Che cos’è il Digital Operational Resilience Act (DORA) ?
Il Digital Operational Resilience Act (DORA), Regolamento (UE) 2022/2554, è l’ultima normativa in materia di sicurezza informatica emanata dall’Unione Europea e rappresenta un passo significativo nella definizione di uno standard elevato per la resilienza operativa digitale nell’unione.
Questa normativa risponde al crescente numero di minacce e attacchi informatici in vari settori, con il settore finanziario che risulta essere il più vulnerabile.
DORA copre una moltitudine di aree, tra cui la gestione dei rischi ICT, il testing e la continuità operativa, la segnalazione degli incidenti – tutti mirati a offrire alle aziende una protezione robusta e coerente contro i rischi informatici.
DORA è unica nel suo approccio olistico alla sicurezza informatica, comprendendo tutte le aziende che forniscono servizi finanziari, indipendentemente dalla loro dimensione e dalla natura del servizio, sia che siano regolamentate o meno. Inoltre, stabilisce requisiti stringenti per il rapporto con i fornitori di servizi ICT di terze parti, imponendo loro gli stessi standard di resilienza operativa delle entità finanziarie.
Allocazione del capitale
Nel settore bancario della UE, il Digital Operational Resilience Act fornisce una soluzione cruciale.
La gestione del rischio è stata troppo spesso trattata come una questione di conformità risolvibile con l’allocazione di fondi.
Prima di DORA, le istituzioni finanziarie affrontavano il rischio operativo principalmente attraverso l’allocazione di fondi piuttosto che gestendo tutti gli aspetti della resilienza operativa.
Oggi devono rispettare le regole relative alla protezione, rilevamento, contenimento, recupero e capacità di rimediare agli incidenti associati all’ICT.
Questa nuova normativa riconosce che gli eventi ICT e una mancanza di resilienza operativa possono compromettere la stabilità del sistema finanziario nel suo complesso, anche in situazioni in cui il capitale è “adeguato”.
Articolo 1, Oggetto
L’Articolo 1 del Digital Operational Resilience Act (DORA) essenzialmente introduce il contesto della legislazione, riassumendo il tema principale della legge.
In termini semplici, l’Articolo 1 parla del “perché” e del “cosa” di DORA.
Spiega perché questa legislazione esiste: per garantire che il settore finanziario dell’UE sia sufficientemente forte da affrontare qualsiasi sfida digitale.
Che si tratti di un attacco informatico, di un guasto tecnico o di qualsiasi altro tipo di incidente legato all’ICT, DORA richiede che il mondo finanziario sia preparato, resiliente e in grado di reagire.
1. Al fine di conseguire un livello comune elevato di resilienza operativa digitale, il presente regolamento stabilisce i seguenti obblighi uniformi in relazione alla sicurezza dei sistemi informatici e di rete che sostengono i processi commerciali delle entità finanziarie:
a) | obblighi applicabili alle entità finanziarie in materia di:
|
b) | obblighi relativi agli accordi contrattuali stipulati tra fornitori terzi di servizi TIC ed entità finanziarie; |
c) | norme per l’istituzione e l’attuazione di un quadro di sorveglianza per i fornitori terzi critici di servizi TIC, allorché forniscono i loro servizi a entità finanziarie; |
d) | norme sulla cooperazione tra autorità competenti e norme sulla vigilanza e l’applicazione da parte delle autorità competenti in relazione a tutte le materie trattate dal presente regolamento. |
2. Quanto alle entità finanziarie identificate come soggetti essenziali o importanti ai sensi delle norme nazionali che recepiscono l’articolo 3 della direttiva 2022/2555, il presente regolamento è considerato un atto giuridico settoriale dell’Unione ai sensi dell’articolo 4 di tale direttiva.
3. Il presente regolamento lascia impregiudicata la responsabilità degli Stati membri per quanto riguarda le funzioni essenziali dello Stato concernenti la sicurezza pubblica, la difesa e la sicurezza nazionale conformemente al diritto dell’Unione.
Disposizioni chiave del Digital Operational Resilience Act dell’Unione Europea
Questa innovativa legislazione mira a rafforzare la resilienza digitale del settore finanziario contro un ambiente in continua evoluzione: quello delle minacce informatiche.
Una delle caratteristiche chiave di DORA è la sua enfasi sulle misure di sicurezza informatica.
Le istituzioni finanziarie sono ora tenute a identificare, classificare e mitigare proattivamente i rischi informatici.
Le disposizioni chiave di DORA sono:
- Gstione e governance del rischio ICT,
- Gestione degli incidenti informatici,
- Testing della resilienza operativa digitale,
- Gestione del rischio di terze parti,
- Condivisione delle informazioni.
