Introduzione
Il DORA stabilisce un sistema unitario per governare la resilienza operativa digitale delle entità finanziarie.
Il Regolamento richiede di presidiare in modo coordinato la governance e le responsabilità sul rischio ICT, la gestione delle risorse ICT e della sicurezza, la continuità operativa e i piani di ripristino, la gestione e la notifica degli incidenti ICT gravi, i test di resilienza, i rischi connessi ai fornitori terzi di servizi TIC, la continuità operativa dei fornitori, i contratti, il monitoraggio delle prestazioni e la formazione del personale.
Questi elementi non possono essere gestiti come attività separate. Devono funzionare insieme, essere documentati e produrre evidenze verificabili.
Il DORA non introduce semplici buone pratiche. Impone responsabilità precise, che non possono essere trasferite alle sole funzioni operative. Le attività possono essere delegate; la responsabilità complessiva resta in capo all’organo di gestione.
Una gestione inadeguata espone l’organizzazione a rischi di conformità, operativi, strategici e reputazionali.
Ambito di applicazione
Il DORA si applica alle principali entità del settore finanziario europeo, tra cui banche, imprese di investimento, gestori, assicurazioni, intermediari dei pagamenti, infrastrutture di mercato e operatori delle cripto-attività.
Il Regolamento disciplina anche il rapporto con i fornitori terzi di servizi TIC, perché la resilienza dell’entità finanziaria dipende anche dai sistemi, dai servizi e dalle infrastrutture affidati all’esterno.
Chi è incluso
- i gestori di fondi di investimento alternativi di dimensioni inferiori alle soglie previste dalla normativa;
- le imprese di assicurazione e riassicurazione di dimensioni molto ridotte;
- gli intermediari assicurativi, riassicurativi e assicurativi a titolo accessorio che siano microimprese o piccole e medie imprese;
- gli enti pensionistici aziendali o professionali che gestiscono piani con non più di 15 aderenti complessivi;
- alcuni enti pubblici o soggetti finanziari nazionali che operano al di fuori di un contesto concorrenziale;
- gli uffici postali che svolgono attività finanziarie in base al diritto nazionale.
SIM di classe 3
Le SIM piccole e non interconnesse applicano il quadro semplificato previsto dal DORA. La semplificazione riguarda l’articolazione degli adempimenti, non la sostanza del presidio.
Il quadro è semplificato, ma gli obblighi restano sostanziali.
Anche queste entità devono definire responsabilità chiare, identificare e gestire i rischi ICT, proteggere sistemi e informazioni, garantire continuità e ripristino, gestire gli incidenti, controllare i fornitori e documentare le attività e le decisioni.
Contesto normativo di riferimento
Il DORA nasce per superare un limite evidente: il settore finanziario dipende sempre più dalle tecnologie digitali, ma per molti anni la gestione del rischio ICT è rimasta distribuita tra norme, prassi e controlli non sempre coordinati.
Il Regolamento introduce quindi un quadro unico. La resilienza digitale non viene più trattata come un problema esclusivamente tecnico, ma come una responsabilità aziendale che riguarda governance, sicurezza, continuità operativa, incidenti, fornitori e controlli.
La logica normativa è semplice:
- l’organo di gestione definisce indirizzi, responsabilità, priorità e risorse;
- l’entità identifica le risorse ICT e i rischi dai quali dipendono i servizi;
- protegge sistemi, dati e infrastrutture;
- assicura continuità operativa e capacità di ripristino;
- rileva, gestisce e, quando necessario, notifica gli incidenti ICT gravi;
- verifica con test periodici che i presidi funzionino;
- governa i rischi derivanti dai fornitori terzi di servizi TIC;
- mantiene contratti, informazioni ed evidenze che consentano il controllo interno e quello delle autorità.
Riferimenti essenziali:
- Regolamento (UE) 2022/2554 — impianto generale della resilienza operativa digitale;
- Regolamento delegato (UE) 2024/1772 — criteri e soglie per la classificazione degli incidenti ICT e delle minacce informatiche;
- Regolamento delegato (UE) 2024/1773 — politica relativa ai contratti per servizi TIC che supportano funzioni essenziali o importanti;
- Regolamento delegato (UE) 2024/1774 — strumenti, processi e politiche per la gestione del rischio ICT, compreso il quadro semplificato;
- Regolamento di esecuzione (UE) 2024/2956 — modelli del Registro delle informazioni;
Regolamento delegato (UE) 2025/532 — valutazione dei rischi connessi al subappalto dei servizi TIC che supportano funzioni essenziali o importanti.
Frase in evidenza
Il DORA non aggiunge singoli adempimenti: costruisce un sistema nel quale responsabilità, rischi, controlli, incidenti, continuità e fornitori devono essere governati insieme.
Esigenze e problemi a cui risponde
Il DORA risponde a un problema concreto: molte organizzazioni finanziarie dipendono in misura crescente da sistemi, infrastrutture e fornitori ICT, ma non sempre governano questi elementi in modo unitario.
Le criticità possono essere molto diverse in funzione del livello di maturità raggiunto dall’entità finanziaria nella governance ICT. Nelle organizzazioni meno mature, i problemi sono spesso strutturali; in quelle più evolute riguardano soprattutto coerenza, integrazione e capacità di dimostrare il funzionamento dei presidi.
