I punti chiave da tenere presenti per comprendere la normativa DORA
- Il regolamento DORA istituisce un quadro europeo unificato per la gestione dei rischi digitali, volto a garantire la continuità dei servizi finanziari anche in caso di attacchi informatici, guasti o incidenti tecnologici di grave entità.
- Il regolamento armonizza i requisiti in tutti gli Stati membri, imponendo norme comuni in materia di governance, gestione dei servizi TIC, supervisione dei fornitori e gestione degli incidenti.
- Il suo ambito di applicazione copre un’ampia gamma di operatori finanziari e dei loro fornitori di servizi tecnologici essenziali, al fine di tenere conto della crescente importanza delle infrastrutture digitali nel funzionamento del settore.
- Il regolamento DORA introduce obblighi operativi più rigorosi, in particolare in materia di gestione dei rischi informatici, test di resilienza, monitoraggio dei fornitori terzi e segnalazione degli incidenti significativi alle autorità.
- La marcatura temporale qualificata si configura come uno strumento fondamentale per la conformità, in quanto garantisce l’integrità, la tracciabilità e il valore probatorio delle informazioni, consentendo così alle organizzazioni di dimostrare con precisione la cronologia delle proprie azioni.
Che cos’è il regolamento DORA?
Il regolamento DORA (Digital Operational Resilience Act), adottato alla fine del 2022 e pubblicato poco dopo nella Gazzetta ufficiale dell’Unione europea, rientra nella strategia europea volta a definire la gestione dei rischi digitali nel settore finanziario.
Il suo obiettivo è quello di definire un quadro coerente affinché tutte le organizzazioni finanziarie operanti nell’UE possano proseguire le proprie attività, anche in caso di interruzione dei sistemi informatici.
Il regolamento DORA impone quindi norme comuni per far fronte agli incidenti: attacchi informatici, guasti ai sistemi, malfunzionamenti del software o indisponibilità di un fornitore di servizi tecnologici. Le istituzioni devono garantire un livello di continuità adeguato, preservando al contempo l’integrità delle proprie operazioni e la protezione dei propri clienti.
Gli obiettivi del regolamento DORA
Al fine di rafforzare la resilienza operativa in Europa, il regolamento definisce quattro obiettivi chiave:
Garantire la continuità operativa
Gli istituti finanziari devono organizzare il proprio funzionamento in modo da poter far fronte a diversi tipi di incidenti: guasti ai sistemi, attacchi informatici, indisponibilità di un fornitore di servizi cloud…
Il regolamento DORA promuove un approccio proattivo: la capacità di garantire la continuità operativa non è più solo una reazione a un incidente, ma una modalità operativa integrata nei processi correnti.
Armonizzare le norme in materia di gestione dei rischi in tutti gli Stati membri
Prima dell’entrata in vigore del regolamento DORA, gli obblighi in materia di rischi digitali variavano a seconda delle giurisdizioni.
Il regolamento stabilisce ora una base comune per tutti i paesi dell’UE, con requisiti condivisi in materia di governance, gestione dei servizi TIC e supervisione dei fornitori.
Regolamentare in modo più rigoroso i fornitori di servizi tecnologici
Il regolamento DORA introduce una sorveglianza rafforzata per i fornitori considerati critici, con possibili audit, obblighi contrattuali precisi e un monitoraggio diretto da parte delle autorità europee.
Migliorare l'individuazione, la documentazione e la segnalazione degli incidenti
Le organizzazioni devono individuare tempestivamente gli incidenti relativi alle TIC, valutarne l'impatto, classificarli secondo criteri precisi e, successivamente, segnalarli alle autorità entro un termine prestabilito.
Questo approccio strutturato mira a migliorare la capacità collettiva delle istituzioni europee di comprendere le minacce, coordinare le risposte e monitorare i rischi sistemici.
L'ambito di applicazione delle organizzazioni soggette alla normativa DORA
Il regolamento non si rivolge esclusivamente agli istituti finanziari, ma anche ai fornitori di servizi tecnologici che contribuiscono alle loro operazioni. Questo approccio di ampio respiro riconosce il ruolo centrale dei servizi digitali nel garantire la continuità e l'affidabilità delle attività finanziarie.
