Che cos’è il Regolamento DORA? Spiegazione della normativa UE sulla resilienza operativa digitale

Il regolamento DORA — il Digital Operational Resilience Act — è la normativa UE sulla resilienza informatica del settore finanziario. Indica alle istituzioni finanziarie come gestire la cybersecurity e il rischio IT. In parole semplici, ogni banca, società di pagamenti, impresa di investimento, assicuratore e piattaforma di scambio di criptovalute nell’UE deve poter continuare a operare durante un attacco hacker, un’interruzione del cloud o un aggiornamento software difettoso e deve monitorare i fornitori IT da cui dipende.

Questa guida è pensata per chi non ha una formazione legale o IT. Spiega a chi si applica DORA, cosa richiede, entro quando deve essere segnalato un incidente, in cosa differisce da NIS2 e GDPR, quali sono le sanzioni e cosa significano i requisiti DORA per le aziende fintech e crypto; termina con una breve checklist di conformità a DORA.

Che cos’è DORA in parole semplici?

DORA — talvolta scritto EU DORA o DORA Act — è il Regolamento (UE) 2022/2554 sulla resilienza operativa digitale per il settore finanziario. La “resilienza operativa digitale” può sembrare complessa, ma significa una cosa: la tua azienda può continuare a servire i clienti quando la sua tecnologia IT presenta problemi? Se entra un hacker, un aggiornamento non riesce o un fornitore va offline, i pagamenti continuano a essere eseguiti, i clienti possono ancora accedere, i loro dati sono al sicuro? DORA trasforma questa domanda da buona pratica in un obbligo legale.

Prima di DORA, ogni Paese UE e ogni comparto del settore finanziario aveva proprie regole di sicurezza IT e propri moduli per gli incidenti. DORA sostituisce questo mosaico con un unico corpus di regole per l’intero settore finanziario dell’UE. Poiché è un regolamento e non una direttiva, si applica direttamente e allo stesso modo in ogni Stato membro, senza che serva una legge nazionale per attivarlo.

Il termine per conformarsi a DORA è già trascorso. Il periodo di preparazione di due anni successivo all’adozione è terminato, tutti gli obblighi DORA sono in vigore e le autorità nazionali di vigilanza finanziaria ne verificano il rispetto. Il quadro DORA poggia su cinque pilastri, illustrati nel resto di questa guida:

• gestione del rischio ICT — un piano scritto per il rischio IT, di competenza dell’organo di gestione (il consiglio di amministrazione);
• gestione e segnalazione degli incidenti connessi alle ICT — individuare, registrare e comunicare gli incidenti IT all’autorità di vigilanza;
• test di resilienza operativa digitale — dalle normali scansioni delle vulnerabilità alle simulazioni complete di attacchi “red team”;
• gestione del rischio ICT di terze parti — controllare i fornitori IT da cui dipende l’impresa, mediante un registro di tutti i fornitori;
• condivisione delle informazioni — scambio volontario di informazioni sulle minacce tra entità finanziarie.

Spiegazione dei termini chiave di DORA

Alcuni termini definiti ricorrono in ogni articolo del regolamento DORA, in ogni modulo di vigilanza e in ogni contratto con i fornitori. Una volta compresi, il resto risulta molto più facile da leggere.

A chi si applica DORA?

L’ambito di applicazione di DORA è definito dall’articolo 2, che elenca venti categorie di entità finanziarie. Se un’istituzione finanziaria detiene una di queste autorizzazioni in qualsiasi Paese dell’UE, è soggetta al regolamento — indipendentemente dalle sue dimensioni — salvo un’esenzione specifica. I principali gruppi sono indicati di seguito.

E le stesse aziende IT? Piattaforme cloud, data center, fornitori di software e società di sicurezza gestita non sono entità finanziarie, ma DORA le raggiunge in due modi. Primo, ogni entità finanziaria deve inserire nei contratti con tali soggetti clausole conformi a DORA; un fornitore che rifiuta rischia quindi di perdere il cliente. Secondo, i maggiori fornitori — grandi operatori cloud, data center, telecomunicazioni e fornitori di software finanziario — sono designati come fornitori terzi critici di servizi ICT e vigilati direttamente a livello UE; l’elenco viene aggiornato ogni anno.

