{"id":17078,"date":"2025-03-10T19:18:05","date_gmt":"2025-03-10T18:18:05","guid":{"rendered":"https:\/\/www.boccadutri.com\/?p=17078"},"modified":"2025-03-10T19:18:07","modified_gmt":"2025-03-10T18:18:07","slug":"dora-la-legge-sulla-resilienza-operativa-digitale","status":"publish","type":"post","link":"https:\/\/www.boccadutri.com\/it\/dora-la-legge-sulla-resilienza-operativa-digitale\/","title":{"rendered":"DORA: la Legge sulla Resilienza Operativa Digitale"},"content":{"rendered":"\n

L\u2019Unione Europea ha introdotto il Digital Operational Resilience Act,<\/strong> meglio conosciuto con il suo acronimo DORA<\/strong>, un Regolamento cruciale destinato a trasformare il settore finanziario,<\/strong> che mira a rafforzare la resilienza<\/strong> operativa digitale<\/strong> delle imprese del settore finanziario e a garantire una maggiore protezione contro i rischi informatici.<\/p>\n\n\n\n

La sicurezza e la resilienza delle infrastrutture IT sono diventate una priorit\u00e0 assoluta per aziende, istituzioni finanziarie e Governi.<\/p>\n\n\n\n

Il DORA<\/strong> europeo amplia la portata del MiCA<\/strong><\/a> e si applica anche alle aziende del settore delle criptovalute e ai VASP<\/strong>, fornitori di servizi di asset virtuali (exchange di criptovalute<\/strong>) ai quali impone di migliorare la sicurezza informatica e la gestione dei rischi.<\/p>\n\n\n\n

L\u2019obiettivo \u00e8 quello di migliorare la resilienza contro eventuali interruzioni (attacchi informatici, guasti \u2026), investendo in soluzioni che prevengano i rischi in modo da garantire una maggiore tutela degli investitori e all\u2019integrit\u00e0 del mercato.<\/p>\n\n\n\n

Cos\u2019\u00e8 il DORA?<\/strong><\/h2>\n\n\n\n

Il DORA, Digital Operational Resilience Act<\/em><\/strong>, \u00e8 un Regolamento europeo che si propone di creare un quadro normativo uniforme per garantire che le imprese del settore finanziario siano in grado di resistere e rispondere in tempi rapidi ad incidenti o attacchi informatici.<\/p>\n\n\n\n

L’obiettivo principale dei legislatori europei \u00e8 quello di proteggere il sistema finanziario europeo da minacce sempre pi\u00f9 sofisticate e pervasive, come attacchi hacker, interruzioni dei servizi IT e altre vulnerabilit\u00e0 digitali.<\/p>\n\n\n\n

Quando \u00e8 entrato in vigore<\/strong><\/h2>\n\n\n\n

Approvato nel dicembre 2022, il DORA \u00e8 entrato in vigore il 16 gennaio 2023, imponendo alle organizzazioni finanziarie di adottare misure specifiche per garantire la continuit\u00e0 operativa anche in caso di incidenti tecnologici.<\/p>\n\n\n\n

Dal 17 gennaio 2025<\/strong> le previsioni in esso contenute e gli adeguamenti richiesti devono essere operativi.<\/p>\n\n\n\n

Cos\u2019\u00e8 la resilienza aziendale<\/strong><\/h2>\n\n\n\n

L\u2019esperienza e la cronaca ci insegnano che le imprese pi\u00f9 solide sono quelle che riescono ad adattarsi e a prosperare anche di fronte a incertezza e rapidi cambiamenti della societ\u00e0.<\/p>\n\n\n\n

Si parla di resilienza aziendale<\/strong> quando si riesce ad affrontare e superare un imprevisto informatico senza subire conseguenze, o nonostante aver subito delle conseguenze.<\/p>\n\n\n\n

Resilienza in fisica \u00e8 la capacit\u00e0 di un materiale di assorbire un urto senza rompersi: per un\u2019azienda affrontare e superare un imprevisto o un problema ipotizzabile, aumenta la fiducia da parte dell\u2019utenza.<\/p>\n\n\n\n

Il senso del DORA \u00e8 fare in modo che tutti gli attori del mercato finanziario europeo siano in grado di reagire e sopravvivere a delle problematiche prevedibili o meno.<\/p>\n\n\n\n

Crisi economiche, disastri naturali, cambiamenti tecnologici, instabilit\u00e0 politica, falle nella rete, attacchi hacker \u2026 a tutto si pu\u00f2 porre rimedio se ci si \u00e8 organizzati in anticipo.<\/p>\n\n\n\n

Una organizzazione resiliente \u00e8 in grado di anticipare, prepararsi, rispondere e adattarsi a queste sfide, riducendo al minimo le interruzioni e massimizzando le opportunit\u00e0 di apprendimento e miglioramento.<\/p>\n\n\n\n

Chi \u00e8 coinvolto e chi \u00e8 soggetto al DORA?<\/strong><\/h2>\n\n\n\n

Il DORA si rivolge ad una vasta gamma di soggetti e a tutte le istituzioni finanziarie dell\u2019Unione Europea. <\/p>\n\n\n\n

Sono incluse le entit\u00e0 finanziarie tradizionali<\/strong>, quali banche, assicurazioni, societ\u00e0 di investimento, ma anche le entit\u00e0 emergenti (non tradizionali), come i fornitori di servizi legati a criptovalute e le piattaforme di crowdfunding.<\/p>\n\n\n\n

Questa ampia copertura riflette la complessit\u00e0 del panorama finanziario moderno e l’importanza di proteggere ogni anello della catena operativa.<\/p>\n\n\n\n

