Spiegazione del Digital Operational Resilience Act (DORA)

Se opera nelle attività digitali, è fondamentale conoscere il Digital Operational Resilience Act (DORA). Questa normativa aiuta gli istituti finanziari e i principali fornitori di servizi a prepararsi ad attacchi informatici o guasti di sistema. Che impatto ha sulla Sua attività? DORA garantisce che le operazioni rimangano stabili e funzionino regolarmente durante le sfide tipiche di un ambiente digitale.

Questo articolo illustra i punti chiave di DORA, dai suoi obiettivi e requisiti di conformità fino alle ripercussioni sulle aziende dell'UE ed extra UE. Sia che operi all'interno dell'UE, sia che collabori con clienti con sede nell'UE, comprendere DORA è essenziale per mantenere la resilienza in un mondo sempre più digitalizzato. Spiegheremo anche in che modo il tracciamento server-side è influenzato da DORA e come Stape affronta la nuova normativa.

Stape è pienamente conforme a DORA, garantendo il massimo livello di protezione dei dati e di affidabilità del servizio.

Il regolamento DORA è una normativa storica dell'UE, concepita per rafforzare la sicurezza IT e la resilienza operativa degli istituti finanziari europei. È entrato in vigore il 16 gennaio 2023, mentre la conformità a DORA diventa obbligatoria il 17 gennaio 2025. DORA è riconosciuto come uno strumento efficace per gestire i rischi digitali nel settore finanziario.

NIS2 e DORA sono due quadri normativi chiave per la sicurezza informatica e la resilienza digitale. Il primo, NIS2, si concentra sull'agevolazione delle misure di sicurezza per i servizi essenziali nell'UE. Il secondo, il Digital Operational Resilience Act, mira a rafforzare la tenuta operativa degli istituti finanziari. Insieme, svolgono un ruolo cruciale nella protezione delle infrastrutture digitali europee dalle minacce informatiche emergenti.

A settembre 2023, la Commissione europea ha chiarito la relazione tra questi due quadri normativi nella sua Direttiva NIS2:

• La Direttiva NIS2 si rivolge a settori critici come energia, trasporti, fornitura idrica, sanità e infrastrutture digitali. Mira a proteggere questi servizi vitali introducendo requisiti di sicurezza informatica più rigorosi e migliorando le capacità di risposta agli incidenti.
• Al contrario, DORA è concepito per il settore finanziario e interessa istituti quali banche, compagnie assicurative e società di investimento. Stabilisce requisiti completi per la gestione dei rischi legati alle tecnologie dell'informazione e della comunicazione (ICT), assicurando che gli istituti finanziari siano in grado di resistere, rispondere e riprendersi da disservizi legati all'ICT.

Di conseguenza, gli istituti finanziari e i fornitori di servizi ICT all'interno dell'UE devono conformarsi ai requisiti di DORA entro il 17 gennaio 2025. Ciascuno Stato membro dell'UE è responsabile di garantire la conformità e le autorità di regolamentazione designate hanno il potere di imporre misure di sicurezza specifiche e di risolvere vulnerabilità già note.

La mancata conformità alla normativa può comportare pesanti sanzioni. Per i fornitori di servizi ICT "critici" designati dalla Commissione europea, la non conformità può portare a sanzioni fino all'1% del loro fatturato medio giornaliero globale dell'anno finanziario precedente.

Il settore finanziario, sia a livello globale sia in Europa, sta registrando un'impennata di attacchi informatici, che si inseriscono in un più ampio aumento delle minacce informatiche su scala mondiale.

Per far fronte a questa situazione, l'Europa ha introdotto il Digital Operational Resilience Act. L'obiettivo è costruire un sistema unico per la resilienza informatica e garantire la stabilità finanziaria in tutta l'UE. DORA promuove pratiche proattive che aiutano le organizzazioni a mitigare l'impatto delle minacce informatiche sui propri sistemi ICT.

DORA punta a unificare le normative in tutta Europa. In passato, i singoli Paesi adottavano approcci distinti con regole e controlli eterogenei. Superando questa frammentazione, DORA introduce un approccio coerente che sostiene l'obiettivo europeo di una maggiore sincronizzazione legislativa ed economica.

Per gli istituti finanziari e gli altri soggetti interessati, DORA offre l'ulteriore vantaggio di obblighi legali più chiari in materia di sicurezza informatica e resilienza. Questa trasparenza supera i confini nazionali, offrendo indicazioni coerenti e riducendo l'incertezza legata alle minacce informatiche.

Per comprendere meglio la conformità a DORA, esaminiamone attentamente gli obiettivi.

DORA persegue due obiettivi primari:

1. 1.
   Istituire pratiche complete di gestione del rischio ICT per il settore finanziario, compresi standard per le valutazioni dei rischi, la segnalazione degli incidenti e i test di resilienza.
2. 2.
   Armonizzare le normative sulla gestione del rischio ICT tra gli Stati membri dell'UE, creare condizioni di parità e ridurre le difficoltà di conformità per gli enti finanziari che operano in più Paesi dell'UE.

Prima di DORA, la frammentazione delle normative nazionali rendeva complessa la conformità per gli istituti finanziari transfrontalieri. DORA affronta questo problema introducendo standard normativi uniformi, riducendo al minimo le incertezze e migliorando la sicurezza in tutto il settore finanziario dell'UE.

Il regolamento DORA si applica a oltre 22.000 istituti finanziari e servizi ICT che operano all'interno dell'UE, nonché all'infrastruttura ICT che li supporta al di fuori dell'UE. Interessa diversi sistemi finanziari, tra cui:

• Banche
• Compagnie assicurative
• Società di investimento
• Fornitori di servizi di pagamento
• Borse valori
• Soggetti delle infrastrutture di mercato
• Agenzie di rating del credito
• Fornitori di servizi per le cripto-attività

Inoltre, DORA si estende ai fornitori critici di servizi ICT che supportano questi istituti. Le organizzazioni devono individuare le dipendenze da fornitori ICT terzi e diversificare per evitare un'eccessiva dipendenza da un unico fornitore o da un gruppo limitato di fornitori.

I requisiti principali di DORA sono i seguenti:

Ai sensi dell'Articolo 6, DORA impone l'istituzione di un quadro di gestione del rischio ICT solido, completo e ben documentato, parte integrante del sistema generale di gestione del rischio dell'istituto. Gli elementi chiave includono:

• Identificazione e valutazione dei rischi. Valutazione e documentazione periodiche dei rischi ICT, compresi quelli derivanti dalle dipendenze da terze parti.
• Misure di protezione e prevenzione: devono essere implementate strategie, policy e strumenti per salvaguardare sistemi e dati, come soluzioni di accesso senza password per mitigare i rischi di phishing.
• Meccanismi di rilevamento. Utilizzo di tecnologie per individuare tempestivamente anomalie e potenziali incidenti di sicurezza.
• Piani di risposta e ripristino. Sviluppo di piani di continuità operativa e di gestione delle crisi.
• Formazione e miglioramento. Perfezionamento continuo dei sistemi sulla base degli incidenti passati e dei risultati dei test.

DORA richiede inoltre la nomina di una figura responsabile per la supervisione della gestione del rischio ICT, garantendo responsabilità chiare e una governance efficace.

La gestione e la segnalazione degli incidenti sono aspetti centrali di DORA. Gli istituti devono predisporre sistemi per tracciare e classificare gli incidenti legati all'ICT. Ai sensi dell'Articolo 19, le organizzazioni devono presentare:

• Una notifica iniziale entro un termine definito dopo aver identificato un incidente significativo.
• Una relazione intermedia qualora lo stato dell'incidente cambi in modo significativo.
• Una relazione finale dopo aver completato l'analisi della causa principale e valutato l'impatto dell'incidente.

Inoltre, ai sensi degli Articoli 18–20, le organizzazioni sono tenute a:

• Classificare gli incidenti ICT in base a livelli di impatto predefiniti.
• Utilizzare modelli standardizzati per segnalare gli incidenti alle autorità di regolamentazione.
• Informare tempestivamente utenti finali e clienti in merito a incidenti gravi e alle misure adottate per mitigarne l'impatto.
• Garantire che le segnalazioni siano inviate entro la fine della giornata lavorativa o entro quattro ore dal giorno lavorativo successivo se l'incidente si verifica poco prima della fine della giornata.

