When the print dialog opens: choose "Save as PDF", then uncheck "Headers and footers" under More settings.
La Guida alla Conformità DORA per gli Enti Finanziari Europei
Sintesi Esecutiva
Il Digital Operational Resilience Act (Regolamento UE 2022/2554, "DORA") è il quadro normativo armonizzato dell'UE in materia di resilienza operativa digitale per il settore finanziario. È entrato in vigore il 17 gennaio 2025 e stabilisce requisiti uniformi per la gestione del rischio ICT, la notifica degli incidenti, i test di resilienza e il rischio di terze parti per oltre 22.000 enti finanziari e i loro fornitori ICT critici.
Punti chiave
- DORA è la lex specialis per la cybersicurezza del settore finanziario. Quando DORA e NIS2 si sovrappongono sullo stesso soggetto, prevale DORA.
- Cinque pilastri: gestione del rischio ICT, gestione degli incidenti ICT, test di resilienza operativa digitale, gestione del rischio dei fornitori ICT e accordi di condivisione delle informazioni.
- La notifica degli incidenti rilevanti segue una scala di 4 ore (classificazione interna), 24 ore (notifica iniziale), 72 ore (rapporto intermedio) e 1 mese (rapporto finale).
- I soggetti significativi devono sottoporsi a Threat-Led Penetration Testing (TLPT) almeno ogni tre anni, secondo il framework TIBER-EU.
- I fornitori ICT critici possono essere designati dalle Autorità europee di vigilanza e sono soggetti a vigilanza diretta UE, con sanzioni fino all'1% del fatturato giornaliero mondiale.
A chi si rivolge questa guida
- CISO, COO e responsabili della resilienza in banche, assicurazioni, SIM, fornitori di servizi crypto e sedi di negoziazione.
- Compliance officer e DPO che mappano DORA contro NIS2, EBA, ESMA, EIOPA e aspettative dei supervisori nazionali.
- Team procurement che negoziano contratti ICT secondo i nuovi obblighi contrattuali dell'Articolo 30.
- Fornitori ICT terzi preoccupati per la designazione come Critical TPP e la successiva vigilanza diretta UE.
Cos'è il DORA?
DORA armonizza e sostituisce un panorama frammentato di linee guida EBA, ESMA ed EIOPA sul rischio ICT per il settore finanziario UE. Prima di DORA, ogni sottosettore (bancario, mobiliare, assicurativo) aveva regole proprie e sovrapposte — con DORA, gli enti finanziari operano sotto un'unica regolamentazione direttamente applicabile in tutti i 27 Stati Membri.
Il regolamento è entrato in vigore il 17 gennaio 2025, dopo un periodo di transizione di due anni. Le Autorità europee di vigilanza (EBA, ESMA, EIOPA) hanno pubblicato standard tecnici di regolamentazione (RTS) e standard tecnici di implementazione (ITS) dettagliati su ciascun pilastro.
DORA riconosce esplicitamente che la resilienza non può essere costruita solo intorno al perimetro dell'ente finanziario. Tira i fornitori ICT terzi nell'ambito tramite requisiti contrattuali a cascata e stabilisce un regime parallelo di vigilanza per i fornitori ICT "critici" con rilevanza sistemica a livello UE.
14 dic 2022 — DORA pubblicato in Gazzetta Ufficiale UE · 16 gen 2023 — Entrata in vigore · 17 gen 2025 — Direttamente applicabile in tutta l'UE · 2025-2026 — RTS e ITS pubblicati dalle ESA · In corso — Designazioni dei TPP ICT critici da parte delle ESA.
A Chi Si Applica DORA
DORA si applica a una platea molto più ampia rispetto alle precedenti regole settoriali. L'Articolo 2(1) elenca 20 categorie di enti finanziari. I fornitori ICT critici designati dalle ESA ricadono sotto vigilanza diretta UE indipendentemente dalla dimensione.
I conteggi esatti variano per fonte e nel tempo. Le cifre sopra sono ordini di grandezza illustrativi basati su rapporti dei supervisori europei. La popolazione totale in ambito è regolarmente citata in circa 22.000 soggetti, con le maggiori concentrazioni in enti creditizi e SIM.
