DORA: la guida completa al regolamento sulla resilienza digitale

La risposta breve: DORA è il Regolamento (UE) 2022/2554, il quadro europeo che uniforma la resilienza operativa digitale del settore finanziario. Si applica dal 17 gennaio 2025 alle entità finanziarie e, per la prima volta, anche ai loro fornitori terzi di servizi ICT. Non è una linea guida da leggere con calma: è un regolamento già in vigore, direttamente applicabile, con autorità di vigilanza che stanno controllando.

Cos'è DORA in breve?

DORA sta per Digital Operational Resilience Act. È il modo in cui l'Unione Europea ha deciso di rispondere a una domanda semplice: quanto regge il sistema finanziario quando un componente informatico si rompe, viene attaccato o smette di rispondere? Fino a poco tempo fa ogni Stato e ogni autorità aveva le sue regole, spesso frammentarie. DORA le sostituisce con un impianto unico e vincolante per tutta l'Unione.

Il punto di vista è quello della continuità del servizio, non solo della sicurezza in senso stretto. Non conta soltanto evitare l'incidente, conta essere in grado di assorbirlo e continuare a operare. Per questo si parla di resilienza operativa digitale: la capacità di una entità finanziaria di mantenere i servizi anche sotto stress ICT, dall'attacco al guasto del fornitore cloud.

Il contesto che ha portato a DORA è concreto. Il settore finanziario si è digitalizzato più in fretta di quasi ogni altro, e insieme ai vantaggi ha ereditato una superficie di rischio nuova: dipendenza da pochi grandi fornitori cloud, catene di subfornitura lunghe, servizi che si appoggiano l'uno sull'altro. Un singolo blocco tecnologico oggi può fermare pagamenti, negoziazioni e sportelli di mezza Europa. DORA nasce per fare in modo che questa fragilità sia governata in modo uniforme, invece di essere lasciata alla diligenza del singolo operatore.

Essendo un regolamento e non una direttiva, DORA non ha bisogno di leggi nazionali di recepimento per produrre effetti. Vale allo stesso modo a Milano, Francoforte o Dublino. Questo è il primo dato che cambia tutto rispetto ad altre normative: non ci sono versioni locali più morbide da aspettare.

A chi si applica DORA?

L'ambito di DORA è volutamente ampio e tocca due mondi che prima venivano regolati in modo diverso: le entità finanziarie e chi fornisce loro tecnologia.

Le entità finanziarie

Rientrano nella prima categoria praticamente tutti i soggetti regolati del settore. Tra gli altri:

• banche ed enti creditizi;
• imprese di assicurazione e riassicurazione;
• imprese di investimento e società di gestione del risparmio;
• istituti di pagamento e istituti di moneta elettronica;
• fornitori di servizi per le cripto-attività e altri soggetti del mondo cripto;
• sedi di negoziazione, controparti centrali, depositari centrali e altri operatori dei mercati.

La logica è chiara: se sei un soggetto vigilato che eroga servizi finanziari, con ogni probabilità DORA ti riguarda. Il regolamento prevede alcuni criteri di proporzionalità, così che gli obblighi pesino in modo diverso a seconda della dimensione e del profilo di rischio, ma il perimetro di partenza è vasto.

I fornitori terzi di servizi ICT

Qui sta una delle novità più rilevanti. DORA non guarda solo alle entità finanziarie, ma anche a chi fornisce loro tecnologia: cloud provider, software house, gestori di data center, servizi gestiti di sicurezza. La ragione è ovvia se ci si pensa: gran parte del rischio operativo di una banca oggi vive fuori dalle sue mura, nei fornitori a cui ha esternalizzato pezzi critici dell'infrastruttura.

I fornitori considerati critici a livello di sistema possono essere designati come Critical Third-Party Providers e finire sotto la vigilanza diretta delle autorità europee. È la prima volta che un fornitore ICT, pur non essendo un soggetto finanziario, viene sorvegliato in quanto tale a livello UE. Per tutti gli altri fornitori, gli obblighi arrivano comunque per via contrattuale, attraverso i requisiti che le entità finanziarie devono imporre lungo la catena.