Ai sensi dell'Articolo 25, DORA impone test regolari sui sistemi di gestione del rischio ICT per verificarne l'efficacia. Le fasi di test comprendono:

• Valutazioni delle vulnerabilità. Scansioni periodiche per individuare punti deboli in sistemi e applicazioni.
• Valutazione della sicurezza di reti e infrastrutture. Test delle difese di rete.
• Test di sicurezza delle applicazioni. Valutazione del software utilizzato per funzioni aziendali critiche.
• Test basati su scenari. Simulazione di vari scenari di minacce informatiche per valutare le capacità di risposta.
• Test di penetrazione basati sulle minacce. Test avanzati per gli istituti finanziari critici, condotti almeno una volta ogni tre anni.

Inoltre, l'Articolo 26 richiede alle organizzazioni di eseguire test di penetrazione per i processi ICT che supportano funzioni critiche, compresi i servizi esternalizzati.

Riconoscendo l'importanza dei fornitori di servizi ICT, DORA introduce requisiti rigorosi per la gestione del rischio legato a terze parti, tra cui:

• Due diligence. Valutazione dei fornitori ICT prima della stipula dei contratti.
• Garanzie contrattuali: inclusione negli accordi di clausole sulla sicurezza, sulla segnalazione degli incidenti e sui diritti di audit.
• Monitoraggio continuo. Valutazione regolare delle prestazioni e delle misure di sicurezza delle terze parti.
• Strategie di uscita. Sviluppo di piani per la transizione da un fornitore all'altro, se necessario.

DORA definisce inoltre quadri di sorveglianza per i fornitori terzi critici di servizi ICT, consentendo agli organismi di vigilanza dell'UE di monitorarne direttamente la conformità.

5. Condivisione delle informazioni

DORA incoraggia la collaborazione tra organizzazioni finanziarie di fiducia per:

• Aumentare la consapevolezza dei rischi legati all'ICT.
• Ridurre al minimo la diffusione dei vettori di minaccia ICT.
• Condividere strategie difensive, tecniche di mitigazione e intelligence sulle minacce.

Prepararsi alla conformità a DORA

Raggiungere la conformità a DORA può sembrare complesso, ma diventa gestibile con un approccio lineare. Esamini le proprie pratiche di sicurezza informatica e il piano di gestione del rischio per individuare le aree di miglioramento. Una formazione regolare per tutto il personale, compresi i dirigenti, è essenziale per formare un team solido e preparato.

Esamini i contratti con i fornitori di servizi ICT per assicurarsi che soddisfino gli standard di DORA. Crei un inventario completo di tutti gli accordi, compresi i servizi cloud e i fornitori di software, per identificare le dipendenze e mitigare i rischi. Adottando queste misure strategiche, la Sua organizzazione potrà rafforzare la propria resilienza operativa e allinearsi ai requisiti di DORA.

Aderendo a queste misure, le organizzazioni possono soddisfare gli elevati standard di DORA per la gestione del rischio ICT e la resilienza operativa.

Il regolamento DORA introduce standard europei unificati di resilienza, di cui le aziende del Regno Unito dovrebbero essere consapevoli.

Le aziende regolamentate nel Regno Unito devono gestire i rischi operativi in modo responsabile ed efficace e garantire che la propria attività sia organizzata con solidi sistemi di gestione del rischio. Le norme della Financial Conduct Authority (FCA) delineano questo obbligo, che include disposizioni su direzione e governance, gestione del rischio, controlli interni, continuità aziendale, pianificazione di emergenza e pratiche di esternalizzazione.

Questi requisiti esistenti vengono ora ampliati con nuove disposizioni mirate alla resilienza operativa. Il framework di sicurezza informatica DORA rafforza ulteriormente queste misure, garantendo che le imprese affrontino i rischi ICT in modo completo e si proteggano dalle minacce digitali. Il regime aggiornato introduce requisiti per determinate tipologie di imprese e propone di estenderli includendo i fornitori di servizi non regolamentati dalla FCA.

