La guida completa al Regolamento UE 2022/2554 sulla resilienza operativa digitale del settore finanziario.
Il Regolamento DORA (Digital Operational Resilience Act) è il Regolamento UE 2022/2554 che stabilisce requisiti uniformi per la resilienza operativa digitale del settore finanziario europeo.
Direttamente applicabile in tutti gli Stati membri dal 17 gennaio 2025, si applica a banche, assicurazioni, istituti di pagamento, gestori di investimenti, crypto asset service provider e ai loro fornitori ICT critici. Si articola in cinque pilastri: gestione del rischio ICT, notifica degli incidenti, test di resilienza, gestione delle terze parti ICT e condivisione delle informazioni.
Sostanzialmente, il Digital Operational Resilience Act si inserisce all’interno del più ampio pacchetto europeo sulla finanza digitale adottato per rafforzare la sicurezza informatica del mercato unico. La norma armonizza le regole frammentate precedentemente applicate nei singoli Stati membri, creando un quadro giuridico unico e prescrittivo per la gestione del rischio tecnologico. A differenza delle direttive comunitarie che necessitano di un atto di recepimento nazionale, la natura giuridica di Regolamento rende il testo immediatamente vincolante ed esecutivo per tutti i soggetti interessati. Questa impostazione garantisce parità di condizioni operative per tutti gli operatori finanziari e per i loro partner tecnologici.
L’obiettivo del legislatore europeo è chiaro: prevenire e mitigare le minacce cibernetiche idonee a compromettere la stabilità del sistema finanziario dell’Unione. La protezione dei sistemi informativi aziendali richiede oggi il superamento della sola conformità formale in favore di una reale capacità di resistenza, continuità operativa e ripristino rapido dei servizi essenziali.
La trasformazione digitale dei servizi bancari e assicurativi rende però indispensabile una governance strutturata delle tecnologie dell’informazione e della comunicazione. L’interconnessione delle infrastrutture di pagamento e l’uso diffuso di soluzioni cloud espongono le entità finanziarie a rischi informatici complessi. In questo scenario, il regolamento impone una responsabilità diretta agli organi di gestione, richiedendo controlli tecnici costanti, audit sui fornitori e piani di risposta agli incidenti tempestivi.
Lo scopo primario della normativa consiste nell’eliminare le divergenze tra le legislazioni nazionali stabilendo requisiti tecnici omogenei in tutti i Paesi dell’Unione.
Prima dell’adozione del testo, le autorità di vigilanza dei vari Stati applicavano linee guida differenti in materia di gestione del rischio informatico e continuità operativa. Tale frammentazione aumentava i costi amministrativi per i gruppi finanziari operanti su base transfrontaliera e generava vulnerabilità sistemiche. L’armonizzazione garantisce una governance uniforme dell’infrastruttura tecnologica, assicurando che ciascun operatore mantenga il medesimo livello di prontezza di fronte agli attacchi informatici.
La crescente digitalizzazione delle transazioni finanziarie ha trasformato la cybersicurezza in un fattore determinante per la stabilità macroeconomica globale. Un incidente informatico grave a carico di una banca di rilevanza sistemica o di un gestore di infrastrutture di mercato può generare un effetto contagio sull’intera economia dell’Unione.
Il regolamento mira dunque a proteggere la continuità operativa dei servizi essenziali, limitando le interruzioni delle operazioni di pagamento e tutelando la fiducia dei risparmiatori. La norma impone agli operatori di sviluppare capacità avanzate di assorbimento degli shock dovuti a incidenti cyber e di ripristino rapido dei dati.
Un’innovazione centrale della normativa risiede nell’estensione del perimetro di vigilanza diretta ai fornitori terzi di tecnologie informatiche considerati essenziali.
Molti istituti finanziari concentrano i propri sistemi su poche piattaforme tecnologiche esterne, in particolare per i servizi di cloud computing e data center. Un guasto o un attacco informatico a questi fornitori manifesterebbe ripercussioni immediate sull’intero comparto creditizio e assicurativo.
La legge attribuisce alle Autorità di Vigilanza Europee il potere di monitorare direttamente i fornitori critici, verificare i loro standard di sicurezza ed emettere raccomandazioni vincolanti con sanzioni in caso di inosservanza.
Il regolamento consolida e integra le disposizioni sulla gestione dei rischi tecnologici sparse nei precedenti testi normativi di settore. I testi preesistenti come la direttiva MiFID II per i mercati finanziari, il regolamento CRR per le banche e la direttiva Solvency II per le compagnie assicurative contenevano riferimenti generici ai controlli interni.
La nuova disciplina unifica questi precetti in un codice operativo unico e dettagliato, abrogando le norme frammentate e ponendosi come riferimento sovraordinato per la resilienza digitale.
Vediamo in breve quali sono le entità finanziarie e i fornitori ICT critici soggetti al Regolamento DORA.
|
Categoria |
Tipologia di entità |
Esempi |
|
Istituti di credito e moneta |
Banche, istituti di pagamento, IMEL |
Banche commerciali, banche online, gestori di carte di pagamento, portafogli digitali |
|
Mercati e investimenti |
SIM, SGR, sedi di negoziazione, depositari |
Società di gestione del risparmio, borse valori, piattaforme di trading, depositari centrali |
|
Assicurazioni e pensioni |
Imprese di assicurazione, intermediari, enti pensionistici |
Compagnie vita e danni, broker assicurativi strutturati, fondi pensione aziendali |
|
Cripto-attività e rating |
CASP, agenzie di rating del credito |
Piattaforme di scambio criptovalute, emittenti di token, agenzie di valutazione finanziaria |
|
Fornitori ICT terzi |
Provider di servizi cloud, software, data center |
Fornitori di infrastrutture IaaS/PaaS, sviluppatori di core banking, fornitori di sicurezza managed |
L’ambito di applicazione definito dall’Articolo 2 del regolamento include la quasi totalità degli operatori del mercato finanziario europeo. La norma si applica agli istituti di credito, agli istituti di pagamento, agli istituti di moneta elettronica e alle imprese di investimento.
Rientrano nell’obbligo i gestori di fondi di investimento alternativi (GEFIA), le società di gestione del risparmio, i fornitori di servizi di cripto-attività (CASP) e gli emittenti di token collegati ad attività. Il perimetro si estende alle imprese di assicurazione e riassicurazione, agli intermediari assicurativi di grandi dimensioni, agli enti pensionistici aziendali, alle agenzie di rating del credito, alle sedi di negoziazione, ai depositari centrali di titoli e alle controparti centrali.
Queste entità sono incluse poiché svolgono funzioni fondamentali per la circolazione dei capitali e la custodia del risparmio.
La legge introduce una categoria di soggetti vigilati del tutto inedita nel diritto comunitario, ovvero i fornitori terzi di servizi informatici critici.
Questa qualifica viene attribuita dalle Autorità di Vigilanza Europee ai provider la cui eventuale interruzione di servizio impatterebbe direttamente sulle operazioni delle entità finanziarie cliente. Tra i servizi monitorati rientrano l’elaborazione dati in cloud, le piattaforme analitiche, i servizi di hosting e lo sviluppo software per transazioni.
L’Autorità di Sorveglianza Capo ha il potere di condurre ispezioni nei locali del fornitore, richiedere documentazione tecnica e irrogare sanzioni amministrative pecuniarie fino all’1% del fatturato medio globale giornaliero registrato nell’esercizio precedente.
La disciplina integra il principio di proporzionalità per calibrare gli adempimenti in base alla dimensione e alla complessità operativa delle entità. Le microimprese e le entità finanziarie di piccole dimensioni beneficiano di un regime semplificato per la gestione dei rischi ICT.
Nello specifico, tali organizzazioni sono esentate da determinati requisiti complessi, come la conduzione di test di penetrazione guidati dalle minacce (Threat-Led Penetration Testing o TLPT) o la costituzione di un’unità organizzativa dedicata esclusivamente alla gestione del rischio. Ciononostante, anche le entità minori devono garantire la continuità dei sistemi essenziali e la notifica tempestiva degli incidenti gravi.
