Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati, IT-Conformità e la regolamentazione dell'IA.
Il Legge sulla resilienza operativa digitale (DORA) dal 17 gennaio 2025 impone agli istituti finanziari di progettare i propri sistemi informatici, processi e architetture di sicurezza in modo da renderli resilienti agli incidenti informatici o alle interruzioni operative. Allo stesso tempo, la DORA inasprisce i requisiti in materia di tracciabilità: l’attuazione deve essere documentata in modo esaustivo e illustrata in modo trasparente nell’ambito delle verifiche. Ciò evidenzia che non solo la resilienza tecnica, ma anche la Documentazione rappresenta un elemento centrale della nuova normativa. Per la prima verifica, tuttavia, la BaFin ha annunciato alcune agevolazioni.
DORA: la nuova realtà degli esami
Per le revisioni contabili, ciò comporta un ampliamento dell’oggetto della revisione: oltre alle precedenti disposizioni BAIT (Requisiti di vigilanza bancaria in materia di IT), ZAIT (Requisiti di vigilanza sui servizi di pagamento in materia di IT) e KAIT (Requisiti di vigilanza sulle società di gestione del capitale in materia di IT), i requisiti DORA assumono ora un ruolo centrale come nuova dimensione di revisione.
Queste circolari nazionali contengono ciascuna requisiti minimi dettagliati in materia di governance IT, gestione della sicurezza, piani di emergenza e gestione dell’esternalizzazione. Proprio i primi cicli di verifica nell’ambito del DORA rivestono grande importanza, poiché consentono per la prima volta alle autorità di vigilanza e alle imprese di valutare in modo indipendente lo stato di attuazione.
In questo contesto, la BaFin, in una lettera dell'11 agosto 2025 indirizzata all'Istituto dei revisori contabili (IDW), ha illustrato due agevolazioni rilevanti dal punto di vista pratico per la prima revisione contabile delle imprese finanziarie soggette a vigilanza diretta.
Esenzione dall’obbligo di segnalazione per i difetti completamente eliminati
Nella pratica, è lecito supporre che nel primo anno di applicazione della DORA si verifichino numerose irregolarità. Molte di queste carenze, tuttavia, vengono risolte già entro lo stesso periodo di verifica. Non da ultimo perché parte degli standard tecnici richiesti (RTS/ITS) sono stati pubblicati solo molto tardi. Ad esempio, per quanto riguarda la rendicontazione, il registro delle informazioni o l’affidamento di subappalti.
In base ai principi di revisione applicabili, anche tali carenze corrette dovrebbero, in linea di principio, essere riportate nella relazione di revisione. Ciò potrebbe tuttavia comportare un Sovraccarico e confusione portare.
La BaFin autorizza pertanto, per il periodo transitorio:
- Semplificazione: I difetti già completamente eliminati non devono essere riportati in dettaglio nel rapporto di collaudo.
- Obbligo di informazione: Il revisore dovrebbe tuttavia sottolineare brevemente, che nel periodo di riferimento si sono verificate delle carenze che sono state risolte. Ciò consente ai destinatari della relazione di porre eventuali domande.
- Documentazione: Le constatazioni rimangono nei documenti di lavoro interni del revisore e sono quindi ancora verificabili.
- Chiarimenti: L'agevolazione riguarda esclusivamente la Segnalazionema non il Svolgimento dell'esame.
A partire dagli anni successivi, tornerà ad applicarsi l’obbligo di rendicontazione completa su tutte le constatazioni.
Oggetto della revisione in caso di esercizio finanziario diverso dal 2024/2025
Per le società finanziarie con un esercizio finanziario diverso dall’anno solare (ad es. da luglio 2024 a giugno 2025) si pone la questione di quali requisiti debbano essere verificati a partire dal 17 gennaio 2025. Questo problema riguarda in particolare gli istituti il cui esercizio finanziario ricade sia nel periodo precedente all’entrata in vigore del DORA sia nei primi mesi successivi.
La BaFin chiarisce:
- Non è possibile effettuare una verifica DORA completa in questo periodo transitorio, poiché la legge sulla digitalizzazione dei mercati finanziari (FinmadiG) prevede disposizioni transitorie.
- Ciononostante, l’obbligo di revisione informatica rimane parte integrante della verifica dell’adeguatezza e dell’efficacia della gestione dei rischi e dell’organizzazione aziendale.
- In questo periodo, l’esame dovrà basarsi sui modelli BAIT, ZAIT e KAIT, nella misura in cui i relativi requisiti siano contenuti anche nel DORA.
- I requisiti DORA che vanno oltre quanto previsto dalle precedenti circolari nazionali non rientrano nell'ambito dell'esame.