I Cinque Pilastri di DORA
DORA organizza i suoi obblighi sostanziali in cinque pilastri. Ciascuno è oggetto di uno o più capitoli dedicati nel regolamento, oltre a standard tecnici dettagliati pubblicati dalle Autorità europee di vigilanza.
Articoli 5–15. Un quadro completo di gestione del rischio ICT approvato e supervisionato dall'organo di gestione, che copre identificazione, protezione, rilevamento, risposta e recupero.
Articoli 17–23. Rilevamento, classificazione, escalation interna e notifica esterna degli incidenti ICT secondo criteri e tempistiche armonizzati.
Articoli 24–27. Un programma di test risk-based che copre dalle valutazioni di vulnerabilità ai TLPT triennali per i soggetti significativi.
Articoli 28–44. Due diligence pre-contrattuale, registro delle informazioni, clausole contrattuali obbligatorie, monitoraggio e strategie di uscita per ogni outsourcing ICT.
Articolo 45. Partecipazione volontaria ad accordi di condivisione di fiducia su minacce cyber, indicatori di compromissione, tattiche, tecniche e procedure.
Pilastro 1: Gestione del Rischio ICT
Il pilastro di gestione del rischio richiede agli enti finanziari di operare un quadro di gestione del rischio ICT documentato e approvato dal consiglio, che copra l'intero ciclo di vita del rischio ICT, dall'identificazione alle lezioni apprese. L'organo di gestione porta la responsabilità ultima — l'Articolo 5 assegna esplicitamente "piena e ultima responsabilità" al top management.
Strategia di rischio ICT approvata dal consiglio con tolleranza e propensione al rischio definite, revisione periodica e linee chiare di responsabilità.
Inventario completo di tutti gli asset ICT, processi di business e dipendenze, classificati per criticità e sensibilità delle informazioni.
Politiche di sicurezza delle informazioni, gestione identità e accessi, controlli crittografici, segmentazione di rete e sicurezza fisica.
Monitoraggio continuo di sistemi di rete e informativi, con procedure di alert e triage definite per attività anomale.
Procedure di risposta documentate, piani di business continuity, piani di risposta e ripristino ICT, con test regolari.
Politiche di backup allineate agli obiettivi RTO/RPO, con procedure di restore documentate e verifica di integrità.
Revisioni post-incidente, integrazione di threat intelligence, riesame periodico e miglioramento continuo del framework.
L'Articolo 5 rende l'organo di gestione — non il CISO — responsabile dell'approvazione, supervisione e revisione del framework di gestione del rischio ICT. I membri devono avere conoscenza ICT sufficiente per sfidare le proposte e supervisionare l'esecuzione.
Pilastro 2: Tempistica di Notifica Incidenti
DORA introduce criteri di classificazione incidenti armonizzati e una scala temporale di notifica unificata che sostituisce il mosaico di obblighi nazionali e settoriali. Il cronometro parte nel momento in cui un soggetto viene a conoscenza di un incidente ICT rilevante, definito secondo gli standard tecnici pubblicati dalle ESA.
L'ente finanziario deve classificare l'incidente rispetto ai criteri di gravità armonizzati il prima possibile dopo il rilevamento.
Notifica all'autorità competente di un incidente rilevante con descrizione di alto livello, ambito e valutazione iniziale dell'impatto.
Fornire una valutazione aggiornata con stato corrente, impatto, ipotesi di causa radice e azioni intraprese finora.
Sottomettere un'analisi completa di causa radice, lezioni apprese, azioni di remediation e aggiornamenti al framework di gestione del rischio.
DORA armonizza la notifica tra banche, assicurazioni, SIM e sedi di negoziazione in un'unica tempistica. Una semplificazione importante rispetto al precedente mosaico di linee guida EBA, ESMA ed EIOPA, ma la soglia per gli incidenti "rilevanti" è impostata deliberatamente in modo ampio.