La verifica della soggezione richiede un’analisi dettagliata dello statuto societario, delle licenze autorizzative e della natura dei servizi erogati: le aziende devono determinare se la propria attività rientri in una delle venti categorie previste dall’Articolo 2.
Le società tecnologiche B2B che vendono soluzioni software o infrastrutturali al settore bancario e assicurativo devono mappare i propri contratti per stabilire se le prestazioni erogate qualifichino l’azienda come fornitore di servizi ICT essenziali. Questa mappatura preventiva evita il rischio di contestazioni da parte dei clienti finanziari o delle autorità di controllo.
Vediamo ora in sintesi quali sono i cinque pilastri del Regolamento DORA e cosa comprendono.
5 pilastri del Regolamento DORA (ICT Risk Management, Incident Reporting, Resilience Testing, Third-Party Risk, Information Sharing)
Il primo pilastro impone l’adozione di un quadro di gestione del rischio informatico interno, documentato e aggiornato con continuità.
Gli Articoli da 5 a 16 stabiliscono che gli organi di gestione dell’entità finanziaria mantengono la responsabilità finale per la governance della cybersicurezza.
Gli obblighi prescrittivi richiedono l’identificazione di tutti gli asset informatici, la mappatura delle dipendenze tecnologiche, il monitoraggio continuo dei sistemi per rilevare anomalie e la predisposizione di Piani di Continuità Operativa (BCP) e Piani di Disaster Recovery (DRP). L’efficacia di questi strumenti deve essere rivista e aggiornata almeno una volta all’anno.
Il secondo pilastro definisce un processo armonizzato per la classificazione e la segnalazione tempestiva degli incidenti informatici gravi.
Gli Articoli da 17 a 23 obbligano le entità a rilevare gli eventi avversi in base a criteri quantitativi e qualitativi, quali il numero di utenti impattati, la durata dell’interruzione e le perdite economiche subite.
Quando un incidente viene classificato come grave, l’organizzazione deve inviare una notifica iniziale all’autorità competente entro poche ore dall’evento, seguita da una relazione intermedia e da un rapporto finale di chiusura che dettagli le cause e le azioni correttive adottate.
Il terzo pilastro impone l’esecuzione periodica di verifiche tecniche per valutare la capacità di tenuta dei sistemi di difesa. Gli Articoli da 24 a 27 stabiliscono che le entità svolgano test annuali sui propri sistemi informatici, inclusi Vulnerability Assessment e verifiche di sicurezza.
Per le entità finanziarie di maggiore rilevanza sistemica, la norma richiede lo svolgimento di test di penetrazione guidati dalle minacce (Threat-Led Penetration Testing o TLPT) da effettuare almeno ogni tre anni. Questi test avanzati devono essere condotti in conformità allo standard europeo TIBER-EU, simulando attacchi reali condotti da red team esterni.
Per l’esecuzione di tali verifiche le entità integrano le analisi di Penetration Test e Vulnerability Assessment con interventi avanzati erogati da fornitori di Penetration Test e VAPT.
Il quarto pilastro disciplina il controllo del rischio derivante dai contratti di fornitura tecnologica stipulati con soggetti esterni.
Gli Articoli da 28 a 44 richiedono alle entità finanziarie di tenere un Registro degli Accordi aggiornato che tracci tutti i servizi ICT ricevuti, distinguendo quelli a supporto di funzioni essenziali o importanti. Le aziende devono verificare la solidità dei fornitori prima della firma dei contratti e inserire clausole vincolanti in materia di diritto di accesso, audit, livelli di servizio (SLA) e strategie di uscita. Questo pilastro fonda inoltre il quadro di vigilanza diretta delle Autorità di Vigilanza Europee sui fornitori critici.
Il quinto pilastro del Regolamento DORA promuove lo scambio volontario di informazioni sull’intelligence delle minacce cibernetiche tra gli operatori del settore.
L’Articolo 45 consente alle entità finanziarie di aderire ad accordi di condivisione di indicatori di compromissione (IOC), tecniche di attacco e allerte di sicurezza. Tale scambio deve avvenire all’interno di comunità fidate, nel rispetto della riservatezza dei dati e delle normative sulla concorrenza. Questo pilastro mira a rafforzare la difesa collettiva dell’ecosistema finanziario, consentendo agli operatori di prevenire gli attacchi sfruttando le segnalazioni provenienti dai propri competitor.
L’iter legislativo del regolamento ha seguito una tabella di marcia rigorosa conclusasi con la sua piena operatività sul mercato. Il testo è stato adottato dal Parlamento Europeo e dal Consiglio il 14 dicembre 2022 e successivamente pubblicato nella Gazzetta Ufficiale dell’Unione Europea il 27 dicembre 2022. Il regolamento è entrato formalmente in vigore il 16 gennaio 2023.
Il legislatore ha poi concesso un periodo transitorio di 24 mesi per consentire l’adeguamento organizzativo delle strutture. Di conseguenza, dal 17 gennaio 2025 la disciplina è diventata pienamente applicabile e vincolante in tutti gli Stati membri dell’Unione.
Il quadro prescrittivo della norma viene integrato dagli standard tecnici di regolamentazione e di attuazione elaborati dalle autorità europee. Le Autorità di Vigilanza Europee (ESA), costituite da EBA, EIOPA e ESMA, hanno pubblicato due pacchetti distinti di norme tecniche (Regulatory Technical Standards - RTS e Implementing Technical Standards - ITS).
Tali documenti definiscono il dettaglio operativo di argomenti chiave, quali i criteri di classificazione degli incidenti, il contenuto del Registro degli Accordi per i fornitori terzi, la metodologia per i test TLPT e le politiche per il framework di gestione del rischio informatico.
A seguito del superamento della data di applicazione le aziende finanziarie e i fornitori devono già dimostrare la piena conformità operativa. Le entità devono avere formalizzato il quadro di governance del rischio ICT, attivato la procedura di notifica degli incidenti secondo i moduli definiti dagli ITS e completato la mappatura dei fornitori terzi nel Registro degli Accordi.
Le autorità nazionali di vigilanza conducono ispezioni ordinarie per verificare l’effettiva adozione delle misure di resilienza e l’adeguamento delle clausole contrattuali esterne.
L’evoluzione dell’applicazione della legge prevede la condotta continua delle verifiche ispettive e l’avvio della sorveglianza diretta sui provider critici. Le Autorità di Vigilanza Europee procedono periodicamente all’aggiornamento dell’elenco dei fornitori terzi di servizi ICT considerati critici per il sistema finanziario.
Inoltre, le entità di maggiori dimensioni pianificano la conduzione dei test TLPT triennali secondo le scadenze concordate con Banca d’Italia, IVASS e Consob, garantendo l’evoluzione costante dei sistemi di difesa.
Il Regolamento DORA non sostituisce in modo generalizzato la direttiva NIS2, ma agisce come normativa speciale di settore che prevale per le entità finanziarie.
Il rapporto tra i due testi giuridici è regolato in modo esplicito dal principio della lex specialis sancito dall’Articolo 1 della Direttiva NIS2. Per gli operatori finanziari e bancari rientranti nel perimetro del regolamento, le disposizioni in materia di gestione del rischio informatico, notifica degli incidenti e test di sicurezza contenute nel regolamento prevalgono interamente sulle norme equivalenti della NIS2. La direttiva NIS2 mantiene invece la propria efficacia per tutti gli altri settori essenziali e importanti non finanziari.
Le differenze sostanziali tra i due testi normativi risiedono nella natura dello strumento giuridico, nell’ambito di applicazione e nel grado di prescrizione tecnica. Il regolamento finanziario impone regole identiche e direttamente applicabili in tutta l’Unione, laddove la NIS2 richiede leggi nazionali di recepimento.
