L'Autorità federale tedesca di vigilanza finanziaria (BaFin) ha pubblicato una panoramica strutturata dei requisiti di documentazione della legge sulla resilienza operativa digitale (DORA). Con questa guida sulla DORA, la BaFin intende aiutare le organizzazioni finanziarie a orientarsi rapidamente tra i vari testi di legge.
Cosa offre la guida DORA della BaFin
Il regolamento DORA dell'UE deve essere attuato dalle aziende a partire dal 17 gennaio 2025. L'obiettivo è quello di rafforzare il mercato finanziario europeo contro i rischi informatici e gli incidenti nelle tecnologie dell'informazione e della comunicazione (ICT). A ciò contribuiscono anche i requisiti di documentazione che le società sottoposte a vigilanza devono soddisfare. Questi sono definiti in vari articoli della DORA e nelle norme tecniche di regolamentazione e di attuazione.
La guida BaFin pubblicata a metà dicembre ha lo scopo di supportare le società finanziarie nell'implementazione dei requisiti di documentazione derivanti dalla DORA. La guida fornisce una panoramica iniziale della documentazione minima specificata nella DORA e negli Standard Tecnici di Regolamentazione (RTS) e negli Standard Tecnici di Implementazione (ITS).
Importante: la panoramica non rappresenta un'interpretazione vincolante da parte della BaFin. Non contiene inoltre alcuna interpretazione nell'ambito dei processi di Q&A delle tre autorità di vigilanza europee (EBA - European Banking Authority, ESMA - European Securities and Markets Authority e EIOPA - European Insurance and Occupational Pensions Authority).
Suggerimento di lettura: Il DORA entrerà in vigore a partire da gennaio 2025: queste le aziende interessate
Come funziona la panoramica BaFin
Nella panoramica, i documenti minimi richiesti sono disposti tenendo conto della struttura specificata nei testi di legge. Le singole colonne riportano i capitoli, le sezioni e gli articoli della DORA e gli standard tecnici normativi e attuativi che il BaFin ritiene rilevanti. I singoli documenti sono presentati gerarchicamente nelle righe.
I requisiti degli standard tecnici normativi e attuativi sono assegnati alle colonne in base all'argomento.
Le politiche e le procedure relative alle politiche e alle procedure di sicurezza delle TIC di cui all'articolo 9, paragrafo 2, della DORA sono etichettate di conseguenza.
L'aiuto all'orientamento DORA non può offrire questo
Tuttavia, secondo la BaFin, la panoramica non riguarda la forma e il contenuto dei documenti elencati. Tuttavia, gli enti vigilati dovrebbero preparare i documenti in modo comprensibile e tenendo conto del principio di proporzionalità in conformità alla Sezione 4 della DORA. Anche i requisiti di contenuto per i documenti minimi, come le procedure speciali, i protocolli o gli strumenti, non sono inclusi nella panoramica. Oltre a questi documenti minimi, possono essere richiesti altri documenti (cfr. articolo 6, paragrafo 2, della DORA).
I seguenti capitoli o articoli non sono elencati singolarmente nella panoramica in quanto non contengono documenti minimi per soddisfare i requisiti DORA:
- Capo I Articoli 1-5 DORA e Titolo I Articolo 1 e Titolo II Capo I Sezione 1 Articolo 2 RTS RMF: disposizioni generali (oggetto, ambito di applicazione, definizione, principio di proporzionalità, ecc.)
- Capitolo II Articolo 7 DORA: requisiti per i sistemi, i protocolli e gli strumenti TIC
- Capo II Articolo 15 DORA: Ulteriore armonizzazione di strumenti, metodi, processi e linee guida per la gestione del rischio ICT[1] (spiega in particolare quali norme tecniche di regolamentazione integrano la DORA)
- Capitolo V, sezione 2 (articoli 31-44) DORA: quadro di monitoraggio dei fornitori terzi di servizi TIC critici
- Dal capitolo VI al capitolo IX della DORA: accordi sullo scambio di informazioni, autorità competenti, atti delegati, disposizioni transitorie e finali.
Inoltre, i regolamenti della DORA che sono rilevanti solo per un numero limitato di organizzazioni finanziarie non sono inclusi in questa panoramica. Tra questi, il "Quadro semplificato per la gestione del rischio ICT" di cui all'articolo 16 della DORA e al titolo III dell'RTS RMF, nonché i test estesi basati sui test di penetrazione guidati dalle minacce (TLPT, articoli 26 e 27 della DORA). Altri regolamenti speciali (ad esempio le esenzioni per le microimprese) non sono inclusi in questa panoramica.
Fonte: Requisiti di documentazione DORA della BaFin
Fonte: Requisiti della documentazione DORA della BaFin (fronte/retro per la stampa)
Italian 
German 
English 
French