplicitamente il principio di proporzionalità. Questo principio stabilisce che le misure di resilienza operativa digitale devono essere commisurate al profilo di rischio, alle dimensioni, alla natura, alla portata e alla complessità delle attività di ciascuna entità finanziaria.
Obiettivi del regolamento DORA
Gli obiettivi principali del regolamento DORA sono:
- Standardizzare i requisiti di resilienza operativa per il settore finanziario dell’UE
- Rafforzare la sicurezza informatica e la resilienza operativa delle entità finanziarie dell’UE.
- Stabilire un quadro completo per resistere e riprendersi da gravi interruzioni operative, inclusi gli attacchi informatici.
- Garantire che le istituzioni finanziarie comprendano l’intera infrastruttura IT, identificando potenziali vulnerabilità e rischi.
Il DORA mira a consentire al settore finanziario di identificare, proteggere, rilevare, reagire e recuperare meglio gli incidenti legati ai servizi ICT che potrebbero minacciare l’erogazione di servizi finanziari critici. L’obiettivo è andare oltre le semplici misure difensive, sostenendo un solido quadro di resilienza che garantisca la continuità e la qualità dei servizi finanziari.
Regolamento DORA: entrata in vigore
Il Digital Operational Resilience Act (DORA) è un regolamento dell’Unione Europea entrato formalmente in vigore il 16 gennaio 2023. Questo nuovo regolamento si concentra sulla capacità delle organizzazioni finanziarie di garantire la continuità operativa anche in caso di incidenti o violazioni dell’infrastruttura IT, e copre un’ampia gamma di entità finanziarie, tra cui enti creditizi, istituti di pagamento, fornitori di servizi per le cripto-attività e molti altri.
Il regolamento DORA impone alle imprese finanziarie e ai loro fornitori critici di servizi ICT di rispettare una serie di requisiti di sicurezza informatica e di resilienza entro il 17 gennaio 2025.
Regolamento DORA: a chi si applica
Il regolamento DORA ha un campo di applicazione ampio, che copre una vasta gamma di entità e servizi finanziari dell’Unione Europea. Questo quadro normativo mira a rafforzare la resilienza operativa digitale del settore finanziario, imponendo requisiti specifici a diverse categorie di operatori.
I soggetti del regolamento DORA: banche, assicurazioni e altri istituti
Il DORA si applica a una varietà di istituzioni finanziarie, sia tradizionali che emergenti:
- Istituzioni finanziarie tradizionali:
- Istituti di credito (banche)
- Istituti di pagamento
- Istituti di moneta elettronica
- Imprese di investimento
- Società di assicurazione e riassicurazione
- Agenzie di rating del credito
- Entità finanziarie emergenti:
- Fornitori di servizi di cripto-asset (CASP)
- Fornitori di servizi di crowdfunding
- Gestori di fondi di investimento alternativi (GEFIA)
- Società di gestione di OICVM
Queste entità sono responsabili di servizi finanziari critici e detengono grandi quantità di dati sensibili dei clienti, rendendo essenziale la loro conformità ai requisiti di resilienza operativa digitale.
Fornitori di servizi ICT critici
Il regolamento DORA riconosce l’importanza dei fornitori di servizi ICT per il settore finanziario. Le Autorità europee di vigilanza (ESAs) hanno il compito di designare i fornitori terzi critici di servizi ICT, utilizzando un approccio di valutazione in due fasi:
- Valutazione iniziale basata su criteri quantitativi
- Ulteriore approfondimento qualitativo
I fornitori designati come critici saranno soggetti a una sorveglianza specifica, con un’autorità di vigilanza capofila assegnata a ciascuno di essi. Questo processo di designazione considera l’impatto sistemico potenziale sul settore finanziario dell’Unione, valutando l’importanza e l’interconnessione dei fornitori, nonché la criticità dei servizi ICT forniti.
Attività escluse
Il regolamento DORA non si applica a determinate categorie di cripto-attività, in particolare:
- Cripto-attività uniche e non fungibili, come l’arte digitale e gli oggetti da collezione
- Cripto-attività che rappresentano servizi o beni fisici unici e non fungibili, come le garanzie di prodotto o gli immobili
Queste esclusioni riflettono la natura specifica di tali asset e la loro limitata rilevanza per la resilienza operativa digitale del settore finanziario nel suo complesso.