Le criticità più frequenti riguardano:
- responsabilità non chiaramente attribuite;
- gestione del rischio ICT separata dalla governance aziendale;
- inventari incompleti delle risorse ICT;
- controlli di sicurezza non coordinati;
- piani di continuità e ripristino non adeguatamente testati;
- incidenti gestiti senza criteri uniformi di classificazione e notifica;
- dipendenza dai fornitori non valutata in modo strutturato;
- contratti privi di requisiti sufficienti su sicurezza, continuità, audit ed exit;
- formazione non adeguata ai ruoli e alle responsabilità.
Il Regolamento richiede quindi di trasformare attività separate in un sistema coordinato, proporzionato alla complessità dell’organizzazione e al livello di rischio.
Approccio suggerito
L’applicazione del DORA parte dalla comprensione concreta dell’organizzazione: processi, servizi, risorse ICT, fornitori, dipendenze e rischi. Solo dopo questa analisi è possibile mappare correttamente i requisiti normativi e applicarli secondo un criterio di proporzionalità.
L’approccio deve quindi:
- comprendere i processi e i servizi aziendali;
- individuare le risorse ICT che li supportano;
- identificare fornitori e dipendenze esterne;
- valutare i rischi operativi e tecnologici;
- collegare i requisiti normativi ai processi reali;
- applicare i requisiti in modo proporzionato alla dimensione, alla complessità e al profilo di rischio dell’entità;
- definire controlli, responsabilità ed evidenze verificabili.
Il punto non è applicare ogni requisito nello stesso modo a tutte le organizzazioni, ma assicurare che ogni presidio sia adeguato al rischio e realmente funzionante.
Controlli da effettuare
Framework di gestione dei rischi ICT
Verificare che il framework sia formalizzato e coerente con l’organizzazione dell’entità, con particolare riguardo a governance, ruoli e responsabilità, processi decisionali, sistema dei controlli e flussi informativi verso l’organo di gestione.
Sistema documentale DORA
Verificare che strategie, policy, procedure e protocolli richiesti dal framework siano formalizzati, approvati, coerenti tra loro, aggiornati e applicati nei processi operativi.
Stato di conformità
Verificare che sia stata effettuata una gap analysis iniziale e che le carenze rilevate siano classificate, assegnate a un responsabile, inserite in un piano di intervento e monitorate fino alla chiusura.
Continuità operativa
Verificare che l’entità abbia svolto la Business Impact Analysis, identificato i processi critici, definito RTO e RPO, predisposto Business Continuity Plan e runbook tecnici ed effettuato test periodici.
Contratti e fornitori ICT
Verificare che i contratti con i fornitori ICT contengano clausole coerenti con il DORA, livelli di servizio misurabili, obblighi di sicurezza e continuità, diritti di controllo e audit, condizioni di subfornitura ed exit strategy praticabili.
Incidenti ICT
Verificare che esista una policy per la gestione e la classificazione degli incidenti ICT, con criteri di identificazione, soglie di gravità, responsabilità decisionali, tempi di escalation, modalità di notifica e conservazione delle evidenze.
Output attesi
Framework di gestione dei rischi ICT
Un quadro organico che definisce governance, responsabilità, processi decisionali, flussi informativi e sistema dei controlli per la gestione del rischio ICT. Il framework collega i rischi tecnologici ai processi aziendali e assicura un presidio coerente con il modello organizzativo dell’entità.
Sistema documentale per la resilienza operativa digitale
Un insieme coordinato di strategie, policy, procedure e protocolli che traduce il framework in regole operative applicabili. Il sistema documentale deve essere coerente, approvato, aggiornato e utilizzabile dalle funzioni responsabili.
Assessment di conformità e piano di adeguamento
Una valutazione strutturata dello stato di conformità dell’entità rispetto ai requisiti DORA, con identificazione delle carenze, classificazione delle priorità e definizione delle azioni correttive. L’output comprende una gap analysis leggibile dal management e un piano di intervento con responsabilità, tempi e stato di avanzamento.
Business Impact Analysis e sistema di continuità operativa
Un impianto che identifica processi e servizi critici, valuta gli impatti derivanti dalla loro indisponibilità e definisce gli obiettivi di ripristino. L’output comprende BIA, RTO, RPO, Business Continuity Plan, Disaster Recovery Plan e runbook tecnici coerenti con le reali dipendenze operative e tecnologiche.
Presidio contrattuale dei fornitori ICT
Un sistema contrattuale che disciplina responsabilità, livelli di servizio, sicurezza, continuità operativa, audit, subfornitura e uscita dal rapporto. L’output comprende clausole DORA, SLA misurabili, criteri di monitoraggio ed exit strategy concretamente attuabili.
Sistema di gestione e classificazione degli incidenti ICT
Un processo formalizzato per rilevare, registrare, valutare, classificare e gestire gli incidenti ICT. L’output comprende criteri decisionali, soglie di gravità, ruoli, tempi di escalation, obblighi di notifica e modalità di conservazione delle evidenze.