DORA: a chi si applica il regolamento UE 2022/2554

Il Regolamento DORA (Digital Operational Resilience Act, Regolamento UE 2022/2554) si applica dal 17 gennaio 2025 alle entità finanziarie che operano nell'Unione Europea e, in modo indiretto ma vincolante, ai loro fornitori di servizi ICT. Se ti stai chiedendo se la tua organizzazione rientri nel perimetro, tutto ruota attorno a due domande: sei un'entità finanziaria tra le circa venti categorie individuate dal regolamento, oppure fornisci servizi ICT a chi lo è? In questo articolo vediamo chi rientra e perché.

Che cos'è DORA e da quando si applica

DORA è un regolamento europeo, non una direttiva. La differenza non è formale: un regolamento si applica direttamente in tutti gli Stati membri, senza bisogno di una legge nazionale di recepimento. Le stesse regole valgono quindi nello stesso modo in Italia, in Germania o in Francia, a partire dalla medesima data, il 17 gennaio 2025.

L'obiettivo è rendere il settore finanziario europeo capace di resistere agli incidenti operativi e informatici legati alle tecnologie dell'informazione e della comunicazione (ICT), e di continuare a erogare i servizi critici anche sotto stress. Il regolamento si articola su cinque pilastri:

1. gestione del rischio ICT;
2. gestione, classificazione e segnalazione degli incidenti connessi alle ICT;
3. test di resilienza operativa digitale;
4. gestione del rischio derivante da terzi ICT;
5. accordi di condivisione delle informazioni.

In estrema sintesi, i primi tre pilastri guardano dentro l'organizzazione: come si governa il rischio ICT, come si gestiscono e si segnalano gli incidenti, come si verifica sul campo la capacità di prevenire, rilevare e rispondere. Il quarto pilastro guarda fuori, alla catena dei fornitori tecnologici. Il quinto promuove la condivisione volontaria di informazioni sulle minacce tra operatori del settore.

Chi rientra nel perimetro deve presidiare tutti e cinque gli ambiti, con un livello di dettaglio proporzionato alla propria dimensione e complessità. I pilastri non sono compartimenti stagni: la gestione del rischio ICT, per esempio, si intreccia con i test di resilienza e con il governo dei fornitori.

A chi si applica DORA: le entità finanziarie

Il cuore del perimetro sono le entità finanziarie. DORA individua circa venti categorie, con la volontà esplicita di coprire l'intero ecosistema dei servizi finanziari e non solo le banche. Rientrano quindi realtà molto diverse per dimensione, modello di business e attività:

• enti creditizi (banche);
• istituti di pagamento e istituti di moneta elettronica;
• imprese di investimento;
• fornitori di servizi per le cripto-attività (CASP);
• depositari centrali di titoli e controparti centrali;
• sedi di negoziazione;
• imprese di assicurazione e riassicurazione e intermediari assicurativi;
• enti pensionistici;
• gestori di fondi e società di gestione del risparmio;
• agenzie di rating del credito;
• fornitori di servizi di crowdfunding.

L'elenco è più ampio di quanto molti si aspettino. Non parliamo soltanto dei grandi gruppi bancari o assicurativi: anche un istituto di pagamento di medie dimensioni, una società di gestione del risparmio o un fornitore di servizi per le cripto-attività rientrano tra i destinatari diretti. Se operi in uno di questi comparti, con ogni probabilità sei tenuto a rispettare tutti e cinque i pilastri del regolamento.

Va ricordato che DORA nasce per armonizzare regole che, in precedenza, erano frammentate tra normative diverse e tra Paesi. Per questo il legislatore europeo ha preferito un elenco esteso di categorie, così da evitare zone grigie e trattamenti diseguali. Il messaggio di fondo è chiaro: la resilienza operativa digitale non è un tema riservato alle sole banche, ma riguarda tutta la filiera finanziaria.

I fornitori terzi di servizi ICT

Qui si trova il punto che sfugge più spesso. DORA non riguarda soltanto le entità finanziarie: dedica un intero pilastro alla gestione del rischio derivante da terzi ICT e impone requisiti stringenti sui rapporti con i fornitori di servizi ICT. In pratica, l'entità finanziaria deve governare la propria catena di fornitura tecnologica con regole precise.

Che cosa significa in concreto? Le entità finanziarie devono inserire nei contratti con i fornitori ICT una serie di elementi minimi: livelli di servizio chiari e misurabili, requisiti di sicurezza, diritti di accesso e di audit, gestione del subappalto e strategie di uscita che consentano di cambiare fornitore senza interrompere i servizi critici. Il fornitore, quindi, viene coinvolto nei fatti, anche quando non è a sua volta un'entità finanziaria.

Non a caso, ogni entità finanziaria deve mantenere un registro delle informazioni con tutti gli accordi contrattuali relativi all'uso di servizi ICT di terzi, da mettere a disposizione delle autorità su richiesta. Per il fornitore significa che il rapporto con il cliente finanziario viene tracciato, documentato e reso verificabile. Approfondiamo questo aspetto nell'articolo su gestione del rischio ICT e registro dei fornitori.

Fornitori ICT "critici" e sorveglianza delle ESA

Esiste inoltre una categoria speciale: i fornitori terzi di servizi ICT designati come "critici" per il sistema finanziario. Data la loro rilevanza sistemica, questi fornitori non restano sullo sfondo: sono sottoposti a sorveglianza diretta delle Autorità europee di vigilanza (ESA) attraverso la figura del Lead Overseer, incaricato di coordinare le verifiche e le raccomandazioni nei loro confronti.