Regolamento DORA: testo e principali novità introdotte
Il regolamento DORA introduce importanti innovazioni nel settore finanziario europeo. Queste novità si concentrano su quattro aree principali: la gestione del rischio ICT, la segnalazione degli incidenti, i test di resilienza digitale e la gestione dei fornitori terzi.
Il testo integrale del regolamento DORA su EUR-Lex può essere consultato a questo link.
Gestione del rischio ICT
Il DORA impone alle entità finanziarie di sviluppare un quadro completo per la gestione dei rischi informatici. Questo include:
- Mappatura dei sistemi ICT
- Identificazione e classificazione di funzioni e asset critici
- Documentazione delle dipendenze tra risorse, sistemi, processi e provider
- Conduzione di valutazioni continue del rischio sui sistemi ICT
- Documentazione e classificazione delle minacce informatiche
- Implementazione di misure per mitigare i rischi identificati
Le entità devono inoltre condurre analisi dell’impatto aziendale per valutare come scenari specifici e interruzioni gravi possano influire sull’attività. Questi risultati devono essere utilizzati per stabilire i livelli di tolleranza al rischio e aggiornare la progettazione dell’infrastruttura ICT.
Segnalazione degli incidenti
- Il regolamento DORA ottimizza i processi di segnalazione degli incidenti ICT, introducendo flussi e criteri di classificazione omogenei a livello europeo. Le entità finanziarie devono:
- Stabilire un processo di gestione per monitorare e registrare gli incidenti ICT
- Classificare gli incidenti e determinarne l’impatto
- Segnalare gli incidenti gravi alle autorità competenti
Per gli incidenti critici, sono richiesti tre tipi di rapporti: un rapporto iniziale di notifica, un rapporto intermedio sui progressi e un rapporto finale che analizza le cause principali dell’incidente.
Test di resilienza digitale
Il DORA impone alle entità finanziarie di testare regolarmente i propri sistemi ICT per valutarne la robustezza e identificare le vulnerabilità. Questo include:
- Esecuzione annuale di test di base, come valutazioni delle vulnerabilità e test basati su scenari
- Test di penetrazione basati su minacce (TLPT) ogni tre anni per le entità finanziarie critiche
- Partecipazione dei fornitori ICT critici ai test di penetrazione
I risultati di questi test e i piani per affrontare le debolezze riscontrate devono essere comunicati alle autorità competenti e da esse convalidati.
Gestione dei fornitori terzi
Il regolamento DORA si applica anche ai fornitori ICT che servono il settore finanziario. Le entità finanziarie devono:
- Negoziare accordi specifici con i fornitori ICT per funzioni critiche e importanti
- Includere nei contratti strategie di uscita, audit e obiettivi prestazionali
- Evitare contratti con fornitori ICT che non soddisfano i requisiti del DORA
Le autorità competenti avranno il potere di sospendere o risolvere i contratti non conformi. Inoltre, i fornitori di servizi ICT critici saranno sottoposti alla supervisione diretta delle autorità europee di vigilanza competenti.
NIS2 e DORA: una panoramica sul quadro normativo europeo
Il regolamento DORA si inserisce in un più ampio quadro di produzione normativa europea, che comprende anche la direttiva NIS 2 e la Direttiva CER. Queste tre normative formano un framework europeo volto a rafforzare la capacità resiliente delle imprese europee nel contesto cyber.
Con queste iniziative, è chiaro l’intento dell’Unione Europea di creare un ambiente digitale sicuro e resiliente, promuovendo una gestione coerente e integrata del rischio informatico. Questo include l’adozione di standard di sicurezza uniformi, la facilitazione della cooperazione transfrontaliera e la condivisione tempestiva delle informazioni su minacce e incidenti.
Inoltre, promuovere una corretta igiene digitale e la capacità di risposta e recupero delle organizzazioni garantisce che siano preparate ad affrontare le crescenti minacce cyber. In ultima analisi, queste normative non solo aumentano la protezione contro gli attacchi informatici, ma favoriscono anche la fiducia nelle tecnologie digitali, stimolando l’innovazione e la crescita economica sostenibile in tutta l’Unione Europea.
LEGGI ANCHE: Piattaforma ACN e NIS 2: tutto quello che devi sapere