In questo modo si crea un quadro di transizione chiaro: da un lato si garantisce che gli aspetti fondamentali della governance e della resilienza IT continuino a essere verificati; dall’altro, le aziende non sono costrette ad affrontare una transizione completa nel bel mezzo dell’esercizio finanziario. Questa soluzione evita doppie verifiche e fornisce chiarezza sia ai revisori che alle imprese su come delimitare gli oggetti di revisione nell’anno di transizione. Inoltre, favorisce la continuità della prassi di revisione senza comportare oneri aggiuntivi eccessivi.
Suggerimento di lettura: La BaFin pubblica una guida sui requisiti di documentazione
Esame DORA 2025: valutazione e prospettive
Per gli istituti soggetti a vigilanza, queste agevolazioni comportano un notevole alleggerimento nel primo anno di verifica. In particolare, la possibilità di non dover più segnalare in dettaglio le carenze completamente risolte riduce notevolmente l’onere derivante dal lavoro di rettifica e dalla comunicazione successiva. Allo stesso tempo, la chiara delimitazione per gli esercizi finanziari non allineati consente una migliore pianificabilità: le imprese sanno che, durante il periodo di transizione, non saranno sottoposte immediatamente a una verifica completa secondo la DORA, ma continueranno a essere verificate secondo il quadro già noto (BAIT/ZAIT/KAIT).
Con la sua comunicazione, la BaFin garantisce ai revisori la certezza del diritto e criteri di revisione chiari. Senza questo chiarimento, si sarebbe corso il rischio che i revisori fossero costretti a elencare numerose carenze già risolte, il che avrebbe appesantito la relazione e ridotto il valore aggiunto per l’autorità di vigilanza. Con la soluzione adottata, la relazione di revisione si concentra sulle carenze sostanziali ancora presenti alla fine del periodo di riferimento. Ciò ne aumenta la leggibilità e la rilevanza ai fini decisionali per i destinatari, quali i consigli di sorveglianza o la stessa BaFin.
Con queste semplificazioni la BaFin persegue un obiettivo chiaro: ridurre l'onere per gli istituti e garantire al contempo la qualità della revisione. L'obbligo di fornire informazioni nella relazione significa che il necessario Trasparenza ricevuto. Se un istituto o l'autorità di vigilanza hanno dubbi sulle carenze che sono state corrette, possono essere chiariti attraverso le carte di lavoro o il dialogo con i revisori. L'autorità di vigilanza non perde quindi alcuna informazione, ma si limita a ridurre l'onere formale di segnalazione.
Le agevolazioni illustrate si applicano solo alla prima verifica del 2025. A partire dall’esercizio 2025/2026, la verifica DORA completa diventerà obbligatoria e tutte le non conformità dovranno essere nuovamente riportate in modo esaustivo. Ciò include anche le non conformità risolte nel periodo di riferimento. Le società finanziarie dovrebbero pertanto sfruttare la fase di transizione per portare a termine in modo rapido e completo i propri progetti di attuazione della DORA.
Inoltre, è prevedibile che la BaFin ricavi dalle prime verifiche preziose indicazioni sulle modalità di attuazione. Queste saranno probabilmente integrate nei futuri punti chiave delle verifiche, nelle linee guida o nelle circolari. È quindi strategicamente consigliabile non limitarsi ad attuare il minimo necessario per soddisfare le norme transitorie, ma applicare la DORA-Conformità garantire fin da subito un livello elevato.
Concentrarsi sui rischi principali
Con le due semplificazioni
- Esenzione dall'obbligo di segnalazione per i difetti eliminati e
- Disposizioni transitorie per esercizi finanziari non allineati
La BaFin tiene conto delle particolari sfide poste dalla prima verifica DORA.
Queste misure garantiscono un alleggerimento degli oneri, la certezza del diritto e una maggiore leggibilità delle relazioni di revisione, senza compromettere la qualità della revisione stessa. Allo stesso tempo, la BaFin lancia un segnale: già nel primo anno l’attenzione non è rivolta alla completezza formale delle relazioni, bensì alla focalizzazione sui rischi essenziali.
Per gli istituti ciò non rappresenta tuttavia un via libera, bensì un invito ad attuare in modo coerente la direttiva DORA, al fine di soddisfare pienamente i requisiti al più tardi a partire dal 2026.
Fonte: Lettera della BaFin dell’11 agosto 2025 all’Istituto dei revisori contabili (IDW)
La nostra offerta: Come esperti di protezione dei dati, Conformità e la gestione del rischio, vi supportiamo nell'implementazione dei requisiti DORA. Fissate un appuntamento per conoscerci e lavorare insieme per rendere la vostra organizzazione a prova di futuro.
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPR, IT-Conformità e la governance dell'IA. Pubblica regolarmente articoli approfonditi sulla regolamentazione dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
German 
English 
Italian 
French