Inoltre, la disciplina finanziaria include regole vincolanti per il testing avanzato (TLPT) e stabilisce una forma di vigilanza diretta europea sui fornitori ICT terzi critici, elemento non presente nella NIS2.
Vediamo una sintesi delle differenze tra DORA e NIS2.
|
Dimensione |
Regolamento DORA (UE 2022/2554) |
Direttiva NIS2 (UE 2022/2555) |
|
Natura |
Regolamento europeo direttamente applicabile |
Direttiva europea recepita con D.Lgs. 138/2024 |
|
Ambito |
Settore finanziario, crediti, assicurazioni e fornitori ICT |
Multisettoriale (energia, trasporti, salute, PA, digitale) |
|
Approccio |
Prescrittivo e fortemente dettagliato tramite RTS/ITS |
Basato sul rischio con misure minime organizzative |
|
Supervisione fornitori ICT |
Diretta a livello europeo da parte delle ESA (EBA/EIOPA/ESMA) |
Nazionale a carico dei singoli Stati membri |
|
Test di sicurezza |
Prescritti test annuali e TLPT/TIBER-EU triennali obbligatori |
Verifiche periodiche di sicurezza e valutazione efficacia |
|
Notifica incidenti |
Tempistiche stringenti e modelli standardizzati ITS |
Notifica graduale (preallarme 24h, notifica 72h) |
|
Sanzioni fornitori critici |
Fino all’1% del fatturato medio giornaliero mondiale |
Sanzioni amministrative percentuali sul fatturato annuo |
La gestione pratica delle sovrapposizioni tra NIS2 e DORA richiede l’adozione di un modello di governance della cybersecurity unificato che operi come baseline comune per ridurre la duplicazione dei controlli.
Per le organizzazioni diversificate e i fornitori tecnologici soggetti a entrambi i regimi, l’allineamento si realizza definendo un unico sistema di gestione del rischio informatico basato sulle misure più restrittive.
Sul fronte della gestione degli incidenti, l’azienda deve implementare un flusso procedurale unico di triage che consenta di rilevare l’evento avverso e di instradare le notifiche verso i canali di comunicazione pertinenti: le comunicazioni verso le autorità finanziarie seguono i modelli standardizzati del regolamento di settore, mentre le segnalazioni relative ad altre attività essenziali afferiscono al perimetro della normativa NIS2.
Allo stesso modo, la qualifica e il monitoraggio dei fornitori terzi vengono centralizzati unificando i requisiti contrattuali e le schede di valutazione tecnica, evitando l’esecuzione di doppi audit informatici per la medesima infrastruttura. Questo approccio integrato si sviluppa ad esempio con una consulenza per la NIS2 mirata, finalizzata cioè ad armonizzare le policy aziendali con le richieste delle differenti autorità di vigilanza senza moltiplicare i costi gestionali.
Il meccanismo giuridico della lex specialis evita sovrapposizioni o conflitti normativi per gli operatori finanziari. L’Articolo 1, paragrafo 2, della Direttiva NIS2 stabilisce che qualora un atto legislativo di settore dell’Unione imponga obblighi relativi alla gestione dei rischi di cybersicurezza o alla notifica degli incidenti di effetto pari o superiore a quelli della direttiva, si applicano le disposizioni dell’atto di settore.
DORA costituisce esattamente l’atto specialistico previsto dal legislatore europeo per il mercato finanziario.
La prima fase del percorso operativo consiste nel verificare l’inclusione dell’entità nel perimetro della norma e nell’analizzare lo stato dei controlli.
L’organizzazione conduce una valutazione approfondita di tutti i processi interni per misurare lo scostamento rispetto alle prescrizioni dei cinque pilastri. Questa analisi individua le carenze della governance, le lacune nella gestione dei fornitori terzi e le vulnerabilità delle infrastrutture digitali.
La seconda fase richiede la formalizzazione e la revisione delle politiche aziendali per la gestione del rischio informatico.
