Il Digital Operational Resilience Act (DORA) è un regolamento dell’Unione europea, in vigore dal 17 gennaio 2023. La sua applicazione avrà inizio il 17 gennaio 2025. Il DORA fa parte di un ampio pacchetto dell’UE dedicato alla digitalizzazione e mira in particolare a rendere i mercati finanziari più resilienti alle crescenti minacce rappresentate dagli attacchi informatici.
Contesto e necessità della DORA
Negli ultimi anni la digitalizzazione ha profondamente trasformato il settore finanziario. Banche, compagnie assicurative, fornitori di servizi di pagamento e altri istituti finanziari ricorrono sempre più alle tecnologie digitali per rendere i propri servizi più efficienti e orientati al cliente. Allo stesso tempo, però, queste tecnologie sono vulnerabili agli attacchi informatici, ai guasti tecnici e ad altri rischi operativi.
L’UE ha riconosciuto che la resilienza operativa del settore finanziario non rappresenta solo una sfida per le imprese stesse, ma può anche costituire una minaccia per la stabilità dell’intero sistema finanziario. Un grave guasto informatico o un attacco informatico ai danni di un grande istituto finanziario potrebbe causare gravi perturbazioni e minare la fiducia dei consumatori e dei mercati.
La pandemia di COVID-19 e il conseguente aumento degli attacchi informatici al settore finanziario hanno messo ulteriormente in evidenza tali rischi. In particolare, è emerso chiaramente che molte società finanziarie sono ancora vulnerabili, nonostante le politiche di sicurezza informatica e i piani di emergenza già in atto.
Pertanto, era necessario introdurre un regolamento a livello dell’UE come il DORA per gestire meglio i rischi digitali e preparare il settore finanziario alle crisi legate all’IT.
Obiettivi del DORA
Gli obiettivi centrali del DORA sono
- Protezione dagli attacchi informatici e dai malfunzionamenti informatici:
DORA ha lo scopo di garantire che le imprese finanziarie siano in grado di individuare, valutare, gestire e mitigare in modo efficace i rischi connessi all'utilizzo dei sistemi ICT. - Armonizzazione dei requisiti normativi:
Con l'introduzione di requisiti uniformi in materia di resilienza digitale, l'UE intende garantire che non vi siano differenze normative tra gli Stati membri. Ciò dovrebbe rappresentare un vantaggio soprattutto per i fornitori di servizi finanziari transfrontalieri. - Migliore collaborazione e monitoraggio:
La DORA impone agli istituti finanziari di coordinarsi meglio con le autorità competenti e gli altri attori del settore in caso di incidenti. - Impegno per sistemi ICT solidi:
Le aziende devono garantire che i propri sistemi ICT siano sufficientemente robusti da garantire il funzionamento anche in caso di guasti informatici o attacchi informatici.
Queste aziende sono coperte dalla legge sulla resilienza operativa digitale.
La DORA si rivolge a un'ampia gamma di organizzazioni finanziarie e di fornitori di servizi ICT. Ai sensi dell'articolo 2 (1) del DORA, l'ambito di applicazione comprende
a) Istituti di credito CRR,
b) Istituti di pagamento,
c) Fornitori di servizi di informazione sul conto,
d) Istituti di moneta elettronica,
e) Imprese di investimento,
f) i fornitori di servizi nel settore delle criptovalute autorizzati ai sensi del regolamento del Parlamento europeo e del Consiglio sui mercati dei valori crittografici (MiCAR) e gli emittenti di token indicizzati al valore,
g) Deposito centrale di titoli,
h) controparti centrali,
i) sedi di negoziazione,
j) deposito commerciale,
k) Gestori di fondi di investimento alternativi,
l) Società di gestione
m) Servizi di fornitura di dati,
n) imprese di assicurazione e di riassicurazione,
o) intermediari assicurativi, intermediari di riassicurazione e intermediari assicurativi a titolo accessorio,
p) Piani pensionistici aziendali,
q) Agenzie di rating,
r) Amministratori di valori critici di riferimento,
s) Fornitori di servizi di finanziamento degli sciami,
t) Registro delle cartolarizzazioni
u) Fornitore di servizi ICT
Poiché oggigiorno molte società finanziarie si avvalgono di fornitori esterni di servizi ICT, DORA pone l’attenzione anche sui fornitori terzi. Questi fornitori devono soddisfare gli stessi requisiti di sicurezza e resilienza degli stessi istituti finanziari.
Ai sensi dell’articolo 2, paragrafo 3, del DORA, sono previste deroghe per le seguenti imprese:
- Gestori di fondi di investimento alternativi ai sensi dell'articolo 3, paragrafo 2, della direttiva 2011/61/UE;
- Imprese di assicurazione e di riassicurazione ai sensi dell’articolo 4 della direttiva 2009/138/CE;
- Enti previdenziali aziendali che gestiscono regimi pensionistici con un numero complessivo di beneficiari inferiore a 15;
- persone fisiche o giuridiche esentate ai sensi degli articoli 2 e 3 della direttiva 2014/65/UE;
- Intermediari assicurativi, intermediari di riassicurazione e intermediari assicurativi che esercitano tale attività a titolo accessorio, qualora si tratti di microimprese o di piccole o medie imprese;
- Uffici postali ai sensi dell’articolo 2, paragrafo 5, punto 3, della direttiva 2013/36/UE.