Regime di resilienza operativa del Regno Unito

Il regime di resilienza operativa del Regno Unito adotta un approccio più ampio ai rischi operativi rispetto al DORA dell'UE. Pone l'accento sulla capacità di un'impresa di resistere alle interruzioni operative, non solo a quelle derivanti da incidenti digitali o ICT.

Il framework si applica a banche, assicuratori e importanti società di investimento. Se soddisfano criteri specifici, possono essere inclusi anche i gestori patrimoniali.

A differenza del DORA, il quadro normativo del Regno Unito prende in considerazione una gamma più ampia di rischi e adotta un approccio più completo alla resilienza.

Il quadro normativo del Regno Unito interessa un numero inferiore di organizzazioni rispetto al DORA, ma adotta una visione più ampia della resilienza. Guarda oltre i rischi digitali e si concentra sull'aiutare le aziende a gestire le interruzioni provenienti da qualsiasi fonte.

Che cos'è la conformità a DORA? Si tratta di un'ennesima normativa o di un'opportunità per ripensare il modo in cui le aziende affrontano la resilienza e la sicurezza informatica? Per molti è un nuovo inizio: l'occasione per sostituire sistemi frammentati con un approccio unificato che crei fiducia e stabilità nel mondo digitale.

La conformità a DORA spinge le aziende ad adottare una mentalità proattiva, ad affrontare i rischi ICT e a garantire la resilienza lungo l'intera catena di fornitura, inclusi i fornitori di servizi terzi. DORA incoraggia le organizzazioni a rendere le proprie operazioni più resilienti alle minacce informatiche e allineate con la visione europea di un'economia sicura e interconnessa.

Il valore effettivo della conformità a DORA dipende dalla risposta delle aziende. La considereranno una sfida o un'opportunità per rafforzare la resilienza e ottenere un vantaggio competitivo? Il tempo lo dirà.

Il tracciamento server-side aiuta le aziende a conformarsi a normative come DORA migliorando la sicurezza e l'affidabilità dei dati. Stape è al lavoro per soddisfare gli standard DORA al momento della loro entrata in vigore. 

Stape è conforme a ISO 27001, HIPAA e GDPR, per proteggere i dati e garantire la privacy. Ci impegniamo a rimanere costantemente aggiornati sulle nuove normative e a fornire soluzioni di tracciamento sicure e affidabili. Stape è un partner sicuro e fidato per qualsiasi azienda che desideri proteggere i propri dati ottenendo al contempo il massimo dalla propria configurazione di tracciamento.

Quali sono gli standard tecnici di DORA?

DORA stabilisce standard tecnici obbligatori che gli istituti finanziari e i loro principali fornitori terzi di servizi ICT devono integrare nei propri sistemi entro il 17 gennaio 2025.

DORA delinea i propri requisiti tecnici in quattro aree chiave:

• Gestione dei rischi ICT e governance. È necessario stabilire framework solidi per la gestione dei rischi legati alla tecnologia.
• Risposta e segnalazione degli incidenti. È necessario garantire processi efficaci per la gestione e la segnalazione degli incidenti ICT.
• Test di resilienza operativa digitale. Sono necessari test regolari per valutare la resilienza dei sistemi ICT.
• Gestione del rischio di terze parti. È necessario rafforzare la supervisione sui fornitori tecnologici esterni.

Sebbene DORA incoraggi la condivisione delle informazioni per promuovere la resilienza collettiva, essa rimane volontaria.

I requisiti saranno applicati in modo proporzionale: i soggetti più piccoli avranno meno obblighi rispetto ai grandi istituti finanziari. Sebbene gli specifici standard tecnici di regolamentazione (RTS) e gli standard tecnici di attuazione (ITS) siano ancora in fase di sviluppo, la legislazione definisce già aspettative chiare per la conformità.

Sono previste sanzioni per la mancata conformità a DORA?