Da quando è in vigore DORA e quali sono le scadenze?

La data da tenere a mente è una: 17 gennaio 2025. Da quel giorno DORA è pienamente applicabile e tutte le disposizioni sono operative per i soggetti che rientrano nell'ambito. Non è una fase transitoria, non è un periodo di prova. Chi doveva adeguarsi doveva averlo già fatto.

Il quadro è completato da un corpo di norme tecniche di dettaglio, i cosiddetti standard tecnici di regolamentazione e di attuazione, elaborati dalle autorità europee di vigilanza per specificare come applicare concretamente i principi del regolamento. Sono loro a tradurre i principi generali in requisiti puntuali, dai contenuti minimi dei contratti con i fornitori ICT ai criteri di classificazione degli incidenti. Non sono un dettaglio secondario: è nel dettaglio tecnico che si gioca la conformità reale, perché è lì che si capisce cosa un'autorità si aspetta di vedere in sede di controllo.

E c'è un secondo binario parallelo. Le autorità europee di vigilanza, cioè EBA per il settore bancario, ESMA per i mercati e EIOPA per assicurazioni e fondi pensione, hanno avviato il processo di designazione dei fornitori ICT critici e il relativo regime di vigilanza diretta. Il messaggio pratico per una entità finanziaria è che il tempo dell'attesa è finito: adesso conta poter dimostrare la conformità, non pianificarla. Chi ha un progetto DORA ancora sulla carta non è in ritardo di qualche mese, è già dentro la finestra in cui gli obblighi sono pienamente esigibili.

Quali sono i pilastri di DORA?

DORA si regge su cinque pilastri. Non sono cinque adempimenti separati da spuntare, sono cinque angolazioni dello stesso obiettivo: reggere l'urto. Vale la pena vederli uno per uno.

Gestione del rischio ICT

È la base. Ogni entità finanziaria deve dotarsi di un quadro di gestione del rischio ICT solido e documentato, con ruoli e responsabilità chiari fino all'organo di gestione. Significa mappare gli asset e le dipendenze tecnologiche, identificare i rischi, mettere in campo misure di protezione e rilevamento, avere piani di continuità e di ripristino. Il tutto sotto la responsabilità del vertice, che deve conoscere e approvare il quadro, non delegarlo e dimenticarsene.

Gestione e notifica degli incidenti ICT

DORA chiede un processo strutturato per individuare, classificare e gestire gli incidenti legati all'ICT, con obblighi di notifica alle autorità competenti per quelli più gravi. L'idea è armonizzare cosa conta come incidente rilevante e come va segnalato, per evitare che ognuno usi metri diversi. Per un'azienda questo si traduce in una domanda concreta: se succede qualcosa alle tre di notte, chi se ne accorge, chi decide che è grave e chi fa partire la notifica nei tempi previsti?

Test di resilienza operativa digitale

Non basta dire di essere pronti, bisogna provarlo. DORA introduce un programma di test periodici della resilienza digitale, dalle verifiche più ordinarie fino, per i soggetti più rilevanti, al threat-led penetration testing: simulazioni di attacco avanzate condotte su scenari realistici per mettere alla prova le difese come farebbe un attaccante vero. È il pilastro che trasforma la conformità da esercizio documentale a verifica sul campo.

Gestione del rischio dei fornitori ICT terzi

Qui DORA formalizza qualcosa che molti trattavano con leggerezza: il rischio che arriva dai fornitori. Le entità finanziarie devono tenere un registro dei propri fornitori ICT, valutarne il rischio, inserire nei contratti clausole precise su sicurezza, audit, continuità e strategie di uscita, e gestire in modo particolare la concentrazione su pochi fornitori chiave. In pratica il rischio esternalizzato torna a essere responsabilità di chi esternalizza.

Condivisione delle informazioni

L'ultimo pilastro incoraggia le entità finanziarie a scambiarsi informazioni e intelligence sulle minacce, in ambienti di fiducia e nel rispetto delle regole. La logica è di sistema: un attaccante che colpisce una banca userà spesso le stesse tecniche contro le altre, e condividere per tempo gli indicatori aiuta tutti ad alzare la guardia prima.