Elementi fondamentali del DORA
DORA comprende una serie di requisiti e misure specifici che gli istituti finanziari sono tenuti ad attuare. Tra gli elementi più importanti figurano:
- Gestione del rischio ICT
Gli istituti finanziari devono disporre di un solido Gestione del rischio disporre di un sistema specificamente orientato ai rischi connessi ai sistemi ICT. Tra questi figurano, tra l’altro: - Identificazione delle vulnerabilità e delle minacce nei sistemi ICT.
- Attuazione di misure di protezione volte a prevenire o ridurre i rischi.
- Valutazione periodica dell'efficacia di tali misure.
- Dipendenza da fornitori terzi
Poiché molti istituti finanziari si avvalgono di servizi ICT forniti da operatori esterni, la dipendenza da fornitori terzi rappresenta un tema centrale nel regolamento DORA. Il regolamento prevede che vengano valutati e monitorati anche i rischi connessi ai fornitori terzi. Le società finanziarie devono garantire che i propri fornitori di servizi esterni rispettino gli stessi standard di sicurezza da loro applicati. - Piani di emergenza e continuità operativa
Un aspetto fondamentale di DORA è garantire la continuità operativa in caso di incidente informatico o di guasto informatico. Gli istituti finanziari devono elaborare piani di emergenza completi che tengano conto anche di scenari quali attacchi informatici, guasti tecnici o calamità naturali. Tali piani devono essere testati e aggiornati regolarmente. - TIC-Documentazione e lo scambio di informazioni
Gli istituti finanziari sono tenuti a documentare gli incidenti informatici e a segnalarli alle autorità competenti. Una componente fondamentale del DORA è lo scambio di informazioni su minacce e vulnerabilità. Ciò ha lo scopo di aiutare l’intero settore a prepararsi meglio contro gli attacchi informatici. - Supervisione e sanzioni
DORA conferisce alle autorità di vigilanza competenti degli Stati membri dell'UE ampi poteri in materia di controllo e applicazione del regolamento. In caso di inadempienza possono essere inflitte sanzioni pecuniarie elevate.
Suggerimento di lettura: Direttiva NIS 2 – queste sono le imprese interessate
Vantaggi e sfide di DORA per le aziende
Vantaggi di Dora sono:
- Maggiore sicurezza e resilienza:
L’introduzione di standard di sicurezza uniformi rafforza la resilienza digitale del settore finanziario nell’UE. - Coerenza e chiarezza:
L'armonizzazione dei requisiti riduce la frammentazione normativa e garantisce regole chiare in tutti gli Stati membri. - Protezione dei consumatori:
I clienti possono stare certi che i loro dati e i loro beni sono protetti in modo più efficace, anche in tempi di crisi. - Maggiore stabilità del mercato:
Rendendo gli istituti finanziari più resilienti ai guasti informatici e agli attacchi informatici, DORA contribuisce alla stabilità dell’intero sistema finanziario.
Le aziende interessate devono però anche trovare un accordo Le sfide luogo:
- Costi:
L'attuazione dei requisiti DORA può comportare costi considerevoli, in particolare per le piccole imprese, che potrebbero non disporre delle risorse necessarie. - Dipendenza da fornitori terzi:
Il monitoraggio dei fornitori terzi può risultare complesso e difficile, soprattutto quando si tratta di aziende globali Nuvola- sono coinvolti fornitori come Amazon Web Services o Microsoft. - Complessità dei requisiti:
DORA richiede un elevato livello di implementazione tecnica e organizzativa, il che può rappresentare una sfida per molte aziende.
Le autorità di vigilanza dell'UE stanno elaborando standard concreti per l'applicazione del DORA
Attraverso l’introduzione di requisiti uniformi in materia di gestione dei rischi, protezione dagli attacchi informatici e collaborazione tra gli attori coinvolti, DORA mira a garantire che le imprese finanziarie e i loro sistemi ICT diventino più resilienti di fronte alle crescenti minacce digitali. Sebbene la sua attuazione possa comportare alcune difficoltà, a lungo termine il DORA dovrebbe contribuire ad aumentare la stabilità e la sicurezza del mercato finanziario.
Le tre autorità di vigilanza europee – l’Autorità europea per i valori mobiliari e i mercati (European Securities and Markets Authority – ESMA), l’Autorità bancaria europea (European Banking Authority – EBA) e l’Autorità dell’Unione europea per laAutorità di vigilanza per il settore assicurativo e delle pensioni aziendali (Autorità europea delle assicurazioni e delle pensioni aziendali – EIOPA), elaborano congiuntamente standard tecnici di regolamentazione, standard di attuazione e Linee guidache concretizzano ulteriormente l'applicazione del DORA in tutti i settori.
Fonte: Regolamento sulla resilienza operativa digitale nel settore finanziario del 14 dicembre 2022
German 
English 
Italian 
French