Pilastro 3: Test di Resilienza
DORA richiede un programma risk-based di test di resilienza operativa digitale almeno annuale, che copra tutti i sistemi ICT critici. Per i soggetti ritenuti significativi dal supervisore, il programma deve culminare in un Threat-Led Penetration Test (TLPT) ogni tre anni, condotto in linea con il framework TIBER-EU.
Scansione automatizzata di vulnerabilità di rete, host e applicazione, con remediation prioritizzata per esposizione.
Ricognizione esterna della superficie di attacco esposta del soggetto, incluse controllate e componenti della supply chain.
Revisioni di architettura, test di segmentazione e audit di configurazione dei componenti di rete critici.
Analisi statica e dinamica del codice applicativo interno e in outsourcing, incluse le dipendenze.
Test manuali goal-oriented della sicurezza di applicazioni e infrastruttura sotto assunzioni avversariali realistiche.
Test triennali avanzati per i soggetti significativi, scopati contro attori di minaccia reali che colpiscono il settore finanziario.
Esercitazioni tabletop e live che coprono scenari di interruzione, fallimenti di terze parti e comunicazione di crisi.
Il TLPT è l'apice del programma di test. Deve essere condotto da tester esterni indipendenti, scopato contro la threat intelligence corrente e riportato al supervisore. Il framework TIBER-EU fornisce il modello operativo, la governance e gli standard del red team.
Pilastro 4: Gestione del Rischio Terze Parti ICT
L'Articolo 28 e seguenti introducono il regime di rischio terze parti ICT più stringente nella regolamentazione finanziaria UE fino ad oggi. Gli enti finanziari devono applicare un ciclo di vita strutturato a ogni accordo di outsourcing ICT, dalla due diligence pre-contrattuale alle strategie di uscita documentate. I TPP ICT critici sono soggetti a vigilanza UE diretta sotto un framework di oversight parallelo.
Valutazione documentata di postura di sicurezza del fornitore, stabilità finanziaria, giurisdizione, sub-outsourcing e rischio di concentrazione prima della firma del contratto.
Un registro completo e strutturato di tutti i contratti ICT in un formato prescritto dalle ESA, disponibile ai supervisori su richiesta.
L'Articolo 30 obbliga a una lista definita di clausole tra cui diritti di audit, location dei dati, cooperazione negli incidenti, strategie di uscita e controlli sul sub-outsourcing.
Vigilanza continua sulle prestazioni del fornitore, postura di sicurezza e rispetto degli SLA contrattuali, inclusi accordi di notifica incidenti.
Identificazione e limitazione delle dipendenze da singoli fornitori, specialmente per funzioni critiche o importanti.
Piani di uscita testati e correnti per ogni fornitore di una funzione critica o importante, inclusa estrazione dati e transizione provider.
L'Articolo 31 introduce la designazione di Fornitore ICT Terzo Critico. I fornitori designati sono soggetti a vigilanza diretta da parte del supervisore UE principale e devono conformarsi a ispezioni in loco, raccomandazioni vincolanti e sanzioni significative.
Sanzioni e Applicazione
DORA stabilisce un regime sanzionatorio a due binari. Gli enti finanziari sono sanzionati dalle loro autorità nazionali competenti secondo il diritto nazionale esistente e gli importi massimi variano per Stato Membro. I TPP ICT critici sono soggetti a sanzioni dirette a livello UE.
Responsabilità personale degli organi di gestione
L'Articolo 5 pone la responsabilità ultima sui membri dell'organo di gestione. Devono approvare il framework di gestione del rischio ICT, approvare la strategia di resilienza operativa digitale, supervisionare l'implementazione e possedere conoscenza ICT sufficiente per adempiere a questi doveri. Il mancato rispetto può portare a sanzioni personali secondo il diritto nazionale e azioni di enforcement diretto.