Le organizzazioni finanziarie interessate
- Istituti di credito
- Istituti di pagamento
- Istituti di moneta elettronica
- Fornitori di servizi di informazione sui conti (AISP)
- Società di investimento
- Gestori di società di gestione di OICVM
- Gestori di fondi di investimento alternativi (AIFM)
- Depositi centrali di titoli (CSD)
- Controparti centrali (CCP)
- Piattaforme di negoziazione (mercati regolamentati, MTF, OTF)
- Amministratori di benchmark critici
- Standard di cartolarizzazione
- Fornitori di servizi di reporting dei dati (DRSP)
- Agenzie di rating
- Compagnie di assicurazione e di riassicurazione
- Intermediari assicurativi e riassicurativi
- Enti previdenziali aziendali
- Fornitori di servizi relativi alle cripto-attività ed emittenti di token garantiti da attività (MiCA)
- Operatori autorizzati nel settore del crowdfunding
Tutte queste organizzazioni devono integrare i requisiti del DORA nelle proprie pratiche di governance e rafforzare la propria capacità di garantire la continuità dei propri servizi, indipendentemente dalle condizioni operative.
L’integrazione dei fornitori di servizi tecnologici
Il testo non si limita ai confini delle organizzazioni finanziarie. Ogni volta che un servizio tecnologico contribuisca al funzionamento di un’attività soggetta a regolamentazione, il fornitore in questione rientra nel campo di applicazione del regolamento.
Sono quindi in particolare oggetto di attenzione:
- I servizi di identità digitale o di firma elettronica
- I gestori di dati sensibili
- I produttori di software utilizzati per le transazioni, la sicurezza informatica o la gestione dei rischi
- I fornitori di soluzioni cloud, che si tratti di infrastruttura, piattaforma o software
- I soggetti incaricati del trattamento, del salvataggio o della conservazione dei dati
Tale integrazione risponde a una logica semplice: la resilienza operativa di un operatore finanziario dipende anche dall’affidabilità del proprio ecosistema tecnologico. Il regolamento DORA impone quindi obblighi più rigorosi a tutti i fornitori la cui inadempienza potrebbe compromettere la continuità o la sicurezza di un servizio finanziario.
Principali requisiti della normativa DORA
La gestione dei rischi legati alle TIC
La conformità alla normativa DORA richiede che le organizzazioni definiscano una strategia chiara di gestione dei rischi digitali. Tale approccio consiste nel:
- Individuare i punti deboli del proprio ambiente tecnologico,
- Garantire la sicurezza dei dati grazie a sistemi di backup affidabili,
- Predisporre meccanismi di continuità operativa
- Sensibilizzare i team alle buone pratiche in materia di sicurezza
L'obiettivo è quello di rafforzare la capacità dell'azienda di far fronte alle perturbazioni che potrebbero derivare da un incidente che coinvolga le tecnologie dell'informazione e della comunicazione.
Gestione, classificazione e segnalazione degli incidenti relativi alle TIC
La normativa DORA impone alle organizzazioni finanziarie di predisporre un sistema chiaro ed efficiente per la gestione degli incidenti legati alle tecnologie dell’informazione. Le entità devono essere in grado di individuare rapidamente qualsiasi anomalia, valutarne l’impatto operativo e conservare una traccia dettagliata di ogni evento. Tale approccio si basa su un monitoraggio continuo dei sistemi, una registrazione accurata dei malfunzionamenti e un’analisi sistematica a seguito della risoluzione, al fine di individuare le aree di miglioramento e rafforzare le procedure interne.
La fase di classificazione riveste un ruolo centrale, poiché consente di valutare la gravità di ciascun incidente in base a diversi criteri, tra cui:
- Il numero di clienti coinvolti
- La durata dell’interruzione
- Le perdite finanziarie correlate
- La potenziale divulgazione di dati sensibili
- L'eventuale coinvolgimento di un fornitore terzo
In caso di incidente grave, la normativa DORA prevede una procedura strutturata di notifica alle autorità competenti. Le organizzazioni devono presentare una prima segnalazione entro ventiquattro ore, trasmettere una relazione intermedia una volta consolidati i dati e, infine, inviare una relazione finale che illustri in dettaglio l’analisi completa e le misure correttive attuate. Questo sistema di rendicontazione mira a rafforzare la trasparenza e a migliorare il coordinamento europeo di fronte ai rischi digitali.
Test di resilienza
Il regolamento DORA impone alle istituzioni di verificare regolarmente la propria capacità di resistere alle perturbazioni digitali. I test devono essere pianificati, documentati e adeguati ai rischi specifici di ciascuna organizzazione. Essi comprendono esercitazioni tecniche di routine, quali l’analisi delle vulnerabilità o le simulazioni di incidenti, nonché scenari più avanzati volti a valutare il comportamento dell’organizzazione di fronte a situazioni critiche.
Le entità considerate significative devono effettuare tali test avanzati ogni tre anni, sotto la supervisione di esperti indipendenti che rispettino gli standard tecnici definiti dalle autorità europee.
