DORA · Registro e Incidenti
Il Registro di Informazioni (RoI) pronto per la presentazione, la cascata di segnalazione conforme ai termini: 4 h / 72 h / 30 giorni – da un'unica base dati, con rapporto firmato digitalmente.
Il registro e la cascata di segnalazione sono collegati — davanti al regolatore e nell'operatività quotidiana.
I responsabili del rischio ICT nelle banche descrivono così la loro sfida: «È DORA, non NIS2 — la maggior parte dei tool di compliance li confonde subito.» DORA richiede agli art. 28/29 un registro completo di tutti i contratti di fornitori di servizi ICT — inclusa la valutazione di criticità, l'identificazione LEI e la valutazione del rischio di concentrazione — che può essere presentato ai regolatori nel formato EBA-ITS-2024/2956. E l'art. 19 richiede di classificare un incidente serio correlato alle TIC entro 4 ore dalla scoperta, seguito da un rapporto intermedio e da un rapporto finale all'autorità competente.
In pratica, entrambi i processi si basano sulla stessa base dati fornitori: un incidente presso un fornitore ICT critico influisce automaticamente sulla sua valutazione del rischio di concentrazione nel RoI, e un registro senza una classificazione di criticità pulita rende anche più difficile giustificare la classificazione degli incidenti. Due strumenti separati — un registro Excel da un lato, documenti Word improvvisati sotto pressione di tempo dall'altro — spezzano proprio questo legame.
Quello che conta è una soluzione che serva entrambi i processi dalla stessa base dati: il registro sempre pronto per la presentazione, la cascata di segnalazione con un conto alla rovescia visibile a ogni livello, il Threat-Led Penetration Testing (art. 26/27) con pianificazione documentata — e ogni stato sigillato crittograficamente, verificabile in modo indipendente.
Sei pilastri per un RoI pronto per la presentazione e segnalazioni conformi ai termini.
Registro dei fornitori con criticità e LEI
Ogni fornitore ICT viene catturato con classificazione di criticità, LEI e dati contrattuali in un formato strutturato — non disperso in fogli di calcolo e file.
Flag di rischio di concentrazione
Clustering per tipo di servizio e paese, punti singoli di guasto: l'analisi di concentrazione per l'art. 29 viene calcolata deterministicamente dal registro e sigillata — una risposta di resilienza, non un semplice allegato Excel.
RoI versionato e pronto per l'esportazione (CSV T01/T02/T04 + XBRL)
Ogni versione del registro viene sigillata e non può essere modificata discretamente in seguito; la presentazione avviene direttamente nel formato atteso dai regolatori — nessuna necessità di ricostruire manualmente la struttura tabulare ESMA-ITS poco prima della scadenza.
Registro incidenti con orologio di notifica 4 h / 72 h / 30 giorni
Ogni incidente passa attraverso il rapporto iniziale, il rapporto intermedio e il rapporto finale come un processo guidato; dal momento in cui la scoperta viene registrata, il conto alla rovescia di ogni livello viene eseguito visibilmente — senza bisogno di ricostruirlo dalla memoria.
Rapporto d'incidente come PDF firmato digitalmente
Il rapporto d'incidente all'autorità viene generato come un PDF firmato digitalmente con convalida prima dell'invio — per garantire che nulla di incompleto o malformato venga inviato.
Pianificazione & tracciamento TLPT
I cicli di Threat-Led Penetration Testing secondo Art. 26/27 vengono pianificati e tracciati con stato — come una prova indipendente, sempre pronta, invece di un file di progetto separato.
Ulteriori informazioni su DORA e l'infrastruttura sottostante.
Scadenze, gestione dei rischi ICT, obblighi di segnalazione e fonti primarie in dettaglio.
Dettagli normativi →Come il registro dei fornitori, le valutazioni di sicurezza e la valutazione dei rischi lavorano insieme.
Dettagli funzionalità →Come il protocollo di segnalazione a tre livelli e il conto alla rovescia di classificazione lavorano insieme in workspace.reportact.com.
Dettagli funzione →