DORA si applica alle aziende extra-UE? Direttamente, solo alle imprese autorizzate nell’UE, incluse le filiali e succursali UE di gruppi britannici, statunitensi o asiatici. Indirettamente, raggiunge ogni fornitore estero che serve un’impresa finanziaria UE, poiché le clausole contrattuali obbligatorie si applicano ovunque abbia sede il fornitore. Un prestatore extra-UE designato come critico deve costituire una controllata nell’UE entro dodici mesi.

Infine, DORA è proporzionato: gli obblighi aumentano con le dimensioni e la complessità dell’istituzione finanziaria. Le microimprese — meno di dieci dipendenti e meno di due milioni di euro di fatturato o totale di bilancio — non sono soggette a diversi requisiti, inclusi i test di penetrazione guidati dalla minaccia e alcuni obblighi di governance e segnalazione. Un gruppo definito di imprese minori, come le imprese di investimento piccole e non interconnesse e alcuni istituti di pagamento e di moneta elettronica esentati, segue un quadro semplificato di gestione del rischio ICT ai sensi dell’articolo 16. Essere piccoli non esclude un’impresa autorizzata da DORA; ne riduce solo gli oneri.

Requisiti DORA: spiegazione dei cinque pilastri

I requisiti di conformità a DORA rientrano in cinque gruppi. Insieme formano un unico ciclo — prevenire, rilevare, rispondere, ripristinare, apprendere — e l’autorità di regolamentazione si aspetta prove per ogni fase.

Quadro di gestione del rischio ICT (articoli 5–16)

In parole semplici: conoscere le proprie risorse IT, sapere cosa potrebbe andare storto e disporre di un piano scritto per proteggerle e ripristinarle. Il quadro deve elencare le risorse e le dipendenze IT, indicare come l’impresa previene e rileva i problemi, come risponde e ripristina le attività e come apprende dagli incidenti. Deve essere riesaminato almeno una volta l’anno e dopo ogni incidente grave. L’organo di gestione lo approva, decide quale livello di rischio sia accettabile e mette a disposizione il budget. Le funzioni critiche devono essere mappate, i backup devono essere effettivamente testati e deve esistere un piano di continuità IT affiancato al piano generale di continuità aziendale.

Segnalazione degli incidenti: scadenze di 4 ore, 72 ore e un mese

Ogni incidente connesso alle ICT deve essere registrato e classificato applicando gli stessi criteri in tutta l’UE: quanti clienti sono stati coinvolti, quanto è stata danneggiata la reputazione dell’impresa, quanto è durato, quanto si è diffuso, quali dati sono andati persi, quanto era critico il servizio e quale importo era in gioco. Un incidente che supera le soglie è “grave” e deve essere segnalato all’autorità di vigilanza in tre fasi: una prima notifica entro quattro ore dalla decisione che è grave, e comunque non oltre 24 ore da quando l’impresa ne è venuta a conoscenza; una relazione intermedia entro 72 ore dalla prima notifica; e una relazione finale entro un mese da quella intermedia. I clienti il cui denaro o dati sono coinvolti devono essere informati senza ritardo. Le gravi minacce informatiche che non si sono trasformate in incidenti possono essere segnalate volontariamente.

Test di resilienza e test di penetrazione guidati dalla minaccia (TLPT)

I test di resilienza operativa digitale costituiscono un programma annuale: ogni sistema che supporta una funzione critica o importante deve essere sottoposto a scansioni delle vulnerabilità, analisi delle lacune, revisioni del codice sorgente, test di scenario, test delle prestazioni e test di penetrazione. Le imprese considerate significative dall’autorità di vigilanza — per le dimensioni o l’impatto di un loro fallimento — devono inoltre effettuare test di penetrazione guidati dalla minaccia almeno ogni tre anni. Si tratta di un attacco controllato a sistemi in produzione da parte di hacker etici qualificati, secondo un quadro riconosciuto. Microimprese e imprese soggette al quadro semplificato sono esenti dal TLPT e testano secondo un calendario più leggero basato sul rischio.