Ogni esercizio deve poi essere oggetto di un’analisi volta a individuare le opportunità di miglioramento e a rafforzare progressivamente la resilienza operativa.
Gestione dei rischi connessi ai fornitori terzi
Il regolamento DORA dedica particolare attenzione ai servizi esternalizzati. Le organizzazioni devono conoscere con precisione le proprie dipendenze tecnologiche e valutare il potenziale impatto di un’interruzione del servizio da parte di un fornitore. Ciò implica identificare i servizi affidati a terzi, misurarne la criticità e classificare i fornitori in base alla loro importanza operativa. I contratti devono includere clausole relative ai livelli di servizio, alla sicurezza dei dati, alla risoluzione del contratto, al diritto di audit e agli obblighi di notifica in caso di incidenti. Alcuni fornitori particolarmente sensibili possono essere soggetti a una supervisione rafforzata da parte delle autorità europee. Il regolamento DORA richiede infine un monitoraggio regolare dei fornitori al fine di garantire il rispetto degli impegni e la gestione dei rischi associati.
Condivisione delle informazioni
La normativa DORA incoraggia le organizzazioni finanziarie a scambiarsi informazioni rilevanti sulle minacce informatiche. Tale condivisione mira a migliorare la comprensione collettiva dei rischi e a rafforzare la capacità del settore di reagire agli attacchi.
Le entità possono, in particolare, fornire informazioni relative alle tecniche di frode osservate, agli attacchi informatici subiti, alle vulnerabilità recentemente individuate o alle soluzioni tecniche di comprovata efficacia.
Tali scambi devono essere regolamentati, sicuri e conformi alle norme europee, in particolare a quelle relative alla concorrenza e alla protezione dei dati.
La marcatura temporale qualificata Evidency: una soluzione per garantire la conformità alla normativa DORA
Il regolamento DORA impone alle organizzazioni finanziarie di poter dimostrare, in modo incontrovertibile, la cronologia delle proprie azioni e l’affidabilità della propria documentazione operativa. La capacità di dimostrare quando è stato rilevato un incidente, come è stato gestito e in quale momento sono state informate le autorità è al centro del dispositivo.
Evidency, in qualità di Qualified Trust Service Provider (QTSP) conforme al regolamento eIDAS, offre un servizio di marcatura temporale qualificata che risponde direttamente a tali esigenze. Grazie alla marcatura temporale qualificata di documenti ed eventi digitali, le organizzazioni possono:
- Individuare con precisione il momento in cui è stato rilevato un incidente,
- Tracciare la creazione o la modifica dei documenti operativi,
- Garantire il monitoraggio dei registri tecnici relativi alla gestione dei rischi,
- Dimostrare il rispetto dei termini previsti dalla normativa,
- Fornire elementi verificabili in occasione degli audit.
La marcatura temporale qualificata garantisce l’integrità delle informazioni e costituisce una prova giuridicamente opponibile in tutta l’Unione europea. Diventa così uno strumento determinante per rafforzare la trasparenza documentale e soddisfare i requisiti di tracciabilità imposti dalla normativa DORA.
Integrità, trasparenza e conformità: i pilastri di una resilienza efficace
Il regolamento DORA impone un approccio strutturato alla resilienza digitale e trasforma in modo duraturo i requisiti richiesti sia agli istituti finanziari che ai loro fornitori di servizi tecnologici. La conformità si basa su una governance chiara, su una previsione accurata dei rischi e su una comprovata capacità di documentare ogni fase della gestione degli incidenti e delle operazioni sensibili.
In quest’ottica,la marcatura temporale qualificata svolge un ruolo determinante: fornisce una prova affidabile della cronologia delle azioni svolte e garantisce la qualità dei documenti giustificativi richiesti dalle autorità. Rafforzando la tracciabilità e l’integrità delle informazioni, fornisce un supporto concreto alle organizzazioni che devono dimostrare la propria conformità agli obblighi introdotti dal regolamento DORA.
Esonero di responsabilità
Le opinioni, le presentazioni, le cifre e le stime presentate sul sito web, compreso il blog, sono solo a scopo informativo e non devono essere considerate come consulenza legale. Per una consulenza legale, deve contattare un professionista del settore nella sua giurisdizione.
L'uso del contenuto di questo sito web, compreso il blog, per scopi commerciali, inclusa la rivendita, è vietato senza il previo consenso di Evidency. La richiesta di autorizzazione deve specificare lo scopo e la portata della riproduzione. Per scopi non commerciali, tutto il materiale di questa pubblicazione può essere citato o ristampato liberamente, ma è necessario un riconoscimento e un link a questo sito web.