DORA vs NIS2 — Come Interagiscono
DORA è la lex specialis (legge specializzata) per il settore finanziario. Quando DORA e NIS2 si applicherebbero entrambe allo stesso ente finanziario, prevale DORA. Tuttavia, i gruppi finanziari includono frequentemente controllate non finanziarie che restano sotto NIS2, e i due regimi si sovrappongono pesantemente sulla sostanza — rendendo essenziale un programma di compliance unificato.
| Aspetto | DORA | NIS2 |
|---|---|---|
| Focus settoriale | Solo servizi finanziari | 18 settori critici incluse infrastrutture digitali |
| Strumento giuridico | Regolamento direttamente applicabile | Direttiva (recepimento nazionale richiesto) |
| Notifica iniziale | Entro 24 ore | Entro 24 ore |
| Obbligo di test | TLPT ogni 3 anni (soggetti significativi) | Test di sicurezza periodici (nessuna cadenza fissa) |
| Regime terze parti | Lista contrattuale Art. 30 dettagliata | Dovere di sicurezza supply chain di alto livello |
| Vigilanza UE diretta | Sì — per TPP ICT critici | No (solo supervisori nazionali) |
| Modello sanzionatorio | Nazionale + sanzioni UE dirette per TPP | Solo autorità nazionali |
Per i soggetti sottoposti a entrambi, la risposta pratica è progettare un unico programma di rischio ICT che soddisfi il più stringente dei due su ciascun argomento. DORA è più prescrittivo su contratti, test e classificazione incidenti; NIS2 ha applicabilità settoriale più ampia e sanzioni più severe per il gruppo finanziario nel suo complesso.
Roadmap di Implementazione
Un approccio per fasi alla conformità DORA è più sostenibile di un singolo programma big-bang. La maggior parte dei soggetti in ambito è già a due o tre anni nel percorso. Le fasi seguenti descrivono cosa dovrebbe essere già in atto, cosa dovrebbe essere operativo entro fine 2026 e come appare la pratica continua oltre.
Fase 1 — Ambito e gap assessment
- Confermare l'ambito DORA su tutte le entità legali e controllate del gruppo.
- Mappare il framework corrente di gestione del rischio ICT contro i cinque pilastri.
- Inventariare tutti gli accordi ICT con terze parti e identificare funzioni critiche/importanti.
- Identificare l'applicabilità del TLPT e prepararsi ai test triennali.
Fase 2 — Framework e contratti
- Documentare il framework di gestione del rischio ICT, approvato dall'organo di gestione.
- Rinegoziare i contratti con i fornitori ICT critici per aggiungere le clausole dell'Articolo 30.
- Costruire il registro delle informazioni nel formato prescritto dalle ESA.
- Definire strategie di uscita documentate per ogni fornitore di funzione critica o importante.
Fase 3 — Test e operations incidenti
- Operativizzare la classificazione armonizzata degli incidenti e la tempistica 4/24/72h/1 mese.
- Avviare un programma di test continui che copra tutti i sistemi critici.
- Condurre il primo ciclo TLPT per i soggetti designati come significativi.
- Validare le metriche di rischio di concentrazione e documentare i piani di mitigazione.
Fase 4 — Miglioramento continuo
- Revisione annuale del consiglio sulla strategia di rischio ICT e tolleranza al rischio.
- Revisioni trimestrali delle prestazioni e della concentrazione delle terze parti.
- Integrazione continua di threat intelligence e condivisione delle informazioni.
- Lezioni apprese da ogni incidente rilevante reinserite nel framework.
Come Orizon Supporta la Conformità DORA
La piattaforma Orizon è stata progettata attorno allo stesso catalogo di controlli che DORA armonizza nel settore finanziario UE. Ogni prodotto Orizon mappa a uno o più pilastri e contribuisce con evidenze strutturate e auditabili che soddisfano le aspettative del supervisore.
Prossimi passi
- Prenota una valutazione di scoping DORA con il nostro team compliance per validare lo stato in ambito e i gap correnti.
- Richiedi una gap analysis contro i cinque pilastri basata su controlli e contratti esistenti.
- Avvia una scansione RECON gratuita per stabilire una baseline della tua superficie di attacco esterna — inclusi i fornitori critici.
Contatti: [email protected] · orizon.one/solutions/nis2-compliance · Sede UE, infrastruttura sovrana.