L’entità definisce le procedure di identificazione degli asset, aggiorna i piani di continuità operativa (BCP) e stabilisce la tolleranza al rischio ICT. Per allineare le procedure gestionali agli standard internazionali raccomandati, molte aziende integrano i controlli generali previsti dallo standard ISO 27001.
La terza fase prevede la creazione del Registro degli Accordi e il riesame di tutti i rapporti contrattuali in essere con i provider tecnologici.
L’azienda mappa i fornitori che erogano servizi a supporto di funzioni essenziali o importanti e aggiorna i contratti inserendo clausole obbligatorie su SLA, diritto di audit, riservatezza e strategie di uscita. L’adeguamento contrattuale dei sistemi di gestione può essere supportato da percorsi che prevedono consulenza e certificazione ISO 27001 dedicate.
La quarta fase riguarda la condotta operativa dei test di resilienza e l’attivazione della procedura di notifica degli incidenti.
L’entità pianifica le verifiche periodiche di sicurezza dei propri sistemi informatici ed esegue i test TLPT qualora rientri nelle categorie di rilevanza sistemica. Contestualmente, l’azienda definisce le procedure di rilevamento e classificazione degli incidenti per garantire il rispetto delle tempistiche di notifica previste dagli ITS.
La fase finale consolida il processo di miglioramento continuo e la governance permanente della resilienza digitale.
L’organo di gestione dell’entità riceve report periodici sull’efficacia delle misure di sicurezza e sulle risultanze dei test. Le organizzazioni valutano inoltre l’adesione ad accordi di condivisione delle informazioni sulle minacce informatiche per rafforzare le difese.
Per guidare l’intero percorso le entità finanziarie possono avvalersi del supporto fornito da una consulenza DORA specifica sulle esigenze aziendali. Qualora l’azienda non disponga di competenze interne idonee, è possibile affidare la direzione della sicurezza a un esperto esterno con un CISO as a Service.
Il Regolamento DORA è la legge europea che impone a banche, assicurazioni e mercati finanziari di proteggere i propri sistemi informatici dagli attacchi cyber. La norma garantisce che gli istituti finanziari mantengano operativi i servizi essenziali anche durante gravi incidenti tecnologici.
No, il Regolamento DORA non sostituisce la direttiva NIS2 in modo generalizzato. Il regolamento costituisce la norma speciale per il settore finanziario e prevale sulla NIS2 per le entità finanziarie. La direttiva NIS2 continua ad applicarsi a tutti gli altri settori essenziali.
Sì, il regolamento si applica ai fornitori terzi di servizi ICT che erogano prestazioni al settore finanziario. Qualora un provider sia qualificato come critico dalle autorità europee, viene sottoposto a vigilanza diretta con sanzioni in caso di inosservanza dei requisiti di sicurezza.
Il TLPT è un test avanzato di penetrazione guidato dalle minacce che simula attacchi informatici reali in conformità al framework TIBER-EU. Il test è obbligatorio almeno ogni tre anni per le entità finanziarie di maggiore rilevanza e dimensione sistemica.
Le sanzioni per le entità finanziarie sono definite dalle autorità nazionali di vigilanza. Per i fornitori terzi di servizi ICT critici, l’Autorità di Sorveglianza Capo europea può irrogare sanzioni pecuniarie giornaliere fino all’1% del fatturato medio globale giornaliero.
In caso di incidente grave, l’entità deve inviare una notifica iniziale all’autorità competente entro poche ore dalla rilevazione. Successivamente, l’azienda deve trasmettere una relazione intermedia sullo stato di gestione dell’evento e un rapporto finale con l’analisi delle cause.
In Italia le autorità nazionali competenti per la vigilanza sull’applicazione del regolamento sono Banca d’Italia per il settore bancario e dei pagamenti, IVASS per il comparto assicurativo e Consob per le società di intermediazione e i mercati finanziari.
Sì, la certificazione ISO 27001 non garantisce da sola la conformità automatica al regolamento. Sebbene la ISO 27001 copra molti controlli organizzativi, l’azienda deve integrare requisiti specifici come i moduli ITS di notifica incidenti e le clausole contrattuali sui fornitori.