DORA nel 2026: la resilienza digitale non è più opzionale per gli operatori finanziari

Il regolamento (UE) 2022/2554, noto come DORA, la legge sulla resilienza operativa digitale, è entrato in vigore il 16 gennaio 2023 e si applica in tutta l'Unione europea dal 17 gennaio 2025. Armonizza le regole di gestione del rischio ICT per 21 categorie di entità finanziarie, da banche e assicuratori a imprese di investimento, istituti di pagamento e fornitori di servizi su cripto-attività.

DORA non si aggiunge alla regolamentazione finanziaria esistente. Sostituisce un insieme frammentato di regole ICT nazionali e settoriali con un quadro unico, ed estende per la prima volta una supervisione diretta ai fornitori tecnologici da cui dipendono gli operatori finanziari.

Cinque requisiti, un unico organo responsabile

Il regolamento si basa su cinque pilastri: un quadro documentato di gestione del rischio ICT, la classificazione e la segnalazione degli incidenti, test regolari di resilienza digitale, la supervisione del rischio dei fornitori ICT terzi, e la condivisione volontaria di informazioni sulle minacce informatiche. Tutti e cinque ricadono sotto un'unica regola di responsabilità: l'organo di gestione definisce, approva e resta responsabile del quadro di rischio ICT. Non può essere delegato a un CIO o a un fornitore esterno.

• Quadro di gestione del rischio ICT: strategia, politiche, procedure e strumenti documentati per identificare, proteggere, rilevare, rispondere e recuperare da incidenti legati alle ICT, riesaminati almeno una volta all'anno.
• Classificazione e segnalazione degli incidenti: gli incidenti gravi legati alle ICT devono essere segnalati all'autorità nazionale competente, tramite una notifica iniziale, un rapporto intermedio e un rapporto finale, secondo un calendario fissato dalle norme tecniche regolamentari.
• Test di resilienza operativa digitale: un programma di test di base ogni anno per la maggior parte delle entità, e test di penetrazione basati sulla minaccia (TLPT) ogni tre anni per le entità identificate come critiche per il sistema finanziario.
• Gestione del rischio dei fornitori ICT terzi: un registro completo di informazioni su tutti gli accordi con fornitori ICT terzi, clausole contrattuali che coprano strategie di uscita e diritti di audit, e supervisione diretta dell'UE sui fornitori designati come critici.
• Condivisione delle informazioni: accordi volontari tra operatori finanziari per scambiare informazioni sulle minacce informatiche, incoraggiati ma non obbligatori.

L'esposizione che la maggior parte delle entità sottovaluta

Due ambiti concentrano finora la maggior parte dei rilievi dei supervisori. Il primo è il registro dei fornitori ICT terzi: molte entità sanno elencare i loro principali fornitori cloud e software, ma faticano a mappare i subappaltatori situati diversi livelli più in basso, cosa che il regolamento comunque richiede. Il secondo è la copertura contrattuale: le clausole di uscita, i diritti di audit e gli impegni di livello di servizio negoziati anni fa raramente soddisfano i requisiti specifici di DORA, e rinegoziarli con grandi fornitori richiede un tempo che la maggior parte delle entità non aveva previsto.

Perché questo riguarda anche chi è fuori dal settore finanziario

DORA arriva più lontano dei bilanci. Fornitori cloud, produttori di software bancario core e società di infrastrutture di pagamento che servono clienti finanziari sono sempre più chiamati a dimostrare l'allineamento a DORA come condizione contrattuale, siano essi stessi un'entità finanziaria o meno. Una fintech o un fornitore di software che non può rispondere a un questionario di due diligence DORA perde contratti, non perché è fuori perimetro, ma perché il suo cliente non lo è.

“Un quadro documentato di gestione del rischio ICT non è un esercizio di stile. È ciò che una controparte finanziaria, un revisore o un regolatore si aspetta di vedere in giorni, non in settimane.”

— Aegryn

Aegryn Advisory affianca gli operatori finanziari e i loro fornitori tecnologici nella documentazione della gestione del rischio ICT, nella strutturazione dei registri dei fornitori terzi e nella preparazione delle evidenze dei test di resilienza, certificate nell'ambito della dimensione Sicurezza & Sovranità del CIFSO, prima del momento in cui un supervisore, un investitore o un grande cliente ne chiede la prova.