Rischio di terze parti, esternalizzazione e registro delle informazioni

Esternalizzare l’IT — a un fornitore cloud o a chiunque altro — non significa esternalizzare la responsabilità. La gestione del rischio ICT di terze parti inizia con una strategia scritta per il rischio dei fornitori; l’impresa deve verificare i fornitori prima della firma, evitare una dipendenza eccessiva da un singolo soggetto e mantenere un registro delle informazioni — un elenco strutturato di ogni contratto IT — da inviare all’autorità di vigilanza almeno una volta l’anno. I contratti devono includere un insieme fisso di clausole: quale sia il servizio e il livello promesso, dove siano conservati i dati, il diritto di ispezione e audit, il dovere di assistenza durante gli incidenti, le modalità di risoluzione del contratto e come l’impresa passerebbe a un altro fornitore se necessario. L’impresa resta pienamente responsabile anche quando il fornitore è critico e vigilato a livello UE.

Condivisione di informazioni sulle minacce informatiche

Le entità finanziarie possono scambiare informazioni sulle minacce — schemi di attacco, indicatori di compromissione — all’interno di gruppi fidati. Nessuno è obbligato ad aderire, ma un’impresa che partecipa deve informare la propria autorità di vigilanza e lo scambio deve rispettare le norme di riservatezza e protezione dei dati.

DORA, NIS2 e GDPR: come si integrano le norme

Tre normative UE si sovrappongono in materia di resilienza informatica e segnalazione degli incidenti, e molte istituzioni finanziarie sono soggette a più di una. La tabella mostra chi copre ciascuna e come differiscono le scadenze di segnalazione.

In pratica, un’impresa finanziaria segnala gli incidenti IT alla propria autorità di vigilanza finanziaria, non all’agenzia nazionale per la cybersecurity. Il GDPR si applica parallelamente: se un attacco informatico espone dati dei clienti, l’impresa effettua due segnalazioni — una ai sensi di DORA all’autorità di vigilanza finanziaria e una ai sensi del GDPR all’autorità per la protezione dei dati — seguendo due scadenze distinte.

DORA e crypto: cosa significa per CASP ed emittenti di token

Per le imprese crypto, il regolamento DORA e il quadro MiCA operano insieme. MiCA stabilisce chi può fornire servizi per le cripto-attività o emettere token nell’UE; DORA stabilisce come deve essere gestita la tecnologia alla base di tali servizi. Un prestatore di servizi per le cripto-attività autorizzato ai sensi del MiCA è un’entità finanziaria ai sensi di DORA dal momento del rilascio dell’autorizzazione, così come ogni emittente di token collegati ad attività. Lo stesso MiCA rinvia a DORA per i requisiti IT e di sicurezza, pertanto ogni autorità di vigilanza legge le due normative congiuntamente.

In pratica, la resilienza viene verificata già durante il processo di autorizzazione, non solo in seguito. Quando un’autorità di vigilanza esamina una domanda CASP, il quadro di rischio IT, il piano di continuità operativa, le procedure per gli incidenti e gli accordi di esternalizzazione fanno parte del fascicolo, e DORA è il parametro in base al quale vengono valutati. Una piattaforma di scambio crypto o un custode non può ottenere — né mantenere — l’autorizzazione con un piano di resilienza esistente solo sulla carta.

Le imprese crypto presentano anche dipendenze IT che una banca non ha: custodia delle chiavi private, fornitori di nodi blockchain, infrastrutture di wallet di terze parti, componenti di smart contract e mercati attivi ventiquattr’ore su ventiquattro senza finestre di manutenzione. Ai sensi di DORA, ciascuno di questi elementi è una risorsa IT o un rapporto con un fornitore da elencare, classificare, disciplinare contrattualmente e testare. È anche così che i fornitori non autorizzati di hosting, gestione delle chiavi o infrastruttura blockchain finiscono per conformarsi a DORA: tramite i contratti con i loro clienti.

Sanzioni, multe e conseguenze DORA per la non conformità

Non esiste un’unica tabella di sanzioni DORA valida in tutta l’UE. L’articolo 50 dispone invece che ogni Stato membro stabilisca sanzioni “effettive, proporzionate e dissuasive” e attribuisce alle autorità di vigilanza il potere di richiedere documenti, effettuare ispezioni, ordinare correttivi e pubblicare avvertimenti. L’autorità competente nazionale di ogni Stato membro le applica in base alla normativa di autorizzazione del settore, quindi una banca, una società di pagamenti e una piattaforma di scambio crypto affrontano ciascuna il sistema sanzionatorio del proprio settore.