Che differenza c'è tra DORA e NIS2?

È la domanda che si fanno in tanti, perché molte aziende si trovano a leggere le due normative insieme. La distinzione più utile è questa: NIS2 è una direttiva ad ampio spettro che copre un gran numero di settori essenziali e importanti, mentre DORA è un regolamento verticale, tagliato su misura per il settore finanziario.

Ci sono differenze di forma e di sostanza. Sul piano giuridico, DORA è direttamente applicabile e uniforme in tutta l'Unione, mentre NIS2 passa dal recepimento dei singoli Stati e quindi può avere sfumature nazionali. Sul piano dei contenuti, DORA scende molto più nel dettaglio operativo su temi come i test di resilienza e la gestione dei fornitori ICT.

E le sovrapposizioni? Per le entità finanziarie che rientrano nell'ambito di DORA, il regolamento prevale sui profili coincidenti con NIS2: sugli aspetti di gestione del rischio ICT, notifica degli incidenti e vigilanza si applicano le regole di DORA, che è la norma speciale per il settore. Non è quindi un doppio adempimento cumulativo su quei temi, ma un quadro coordinato in cui DORA guida per il finance. Se vuoi capire come si colloca la sicurezza rispetto agli standard, può aiutare il confronto tra NIS2 e ISO 27001, che ragiona sulla stessa logica di misure e responsabilità.

Cosa fare adesso per essere conformi a DORA?

Se sei un'entità finanziaria e stai leggendo questa guida, la domanda vera è operativa: da dove si comincia. L'ordine che ha senso è questo.

1. Fare un gap assessment sui cinque pilastri. Fotografare dove sei oggi rispetto a quello che DORA chiede, pilastro per pilastro. Non serve la teoria, serve sapere quali capacità hai davvero e dove sono i buchi.
2. Mettere in ordine la gestione del rischio ICT. Ruoli, responsabilità, mappatura degli asset e delle dipendenze, misure di protezione e rilevamento. È la base su cui poggia tutto il resto.
3. Rendere funzionante la notifica degli incidenti. Un processo che classifica gli incidenti, decide cosa è grave e attiva la segnalazione nei tempi. Vale poco sulla carta se poi di notte non se ne accorge nessuno.
4. Impostare i test di resilienza. Un programma periodico di verifiche, calibrato sul profilo di rischio, che metta davvero alla prova le difese invece di limitarsi a documentarle.
5. Sistemare i contratti con i fornitori ICT. Registro dei fornitori, valutazione del rischio, clausole contrattuali su sicurezza, audit e uscita, attenzione alla concentrazione. Il rischio esternalizzato va governato, non dimenticato.

Il filo conduttore è uno solo: buona parte dei gap DORA non sta nei firewall, sta nella capacità di accorgersi e reagire in modo continuo. È lì che una organizzazione finanziaria scopre se è resiliente sul serio o solo in teoria.

Come aiuta AmagisTech sul percorso DORA?

AmagisTech lavora con il mid-market italiano proprio su questo terreno: portare i requisiti di DORA dalla carta al campo. Il punto di partenza è quasi sempre un gap assessment che mette a fuoco dove sei rispetto ai cinque pilastri, seguito dal lavoro sulle capacità che contano di più, dalla gestione del rischio ICT alla detection e response continua che rende credibile il processo di notifica degli incidenti.

Se vuoi vedere a che punto sei, parti dai nostri servizi DORA. E se ti muovi anche sul fronte della direttiva europea più ampia, sui nostri servizi NIS2 trovi il percorso parallelo; per un primo orientamento veloce c'è il check NIS2, mentre sul tema delle conseguenze economiche abbiamo raccontato quanto pesano le sanzioni NIS2.

In sintesi: DORA non è un adempimento da rimandare, è un regolamento già applicabile che chiede al settore finanziario di essere in grado di reggere l'urto, non solo di documentarlo. Il modo più economico di affrontarlo è sapere oggi dove sei sui cinque pilastri, prima che lo scoprano l'autorità di vigilanza o un incidente.