A partire dal 17 gennaio 2025, il Regolamento UE 2022/2554, noto come DORA (Digital Operational Resilience Act), sarà pienamente operativo, segnando un passo cruciale nella gestione dei rischi informatici per il settore finanziario europeo. Questa normativa mira a migliorare la sicurezza digitale delle entità finanziarie e a standardizzare le pratiche di resilienza operativa in tutta l’Unione Europea.
Cos’è il Regolamento DORA e a chi si rivolge?
Il DORA è una normativa che punta a rafforzare la capacità delle entità finanziarie di resistere a interruzioni operative e attacchi informatici, garantendo la continuità dei servizi essenziali e la protezione dei dati dei clienti. Entrato in vigore il 16 gennaio 2023, il regolamento diventerà applicabile due anni dopo, coinvolgendo circa venti categorie di operatori finanziari, tra cui:
- Banche,
- Società di investimento,
- Compagnie di assicurazione,
- Fornitori di servizi relativi alle criptovalute,
- Piattaforme di crowdfunding,
- Fornitori terzi di servizi ICT.
L’obiettivo principale è armonizzare la gestione dei rischi legati alle tecnologie dell’informazione e della comunicazione (ICT) e prevenire effetti sistemici derivanti da disservizi o attacchi su larga scala.
I principali obblighi per le entità finanziarie
Per adeguarsi al DORA, le entità finanziarie devono adottare strumenti, politiche e processi specifici. Tra gli obblighi principali vi sono:
- Gestione dei rischi ICT:
- Implementazione di sistemi di governance interna che riflettano la complessità e la rilevanza dell’organizzazione.
- Sviluppo di piani di emergenza e test regolari per valutare la resilienza a situazioni critiche.
- Monitoraggio dei fornitori terzi ICT:
- Gestione rigorosa dei contratti con i fornitori di servizi tecnologici.
- Due diligence per valutare l’affidabilità e la sicurezza dei partner.
- Creazione di registri dettagliati sui servizi offerti.
- Segnalazione degli incidenti ICT:
- Notifica tempestiva alle autorità competenti degli incidenti significativi, con informazioni su natura, impatto e misure adottate.
- Adozione di criteri uniformi per classificare i rischi e standardizzare i processi di comunicazione in tutta l’UE.
- Test di penetrazione guidati da minacce (TLPT):
- Simulazioni realistiche di attacchi informatici per valutare la sicurezza dei sistemi.
- Misurazione dell’efficacia delle contromisure e della capacità di risposta.
Standard tecnici e vigilanza
La realizzazione degli standard tecnici è affidata a tre autorità europee di vigilanza: l’EBA (Autorità Bancaria Europea), l’EIOPA (Autorità Europea delle Assicurazioni e delle Pensioni Aziendali e Professionali) e l’ESMA (Autorità Europea degli Strumenti Finanziari e dei Mercati). Gli standard includono:
- Criteri per la gestione semplificata dei rischi ICT per le entità di dimensioni ridotte.
- Parametri per determinare la rilevanza degli incidenti.
- Linee guida finalizzate alla semplificazione e all’uniformità delle pratiche, sviluppate grazie a consultazioni pubbliche.
Conseguenze per chi non si adegua
Il mancato rispetto del regolamento comporta sanzioni severe. Le entità finanziarie inadempienti rischiano multe che possono arrivare fino a 10 milioni di euro o al 5% del fatturato annuo totale, a seconda di quale cifra sia maggiore.
Un passo decisivo verso la sicurezza digitale europea
Con l’applicazione del DORA, l’Unione Europea punta a garantire una maggiore protezione contro le minacce digitali e a creare un sistema finanziario resiliente, in grado di affrontare le sfide di un mondo sempre più interconnesso. Entro il 2025, le entità finanziarie dovranno essere pronte ad affrontare una nuova era di regolamentazione e sicurezza informatica.