Una volta finalizzati gli standard DORA e raggiunta la scadenza di gennaio 2025, le autorità di regolamentazione designate in ciascuno Stato membro dell'UE, denominate "autorità competenti", ne garantiranno l'applicazione. Tali autorità avranno il potere di richiedere ai soggetti finanziari di implementare misure di sicurezza specifiche per risolvere le vulnerabilità e soddisfare i requisiti di conformità a DORA. Determineranno inoltre le sanzioni per la mancata conformità. Tali sanzioni comprendono provvedimenti amministrativi e, in alcuni casi, sanzioni penali a discrezione di ciascun paese.

La Commissione europea classifica i fornitori ICT come "critici", e la supervisione sarà gestita direttamente dai sorveglianti capofila delle Autorità europee di vigilanza (ESA). Analogamente alle autorità competenti, questi sorveglianti capofila possono imporre miglioramenti della sicurezza, far rispettare gli interventi di ripristino e applicare sanzioni per la mancata conformità. 

In cosa si differenzia DORA dalle altre normative sulla sicurezza informatica?

DORA è una delle numerose e rilevanti normative sulla sicurezza informatica che entreranno in vigore nei prossimi anni. Anche la Direttiva NIS2, applicabile a partire da ottobre 2024, stabilisce requisiti di sicurezza digitale per le aziende e le organizzazioni europee.

La conformità a DORA nell'UE è progettata per standardizzare le pratiche di resilienza operativa e sicurezza informatica nel settore finanziario in tutti gli Stati membri. DORA è concepito su misura per il settore finanziario, assicurando che le sue specifiche esigenze vengano affrontate. La NIS2 ha invece una portata più ampia, coprendo tutti i settori critici come energia, sanità e trasporti.

L'approccio giuridico di DORA differisce da quello della NIS2. DORA è un Regolamento che si applica in modo uniforme in tutti gli Stati membri dell'UE, mentre la NIS2, in quanto Direttiva, deve essere recepita nelle legislazioni nazionali di ciascuno Stato membro.

Sebbene entrambe mirino a migliorare la sicurezza informatica, DORA avrà la precedenza nel settore finanziario, fungendo da quadro normativo primario.

Le aziende non UE che collaborano con istituzioni dell'UE possono essere interessate da DORA?

Il Regolamento DORA dell'UE ha un impatto sostanziale sulle organizzazioni finanziarie extra-UE, in particolare su quelle che operano nel mercato dell'UE o forniscono servizi al suo interno.

Questi soggetti devono soddisfare gli standard di DORA per mantenere l'accesso al mercato e continuare a lavorare con clienti con sede nell'UE. Ciò comporta un aumento dei costi di conformità, adeguamenti operativi ed eventuali cambiamenti di strategia.

DORA incide anche sulle organizzazioni non UE includendole nelle catene di fornitura degli istituti finanziari dell'UE e imponendo requisiti rigorosi all'intero ecosistema.

Di conseguenza, l'influenza di DORA si estende oltre i confini dell'UE, plasmando il settore finanziario globale e sottolineando l'importanza della resilienza operativa a livello mondiale.

Stape è pienamente conforme a DORA, garantendo il rispetto dei più elevati standard di protezione dei dati e affidabilità del servizio. Comprendiamo l'importanza di DORA e il suo ruolo nella salvaguardia dell'integrità dei servizi digitali in tutta l'UE. Può trovare informazioni dettagliate sulla nostra conformità nel nostro Trust Center, dove mostriamo la nostra dedizione alla resilienza operativa e alla protezione dei dati degli utenti.

In un mondo in cui le minacce informatiche diventano sempre più frequenti e intense, è indispensabile fare tutto il necessario per costruire un solido scudo a propria difesa. Regolamenti come DORA aiutano le aziende a prepararsi ai rischi e ad affrontarli di conseguenza. L'obiettivo di DORA è mantenere i sistemi sicuri, proteggere i dati dei clienti e continuare a funzionare anche in periodi di instabilità. 

• La Direttiva NIS 2
• Il Digital Operational Resilience Act (DORA) - Regolamento (UE) 2022/2554
• Digital Operational Resilience Act (DORA)
• Digital Operational Resilience Act (DORA)
• Che cos'è il Digital Operational Resilience Act (DORA)?