Articolo Pubblicazioni

DORA dal 17 gennaio 2025: gli obblighi ICT per banche e assicurazioni

di · Pubblicato il 20 gennaio 2025

Abstract

Dal 17 gennaio 2025 si applica il Digital Operational Resilience Act, il Regolamento (UE) 2022/2554, che armonizza in tutta l’Unione le regole sulla gestione del rischio informatico per banche, assicurazioni, imprese di investimento e altri soggetti finanziari. L’articolo descrive chi è obbligato, i cinque ambiti di obblighi, le norme tecniche di attuazione adottate nel 2024, il rapporto con la direttiva NIS2 e le priorità per i primi mesi di applicazione.

Vincenzo Calabrò | DORA dal 17 gennaio 2025: gli obblighi ICT per banche e assicurazioni
 

Da dove nasce

Il settore finanziario dipende dai sistemi informatici per quasi ogni attività, dai pagamenti alla negoziazione, dalla gestione dei conti alle polizze. Fino alla fine del 2024 le regole sulla sicurezza ICT erano sparse tra orientamenti delle autorità europee di vigilanza, norme nazionali e circolari delle banche centrali, con differenze tra paesi e settori. Il Regolamento (UE) 2022/2554, pubblicato nella Gazzetta ufficiale dell’Unione il 27 dicembre 2022 ed entrato in vigore il 16 gennaio 2023, le unifica in un testo direttamente applicabile. La direttiva (UE) 2022/2556 ha modificato le direttive di settore per coordinarle. Dal 17 gennaio 2025 gli obblighi sono pienamente operativi.

Chi è obbligato

Il regolamento si applica a una ventina di categorie di entità finanziarie, tra cui enti creditizi, istituti di pagamento e di moneta elettronica, imprese di investimento, prestatori di servizi per le cripto-attività, gestori di sedi di negoziazione, depositari centrali e controparti centrali, imprese di assicurazione e riassicurazione, intermediari assicurativi, enti pensionistici aziendali o professionali, agenzie di rating e piattaforme di crowdfunding. Il principio di proporzionalità adatta gli obblighi a dimensione e rischio, e per le entità più piccole è previsto un quadro semplificato di gestione del rischio ICT.

I cinque ambiti

Gli obblighi sono organizzati in cinque ambiti, a cui si aggiunge la condivisione volontaria delle informazioni sulle minacce:
  1. gestione del rischio ICT, con un quadro documentato di identificazione, protezione, rilevamento, risposta, ripristino e comunicazione, sotto la responsabilità dell’organo di gestione;
  2. gestione, classificazione e segnalazione degli incidenti ICT, con l’obbligo di notificare all’autorità competente gli incidenti gravi;
  3. test di resilienza operativa digitale, con un programma annuale di test e, per le entità più rilevanti, test avanzati basati sulle minacce almeno ogni tre anni;
  4. gestione del rischio derivante da fornitori terzi di servizi ICT, con registro delle informazioni sui contratti e clausole contrattuali obbligatorie;
  5. sorveglianza diretta dei fornitori ICT critici da parte delle autorità europee di vigilanza.

La responsabilità dell’organo di gestione

L’articolo 5 attribuisce all’organo di gestione la responsabilità finale della gestione del rischio ICT. Il consiglio di amministrazione approva la strategia di resilienza, assegna ruoli e risorse, approva la politica sui fornitori ICT e deve mantenere conoscenze adeguate attraverso una formazione periodica. Non è più possibile delegare interamente il tema alla funzione informatica.

Gli incidenti gravi

La classificazione degli incidenti segue criteri fissati dalle norme tecniche, come numero di clienti coinvolti, durata, estensione geografica, perdita di dati, criticità dei servizi e impatto economico. Per gli incidenti gravi le norme tecniche di attuazione prevedono una notifica iniziale entro quattro ore dalla classificazione e comunque entro ventiquattro ore dalla conoscenza dell’incidente, una relazione intermedia entro settantadue ore dalla notifica iniziale e una relazione finale entro un mese. Le entità possono anche notificare, su base volontaria, le minacce informatiche significative.

I fornitori ICT

La parte sui fornitori è quella che richiede più lavoro in questi mesi. Ogni entità deve tenere un registro delle informazioni su tutti gli accordi contrattuali con fornitori ICT, secondo un modello standard, da trasmettere alle autorità. I contratti devono contenere clausole minime previste dall’articolo 30, come descrizione dei servizi, luoghi di trattamento dei dati, livelli di servizio, assistenza in caso di incidente, diritti di accesso e di audit, strategie di uscita. I fornitori designati come critici saranno sottoposti alla sorveglianza di un’autorità europea capofila.

I test avanzati

I test di penetrazione guidati dalla minaccia, indicati con la sigla TLPT, riguardano le entità che le autorità individuano in base a impatto, rilevanza sistemica e profilo di rischio ICT. Si ispirano al quadro TIBER-EU già adottato da molte banche centrali e simulano le tattiche di attaccanti reali sui sistemi di produzione che supportano funzioni essenziali o importanti. Devono coinvolgere, quando i servizi sono esternalizzati, anche i fornitori ICT. I tester devono possedere requisiti di idoneità e reputazione, essere coperti da assicurazione e, nel caso di tester interni, rispettare condizioni aggiuntive. Al termine l’autorità rilascia un’attestazione che può essere riconosciuta dalle autorità degli altri Stati.

Il rapporto con la NIS2

Banche e infrastrutture dei mercati finanziari rientrano anche nell’ambito della direttiva NIS2. La NIS2 stessa prevede che, quando un atto settoriale dell’Unione impone obblighi almeno equivalenti, si applichino le norme settoriali. Il DORA è considerato un atto di questo tipo per gli aspetti di gestione del rischio e di segnalazione degli incidenti. Per le entità finanziarie il riferimento operativo è quindi il DORA, con un coordinamento tra le autorità di vigilanza finanziaria e quelle competenti per la NIS2.

Le priorità per i primi mesi

Per chi deve adeguarsi ora alcune attività hanno la precedenza:
  • completare il registro delle informazioni sui fornitori ICT, che le autorità hanno già iniziato a raccogliere;
  • verificare che la procedura di gestione degli incidenti consenta di classificare un evento e notificarlo entro quattro ore;
  • rivedere i contratti con i fornitori principali per inserire le clausole dell’articolo 30;
  • aggiornare il quadro di gestione del rischio ICT e farlo approvare dall’organo di gestione;
  • pianificare il programma di test e, per le entità tenute, prepararsi ai test avanzati basati sulle minacce.
Le autorità competenti in Italia sono Banca d’Italia, Consob, IVASS e COVIP, ciascuna per i soggetti che vigila. Il regolamento lascia ai legislatori nazionali la definizione di alcuni aspetti, in particolare le sanzioni, e l’adeguamento della normativa italiana è in corso.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn