Cos'è il DORA e chi deve conformarsi nel settore finanziario
Il Digital Operational Resilience Act (Regolamento UE 2022/2554), applicabile dal 17 gennaio 2025, impone alle entità finanziarie dell'UE un quadro armonizzato di gestione del rischio ICT: banche, assicurazioni, gestori di asset, infrastrutture dei mercati finanziari e fornitori terzi di servizi ICT critici.
A differenza di NIS2, che copre settori critici in generale, DORA è specifico per la resilienza operativa digitale del settore finanziario: richiede un framework di gestione del rischio ICT, test di resilienza operativa digitale (incluso il Threat-Led Penetration Testing per le entità più significative), gestione degli incidenti e monitoraggio dei fornitori terzi critici.
Gli obblighi di notifica sono stringenti: gli incidenti ICT gravi vanno segnalati con una notifica iniziale, aggiornamenti intermedi e un rapporto finale entro tempistiche definite alle autorità competenti (es. Banca d'Italia, Consob per l'Italia), in modo simile ma non identico al meccanismo NIS2.
Anche se pensato per la finanza, DORA riguarda infrastrutture tecnologiche miste IT/OT ovunque i sistemi ICT critici tocchino ambienti operativi - data center, sistemi di pagamento fisici, infrastrutture di sicurezza fisica connesse - dove il monitoraggio continuo e la visibilità degli asset richiesti dal regolamento si estendono anche a componenti non tradizionalmente IT.
DORA
Digital Operational Resilience Act (Reg. UE 2022/2554)
Regolamento UE applicabile dal 17/01/2025 alle entità finanziarie (banche, assicurazioni, payment, crypto, fund management) e ai loro fornitori ICT critici. Tocca anche operatori OT che forniscono servizi a queste entità o che gestiscono infrastrutture data center / impianti tecnologici a supporto.
- 01ICT risk management framework integrato e documentato
- 02Incident reporting verso le autorità competenti
- 03Digital operational resilience testing (incluso threat-led penetration testing)
- 04Gestione del rischio sui fornitori ICT terzi (TPRM)
- 05Information sharing su cyber threat intelligence
Per entità finanziarie con infrastrutture tecnologiche e data center, e per fornitori ICT che operano su ambienti misti IT/OT, MON5 fornisce monitoring continuo della componente di rete, asset inventory e detection di anomalie - elementi che alimentano l'ICT risk management framework e l'incident reporting richiesti da DORA.
- →Continuous monitoring per ICT risk management
- →Asset inventory per il TPRM sui sistemi forniti
- →Detection eventi a supporto dell'incident reporting
- →Evidenze tecniche per resilience testing
- →Audit trail riusabile per autorità di vigilanza
- Entità finanziaria
- Il perimetro soggettivo di DORA: banche, imprese di assicurazione e riassicurazione, gestori di fondi, imprese di investimento, infrastrutture di mercato e altre categorie regolamentate elencate nel regolamento.
- Fornitore terzo di servizi ICT critico
- Fornitore esterno (es. cloud provider) la cui interruzione avrebbe un impatto significativo sulla stabilità finanziaria; DORA introduce una supervisione diretta UE su questi fornitori quando designati "critici".
- TLPT (Threat-Led Penetration Testing)
- Test di penetrazione avanzato basato su scenari di minaccia realistici, richiesto alle entità finanziarie più significative almeno ogni tre anni per validare la resilienza operativa.
- Registro delle informazioni
- Documento che le entità finanziarie devono mantenere e comunicare alle autorità, con il dettaglio di tutti gli accordi contrattuali ICT con fornitori terzi.
- Framework di gestione del rischio ICT
- L'insieme di politiche, procedure e strumenti richiesti da DORA per identificare, proteggere, rilevare, rispondere e recuperare da incidenti ICT, ricalcando in parte la struttura del NIST CSF.
- Incidente ICT grave
- Evento che supera soglie di impatto predefinite (utenti coinvolti, durata, area geografica, perdita economica) e attiva l'obbligo di notifica alle autorità competenti secondo le tempistiche DORA.
DORA si applica solo alle banche o anche a infrastrutture IT/OT?+
DORA si applica a tutte le entità finanziarie regolamentate UE: banche, assicurazioni, gestori di asset, infrastrutture dei mercati finanziari e fornitori ICT critici, inclusi quelli con ambienti misti IT/OT.
Quali requisiti tecnici introduce DORA per il monitoring continuo?+
DORA richiede monitoraggio continuo di reti e sistemi ICT, rilevazione anomalie, test di resilienza operativa digitale (TLPT), gestione degli incidenti e notifiche obbligatorie alle autorità competenti.
MON5 supporta il framework ICT risk management richiesto da DORA?+
Sì. MON5 fornisce asset inventory, anomaly detection e log di rete per ambienti IT/OT, producendo le evidenze tecniche richieste per l'ICT risk management framework DORA e per i test di resilienza.
Da quando si applica DORA?+
Dal 17 gennaio 2025, data a partire dalla quale le entità finanziarie devono essere pienamente conformi agli obblighi del regolamento.
Cosa succede se un'entità finanziaria non rispetta DORA?+
Le sanzioni sono definite dagli Stati membri e possono includere sanzioni amministrative pecuniarie, misure correttive imposte dalle autorità di vigilanza e, nei casi più gravi, restrizioni operative.
DORA e NIS2 si sovrappongono?+
In parte. Le entità finanziarie regolamentate da DORA sono generalmente escluse dal perimetro NIS2 per evitare doppia regolamentazione, poiché DORA agisce come lex specialis per il settore finanziario in materia di resilienza ICT.
Cosa sono i test di resilienza operativa digitale richiesti da DORA?+
Un programma di test che va da valutazioni di vulnerabilità e scansioni di sicurezza fino al Threat-Led Penetration Testing per le entità più significative, con l'obiettivo di validare concretamente la capacità di resistere e recuperare da un attacco.
MON5 supporta la supervisione dei fornitori terzi ICT richiesta da DORA?+
MON5 fornisce visibilità sugli asset e sul traffico di rete che coinvolgono sistemi e componenti forniti da terzi, contribuendo con evidenze tecniche al monitoraggio del rischio di concentrazione e alla due diligence richiesta dal regolamento, in affiancamento ai processi contrattuali e di governance.
Capiamo insieme cosa ti serve davvero.
Mostraci il perimetro OT e i requisiti normativi da coprire: ti diciamo cosa MON5 documenta direttamente, cosa richiede attività complementare, e da quale livello partire - senza vendite forzate.