DORA Compliance: Guida Completa al Digital Operational Resilience Act per Aziende Italiane

Il Digital Operational Resilience Act (DORA) è il regolamento europeo che ridefinisce i requisiti di resilienza digitale per il settore finanziario. Applicato dal 17 gennaio 2025, DORA impone standard uniformi in tutta l'UE per gestire i rischi ICT e garantire che le istituzioni finanziarie possano resistere, rispondere e riprendersi da qualsiasi tipo di perturbazione operativa.

Perché DORA è diverso dai regolamenti precedenti

Prima di DORA, le istituzioni finanziarie europee operavano in un patchwork di regolamenti nazionali e linee guida EBA/ESMA spesso non uniformi. DORA cambia questo:

• Regolamento direttamente applicabile — a differenza di una direttiva, DORA non richiede recepimento nazionale: vale immediatamente in tutti gli stati UE
• Perimetro ampio — include anche i fornitori ICT critici (provider cloud, software house, data center)
• Test di resilienza obbligatori — TLPT (Threat-Led Penetration Testing) per le istituzioni significative
• Notifica degli incidenti standardizzata — tempi e modalità uniformi in tutta l'UE

I 5 pilastri di DORA

1. ICT Risk Management

Ogni istituzione deve implementare un framework strutturato per la gestione del rischio ICT:

• Identificazione e mappatura dei sistemi ICT e delle interdipendenze
• Classificazione delle informazioni e dei sistemi per criticità
• Implementazione di controlli proporzionati al rischio
• Revisione annuale del framework
• Ruolo attivo del board nella governance del rischio ICT

Le istituzioni più piccole beneficiano di un "framework semplificato" con requisiti proporzionati.

2. Incident Management e Reporting

DORA standardizza la gestione degli incidenti ICT:

Classificazione degli incidenti: ogni istituzione deve classificare gli incidenti ICT in base a criteri definiti (impatto, durata, dati coinvolti).

Reporting agli autorità: gli incidenti classificati come "major" devono essere notificati alle autorità competenti:

• Report iniziale entro 4 ore dalla classificazione
• Report intermedio entro 72 ore
• Report finale entro 1 mese

Segnalazione volontaria: DORA incoraggia anche la segnalazione volontaria di minacce significative.

3. Digital Operational Resilience Testing

Le istituzioni devono testare regolarmente la loro resilienza:

Basic testing (obbligatorio per tutti): vulnerability assessment, analisi degli scenari, test di continuità operativa.

TLPT — Threat-Led Penetration Testing (per istituzioni significative): pentest avanzati basati su scenari di minaccia reali, condotti da tester certificati con metodologia TIBER-EU. Frequenza: almeno ogni 3 anni.

4. ICT Third-Party Risk Management

Le catene di fornitura ICT sono un vettore di rischio critico. DORA richiede:

• Inventario di tutti i fornitori ICT
• Classificazione dei fornitori per criticità
• Due diligence pre-contrattuale
• Contratti con clausole minime di sicurezza (SLA, audit rights, notifica incidenti, exit strategy)
• Monitoraggio continuo dei fornitori critici

I fornitori ICT "critici" (CTPPs) sono sottoposti a supervisione diretta delle autorità europee (JOAs).

5. Information Sharing

DORA incoraggia la condivisione di informazioni sulle minacce cyber tra istituzioni finanziarie, nel rispetto del GDPR. Le istituzioni possono partecipare a piattaforme di intelligence sharing senza violazioni antitrust.

Il piano di conformità per le istituzioni italiane

Fase 1: Gap assessment (2-4 settimane)

Confronta la situazione attuale con i requisiti DORA. Aree tipicamente critiche:

• Framework ICT risk management formale
• Registro dei fornitori ICT e classificazione
• Procedure di incident management documentate
• Testing della resilienza

Fase 2: Remediation (3-12 mesi)

Prioritizza in base al gap e al profilo di rischio:

• Formalizza policies e procedure
• Implementa il registro fornitori
• Definisci i criteri di classificazione degli incidenti
• Pianifica il programma di testing

Fase 3: Testing e validazione

• Esegui il primo ciclo di test DORA
• Verifica i tempi di reporting
• Testa gli scenari di ripristino

Fase 4: Monitoring continuo

La conformità DORA non è un evento singolo: richiede monitoring continuo, aggiornamento annuale del framework e testing periodico.

Interazione con altri regolamenti

DORA si sovrappone con:

• GDPR — per gli aspetti di protezione dei dati negli incidenti ICT
• NIS2 — per le istituzioni che rientrano nel perimetro di entrambi (applicano DORA come lex specialis)
• Basilea III/IV — per la gestione del rischio operativo

Per assistenza nella conformità DORA, considera di coinvolgere consulenti specializzati con esperienza nel settore finanziario italiano e nella normativa EBA/ESMA.