Potresti aver visto una “multa DORA” pari all’uno per cento del fatturato medio giornaliero mondiale. La cifra è reale, ma riguarda un altro soggetto: è la penalità giornaliera che le Autorità europee di vigilanza possono imporre a un fornitore terzo critico di servizi ICT che ignori una decisione di vigilanza, per un massimo di sei mesi. Non è una multa per banche o imprese crypto. Nemmeno il “2% del fatturato annuo”, talvolta citato insieme a essa, è previsto da DORA: deriva dalla NIS2, in cui è il limite minimo che i Paesi devono stabilire per i soggetti essenziali. Per un’impresa finanziaria, le conseguenze realistiche sono:

• misure di vigilanza — ordini di porre rimedio, limiti alle attività e, nei casi gravi, sospensione o perdita dell’autorizzazione;
• sanzioni amministrative previste dalla normativa nazionale del settore;
• responsabilità personale dei membri del consiglio di amministrazione, poiché DORA attribuisce al consiglio la responsabilità del quadro IT;
• responsabilità penale nei Paesi che hanno scelto di introdurla, come consentito dall’articolo 52;
• danno reputazionale e commerciale — perdita di clienti, partner bancari e investitori.

Chi vigila su DORA? Autorità nazionali e UE

La vigilanza quotidiana su DORA resta in capo all’autorità che già autorizza l’impresa — la banca centrale o l’autorità di vigilanza finanziaria dello Stato membro d’origine. Tale autorità competente riceve le segnalazioni di incidenti e i registri delle informazioni, decide chi debba svolgere il TLPT e verifica il quadro di rischio IT nell’ambito della vigilanza ordinaria. La maggior parte pubblica sui propri siti linee guida, modelli e scadenze DORA.

A livello UE, tre organismi condividono il lavoro: la European Securities and Markets Authority, l’European Banking Authority e EIOPA, l’autorità per le assicurazioni e le pensioni. Essi redigono le norme tecniche che ne definiscono i dettagli e designano congiuntamente i fornitori terzi critici di servizi ICT, ciascuno dei quali è poi vigilato da uno dei tre in qualità di Lead Overseer.

Checklist di conformità DORA: come conformarsi

Sia che un’impresa richieda un’autorizzazione sia che sia già vigilata, lo stesso insieme di documenti dimostra la conformità a DORA durante un audit. Un punto di partenza pratico per un piano di attuazione DORA o un’analisi delle lacune:

• Conferma il tuo ambito: in quale categoria dell’articolo 2 rientri e se si applicano il quadro semplificato o un’esenzione per microimpresa.
• Mappa ogni risorsa IT, sistema e flusso di dati che supporti una funzione critica o importante.
• Adotta una politica di gestione del rischio ICT approvata dal consiglio di amministrazione, con responsabili nominati e riesame annuale.
• Istituisci una classificazione degli incidenti, un registro degli incidenti e modelli di segnalazione conformi alle scadenze di legge.
• Crea un calendario annuale dei test e verifica se l’autorità di vigilanza ti ha incluso nell’elenco TLPT.
• Compila il registro delle informazioni su tutti i fornitori IT e aggiorna i loro contratti con le clausole obbligatorie.
• Verifica il rischio di concentrazione e redigi piani di uscita per i fornitori che supportano funzioni critiche.
• Testa almeno una volta l’anno backup, ripristino e piano di continuità IT.
• Forma il consiglio di amministrazione e conserva la prova dell’avvenuta formazione.

Eesti Firma assiste aziende fintech e crypto sugli aspetti legali di DORA: individua gli obblighi applicabili, allinea il quadro IT ai requisiti di autorizzazione MiCA, esamina i contratti con i fornitori e prepara i documenti che un’autorità di vigilanza si aspetta di vedere. Contattaci per discutere come il regolamento si applica alla tua attività.

Richiedi una consulenza

Domande frequenti su DORA