Gestione e Governance del Rischio ICT
Al centro del DORA c’è l’enfasi sulla robusta gestione e governance del rischio ICT. Le entità finanziarie e i fornitori di ICT sono tenuti a implementare e mantenere sistemi e strumenti ICT resilienti. Ciò include lo sviluppo di strategie e politiche complete per gestire e mitigare efficacemente i rischi ICT. L’obiettivo è garantire che queste entità possano continuare a operare senza intoppi, anche di fronte a minacce informatiche e altre interruzioni digitali.
Gestione degli Incidenti informatici
Questo elemento è cruciale per garantire che le entità finanziarie possano rispondere prontamente agli incidenti, ridurre l’impatto dei disservizi e che non ci sia una generale perdita di fiducia nel sistema finanziario.
DORA impone un approccio proattivo alla gestione degli incidenti. Le entità finanziarie e i fornitori di ICT devono implementare sistemi avanzati per il monitoraggio e la gestione degli incidenti ICT. Devono essere in grado di:
- Rilevare e registrare ogni incidente ICT significativo.
- Classificare gli incidenti in base alla loro gravità e impatto potenziale.
- Gestire efficacemente gli incidenti, adottando misure immediate per mitigare i danni e risolvere il problema.
Inoltre, gli incidenti ICT devono essere classificati in base a criteri specifici e devono avere tempi di segnalazione strettamente regolamentati per garantire una risposta tempestiva.
Test di Resilienza Operativa Digitale
Per valutare l’efficacia delle loro strategie di resilienza digitale, DORA richiede alle entità finanziarie di testare regolarmente i loro sistemi ICT per valutare la robustezza delle loro misure di protezione e identificarne le vulnerabilità.
Questo include una gamma di test: dagli assessment di base ai test di penetrazione (TLPT).
Questo regime di test proattivi è cruciale per mantenere l’integrità e la resilienza dell’infrastruttura digitale del settore finanziario.
Gestione del Rischio di Terze Parti
Riconoscendo la natura interconnessa dell’ecosistema finanziario, DORA pone una forte enfasi sulla gestione del rischio associato ai fornitori terzi di ICT.
Le entità finanziarie e i fornitori di ICT devono valutare e gestire attentamente i rischi associati all’outsourcing dei servizi ICT.
Questo include una diligence approfondita, nonché mantenere registri dettagliati delle informazioni relative ai fornitori di servizi ICT, verificare che i contratti includano disposizioni per la conformità ai requisiti di DORA come pure la conduzione di test di continuità operativa e di recupero dei disastri, specificamente per i servizi forniti dai fornitori critici.
Condivisione delle Informazioni e Applicazione Proporzionata
DORA incoraggia la condivisione delle informazioni relative alle minacce informatiche e alle vulnerabilità anche se non è un obbligo.
L’idea è di promuovere un ambiente collaborativo in cui le entità possano imparare dalle esperienze degli altri e rafforzare collettivamente le loro difese.
Importante:
DORA riconosce la diversità delle entità all’interno del settore finanziario. I suoi requisiti saranno applicati in modo proporzionato, il che significa che le entità più piccole non saranno tenute agli stessi standard rigorosi delle grandi istituzioni finanziarie. Questo approccio assicura che l’onere della conformità sia bilanciato con la dimensione dell’entità e la natura delle sue operazioni digitali.
Link importanti per il Digital Operational Resilience Act
Official Journal of the European Union.
Il Digital Operational Resilience Act è stato pubblicato nella Gazzetta Ufficiale dell’Unione Europea come Regolamento (UE) 2022/2554. Questa è la fonte ufficiale per tutta la legislazione dell’UE e fornisce il testo legale in tutte le lingue dell’UE.
European Banking Authority (EBA).
L’ Autorità Bancaria Europea (EBA) svolge un ruolo cruciale nello sviluppo di standard tecnici e linee guida a supporto dell’implementazione della legislazione finanziaria dell’UE, inclusa DORA. Il loro sito web contiene documenti pertinenti, linee guida e aggiornamenti sul progresso dell’implementazione di DORA.
European Securities and Markets Authority (ESMA).
Autorità Europea degli Strumenti Finanziari e dei Mercati (ESMA) è un altro ente regolatore chiave coinvolto nell’implementazione di DORA, focalizzandosi sui mercati dei titoli. Il loro sito web contiene informazioni, linee guida e rapporti relativi a DORA, specialmente riguardanti i partecipanti al mercato.
European Insurance and Occupational Pensions Authority (EIOPA).
Autorità Europea delle Assicurazioni e delle Pensioni Aziendali (EIOPA), Per gli aspetti di DORA che influenzano il mercato assicurativo, il sito web dell’EIOPA è una risorsa preziosa. Fornisce guide e informazioni rilevanti per le compagnie di assicurazione.
Sito Web della Commissione Europea. Può fornire riassunti, schede informative e il cronoprogramma legislativo, offrendo una panoramica completa del Regolamento e dei suoi obiettivi.