L'Unione Europea ha introdotto il Regolamento DORA (Digital Operational Resilience Act), un quadro normativo specificamente dedicato al rafforzamento della resilienza operativa digitale del settore finanziario.
Che cos'è il Regolamento DORA?
Il Regolamento DORA (Digital Operational Resilience Act) stabilisce requisiti uniformi a livello europeo per la gestione dei rischi legati alle tecnologie dell'informazione e della comunicazione (ICT) nel settore finanziario.
L'obiettivo del regolamento è garantire che le entità finanziarie siano in grado di prevenire, resistere, rispondere e ripristinare le proprie attività in seguito a incidenti e perturbazioni di natura informatica.
DORA introduce un approccio organico alla gestione della resilienza digitale, coinvolgendo non solo banche e istituzioni finanziarie, ma anche altri operatori del settore e i fornitori di servizi ICT che supportano funzioni critiche o importanti.
I principali requisiti del Regolamento DORA includono:
- Gestione del rischio ICT
Adozione di un quadro strutturato per identificare, valutare, monitorare e mitigare i rischi legati ai sistemi e alle tecnologie ICT. - Gestione e segnalazione degli incidenti ICT
Definizione di procedure efficaci per rilevare, classificare, gestire e, ove previsto, segnalare alle autorità competenti gli incidenti ICT significativi. - Test di resilienza operativa digitale
Svolgimento periodico di test e verifiche per valutare la capacità dell'organizzazione di resistere e reagire a eventi e minacce informatiche. - Gestione del rischio dei fornitori ICT
Valutazione, monitoraggio e gestione dei rischi derivanti dai fornitori tecnologici, in particolare quando supportano funzioni critiche o importanti. - Governance e responsabilità del management
Gli organi di amministrazione assumono un ruolo centrale nella definizione, approvazione e supervisione del quadro di gestione del rischio ICT e della resilienza operativa digitale.
Conseguenze del mancato rispetto della conformità
Il Regolamento DORA attribuisce alle autorità competenti il compito di vigilare sul rispetto degli obblighi previsti. Le misure e le sanzioni applicabili dipendono dal quadro normativo e dalle disposizioni di attuazione previste a livello nazionale e dalle competenti autorità di vigilanza.
- Interventi e misure correttive
Le autorità competenti possono richiedere l'adozione di misure correttive e interventi necessari per sanare eventuali carenze o situazioni di non conformità. - Responsabilità degli organi di gestione
Il management riveste un ruolo diretto nella supervisione della strategia e del quadro di gestione del rischio ICT, con specifiche responsabilità in materia di resilienza operativa digitale. - Sanzioni e provvedimenti amministrativi
In caso di violazioni, possono essere applicate sanzioni e altre misure previste dalle disposizioni applicabili e dalle autorità competenti del settore finanziario.
I nostri servizi DORA:
- Assessment iniziale del livello di conformità al Regolamento DORA
- Analisi del framework di governance e gestione del rischio ICT
- Definizione del piano di adeguamento tecnico e organizzativo
- Supporto nella gestione degli incidenti e nella definizione delle procedure operative
- Valutazione e gestione del rischio legato ai fornitori di servizi ICT
- Supporto nella pianificazione e nell'esecuzione dei test di resilienza digitale
- Formazione e sensibilizzazione del management e del personale
- Supporto continuativo, audit e verifiche periodiche di conformità