La designazione come fornitore critico comporta un livello di attenzione e di obblighi molto più elevato. È un segnale netto della direzione presa dal legislatore: la resilienza del settore finanziario passa anche dai suoi fornitori tecnologici, non solo dalle entità vigilate in senso tradizionale.

Le autorità competenti in Italia e in Europa

In Italia la vigilanza su DORA è ripartita per settore tra le autorità già competenti sul comparto finanziario: Banca d'Italia, Consob e IVASS, ciascuna per l'ambito di propria competenza. A livello europeo il quadro è completato dalle tre Autorità europee di vigilanza (ESA): EBA per il settore bancario, ESMA per i mercati e gli strumenti finanziari, EIOPA per le assicurazioni e i fondi pensione.

Per un'entità finanziaria questo significa che l'interlocutore di vigilanza resta, di norma, quello abituale, ma con un nuovo insieme di aspettative in materia di resilienza operativa digitale. Non nasce un'autorità nuova: cambia il perimetro di ciò che le autorità già esistenti verificano.

Il principio di proporzionalità

DORA non chiede a tutti lo stesso identico sforzo. Vale il principio di proporzionalità: le misure vanno calibrate sulla dimensione, sul profilo di rischio e sulla complessità dell'entità. In particolare, microimprese e piccole entità finanziarie beneficiano di un regime semplificato di gestione del rischio ICT, meno oneroso rispetto a quello previsto per gli operatori più grandi e articolati.

Attenzione, però: proporzionalità non vuol dire esenzione. Anche le realtà più piccole restano dentro il perimetro e devono dimostrare di gestire il rischio ICT in modo coerente con la propria attività. La differenza sta nel grado di formalizzazione e di dettaglio richiesto, non nell'esserci o meno.

Come capire se DORA riguarda la tua organizzazione

Per orientarti rapidamente, poniti queste domande:

• La mia azienda è una delle circa venti categorie di entità finanziarie elencate dal regolamento? Se sì, sono un destinatario diretto.
• Fornisco servizi ICT a entità finanziarie? Se sì, rientro nel perimetro attraverso i requisiti contrattuali dei miei clienti.
• Sono un fornitore così rilevante da poter essere designato come "critico"? In quel caso mi attende la sorveglianza diretta delle ESA.
• Che dimensione ha la mia entità? Microimprese e piccole entità seguono un regime semplificato, pur restando nel perimetro.

Rispondere con onestà a queste domande è il modo più veloce per capire il livello di impegno richiesto, prima ancora di entrare nel merito dei singoli pilastri.

Sono un fornitore ICT: che cosa cambia per me

Se la tua azienda fornisce servizi ICT (per esempio hosting, gestione di infrastrutture, sviluppo software, monitoraggio di sicurezza) a banche, assicurazioni o altre entità finanziarie, DORA ti riguarda nei fatti. I tuoi clienti sono tenuti a trasferirti per contratto una serie di obblighi: livelli di servizio misurabili, requisiti di sicurezza, diritti di audit, gestione del subappalto e strategie di uscita. In pratica entri nel perimetro DORA dei tuoi clienti, sul piano dei requisiti contrattuali, della continuità del servizio e delle verifiche periodiche.

Per un fornitore ICT questo si traduce in un vantaggio competitivo concreto: dimostrare di essere già allineato alle richieste DORA rende più semplice lavorare con il comparto finanziario ed evita di diventare l'anello debole nella catena di fornitura del cliente. È una leva commerciale, oltre che un requisito.

DORA si applica già: da dove partire

Poiché il regolamento si applica dal 17 gennaio 2025, per chi rientra nel perimetro il tema non è più "se" ma "come" dimostrare la conformità. I passi tipici sono quattro:

• Mappatura del perimetro: confermare se si è entità finanziaria, fornitore ICT o entrambi, e a quali pilastri si è tenuti.
• Gap analysis: confrontare l'assetto attuale con i requisiti dei cinque pilastri e individuare le distanze da colmare.
• Contratti con i fornitori: rivedere gli accordi ICT per includere livelli di servizio, requisiti di sicurezza, diritti di audit e strategie di uscita.
• Test e monitoraggio: impostare un programma di test della resilienza proporzionato e un presidio continuo degli incidenti.

DORA o NIS2? Non necessariamente una sola

Un'ultima precisazione utile. DORA non è l'unico riferimento in materia di sicurezza informatica e resilienza. Molte organizzazioni si chiedono se ricadano sotto DORA, sotto la NIS2 o sotto entrambe. Le due norme hanno perimetri e logiche diversi e possono convivere: abbiamo dedicato un approfondimento specifico al confronto tra DORA e NIS2, utile soprattutto se sei un fornitore ICT con clienti in più settori.

Capire se rientri nel perimetro DORA è il primo passo. Subito dopo arriva il lavoro sui cinque pilastri, dalla gestione del rischio ICT al registro dei fornitori, fino ai test di resilienza operativa digitale. Per un quadro d'insieme puoi partire dalla nostra guida completa a DORA e dall'approfondimento su gestione del rischio ICT e registro dei fornitori. In AmagisTech affianchiamo sia le entità finanziarie sia i fornitori ICT lungo questo percorso: puoi vedere come nel dettaglio dei servizi AmagisTech dedicati a DORA.