I 5 pilastri del DORA<\/strong><\/h2>\n\n\n\n

Sono cinque i pilastri fondamentali su cui Il DORA si basa; insieme definiscono requisiti e principali aree di intervento:<\/p>\n\n\n\n

    \n
  1. Gestione dei rischi TIC e cyber.<\/strong> <\/li>\n<\/ol>\n\n\n\n

    Le imprese devono implementare un sistema efficace per identificare, valutare e mitigare i rischi legati alle tecnologie dell\u2019informazione e della comunicazione (ICT).<\/p>\n\n\n\n

    Questo include l’adozione di politiche e procedure per prevenire incidenti informatici e garantire la sicurezza dei dati.<\/p>\n\n\n\n

    Andr\u00e0 stabilito il livello di tolleranza al rischio ICT, in conformit\u00e0 con la propensione al rischio dell\u2019entit\u00e0 finanziaria<\/p>\n\n\n\n

      \n
    1. Gestione degli incidenti TIC e cyber<\/strong>.<\/li>\n<\/ol>\n\n\n\n

      Le imprese devono razionalizzare la segnalazione degli incidenti ICT attraverso la registrazione e la classificazione della gravit\u00e0 degli incidenti.<\/p>\n\n\n\n

      Quelli pi\u00f9 gravi andranno segnalati alle autorit\u00e0 competenti, utilizzando modelli e procedure comuni.<\/p>\n\n\n\n

        \n
      1. Test di resilienza operativa digitale<\/strong>.<\/li>\n<\/ol>\n\n\n\n

        Le imprese devono eseguiretest di resilienza operativa digitale di base, almeno ogni anno per tutte le entit\u00e0 finanziarie.<\/p>\n\n\n\n

        Sono consigliabili anche simulazioni di attacchi informatici o esercitazioni su scenari di crisi almeno ogni 3 anni per le entit\u00e0 finanziarie significative.<\/p>\n\n\n\n

          \n
        1. Gestione dei rischi TIC delle terze parti<\/strong>.<\/li>\n<\/ol>\n\n\n\n

          In caso di esternalizzazione dei servizi IT, le aziende devono monitorare gli accordi contrattuali con queste terze parti in tutte le fasi e consentire alle Autorit\u00e0 di vigilanza europee (ESA) la supervisione dei fornitori terzi di servizi ICT ritenuti critici.<\/p>\n\n\n\n

          Tutti i partner tecnologici devono rispettare gli standard di sicurezza richiesti e la prima supervisione spetta a chi li coinvolge.<\/p>\n\n\n\n

            \n
          1. Condivisione delle informazioni<\/strong>.<\/li>\n<\/ol>\n\n\n\n

            Il regolamento promuove la condivisione delle informazioni tra le imprese finanziarie e le autorit\u00e0 competenti per migliorare la risposta collettiva agli incidenti informatici.<\/p>\n\n\n\n

            \u00c8 auspicabile la partecipazione volontaria allo scambio reciproco di informazioni e dati sulle minacce informatiche tra le entit\u00e0 finanziarie e con i fornitori terzi di servizi ICT critici, tra cui indicatori di compromissione, tattiche, tecniche e procedure, segnali di allarme per la cyber-sicurezza e strumenti di configurazione.<\/p>\n\n\n\n

            Applicazione del regolamento DORA, chi controlla?<\/strong><\/h2>\n\n\n\n

            La supervisione dell\u2019applicazione del Regolamento DORA spetta alle autorit\u00e0 di regolamentazione designate in ciascuno Stato membro dell\u2019Unione Europea.<\/p>\n\n\n\n

            Il loro intervento pu\u00f2 consistere nella semplice richiesta di adottare misure di sicurezza specifiche e di correggere le vulnerabilit\u00e0, o nell\u2019imposizione di sanzioni amministrative a chi risulta inadempiente.<\/p>\n\n\n\n

            Nei casi limite sono previste anche sanzioni penali.<\/p>\n\n\n\n

            L\u2019entit\u00e0 e la modalit\u00e0 delle sanzioni rientra nella discrezionalit\u00e0 di ogni Stato membro.<\/p>\n\n\n\n

            Le istituzioni finanziarie possono essere multate fino a 10 milioni di euro o al 5% del loro fatturato annuo totale<\/strong>, in caso di gravi violazioni del regolamento.<\/p>\n\n\n\n

            I fornitori ICT ritenuti “critici” dalla Commissione Europea saranno controllati direttamente da “organi primari di sorveglianza” appartenenti alle ESA.<\/p>\n\n\n\n

            Le tre Autorit\u00e0 Europee di Vigilanza (EBA, EIOPA ed ESMA \u2013 accomunate dall\u2019acronimo ESA<\/strong>) sono coinvolte nella sorveglianza dell\u2019applicazione del DORA, alla pari delle autorit\u00e0 competenti.<\/p>\n\n\n\n

            Possono dunque richiedere misure di sicurezza\/correzione e sanzionare i fornitori ICT che non si sono adeguati.<\/p>\n\n\n\n

            Impatto del DORA sulle imprese<\/strong><\/h2>\n\n\n\n

            L’introduzione del DORA<\/strong> rappresenta una sfida significativa per molte imprese, in particolare per quelle che non disponevano di sistemi inattaccabili di gestione del rischio informatico.<\/p>\n\n\n\n

            In pi\u00f9, rappresenta anche un’opportunit\u00e0 per migliorare la propria sicurezza digitale e guadagnare la fiducia di clienti e investitori.<\/p>\n\n\n\n

            Tra gli impatti principali si possono evidenziare:<\/p>\n\n\n\n