DORA: resilienza operativa digitale per gli istituti finanziari
Il Digital Operational Resilience Act obbliga banche, assicurazioni, istituti di pagamento, cripto-fornitori e i loro fornitori ICT terzi critici a una gestione del rischio ICT uniforme — diritto UE direttamente applicabile, senza necessità di recepimento nazionale.
Un regolamento, direttamente applicabile in tutti i 27 Stati membri.
Il Regolamento (UE) 2022/2554 ("DORA") riunisce in un quadro unico i requisiti di rischio ICT per il settore finanziario, in precedenza dispersi su diverse normative settoriali. In quanto regolamento, si applica direttamente — senza legge di recepimento nazionale — a banche, assicurazioni, imprese di investimento, istituti di pagamento e di moneta elettronica, cripto-fornitori (CASP) e altre imprese finanziarie.
DORA disciplina anche i fornitori ICT terzi critici (cloud provider, data center e simili) tramite un regime di sorveglianza dedicato delle Autorità europee di vigilanza (EBA, ESMA, EIOPA).
DORA viene reso operativo attraverso una serie di norme tecniche di regolamentazione e attuazione (RTS/ITS) delle ESA — in particolare su segnalazione degli incidenti, registro dei fornitori terzi (Register of Information) e test di resilienza (TLPT).
Scadenze importanti
DORA pubblicato nella Gazzetta Ufficiale UE
Regolamento (UE) 2022/2554, Gazzetta Ufficiale L 333; entrata in vigore del regolamento il ventesimo giorno successivo.
Piena applicabilità in tutta l'UE
Art. 64: "Il presente regolamento si applica a decorrere dal 17 gennaio 2025." Diritto direttamente applicabile in tutti gli Stati membri, senza legge di recepimento nazionale.
Registro dei fornitori ICT terzi da mantenere costantemente aggiornato
Ai sensi dell'Art. 28, il Register of Information deve essere mantenuto costantemente aggiornato e reso disponibile alla vigilanza su richiesta o secondo le disposizioni ITS.
Segnalazione di incidenti ICT gravi
Art. 19 in combinato disposto con RTS/ITS (tra cui il Regolamento delegato (UE) 2025/301): notifica iniziale entro 4 ore dalla classificazione, relazione intermedia entro 72 ore, relazione finale entro un mese.
Cosa richiede concretamente DORA.
Gestione del rischio ICT
Quadro olistico per identificazione, protezione, rilevamento, risposta e ripristino rispetto ai rischi ICT — inclusa la responsabilità di governance degli organi di gestione.
Registro dei fornitori terzi (RoI)
Registro completo e costantemente aggiornato di tutti i fornitori ICT terzi, inclusa la valutazione del rischio di concentrazione, soggetto a obbligo di notifica all'autorità di vigilanza competente.
Cascata di segnalazione per incidenti gravi
Segnalazione scaglionata entro 4 ore (notifica iniziale), 72 ore (relazione intermedia) e un mese (relazione finale) dalla classificazione di un incidente ICT grave.
Test di resilienza (TLPT)
Test periodici della resilienza operativa digitale, per gli istituti significativi inclusi test di penetrazione basati sulla minaccia (Threat-Led Penetration Testing).
Registro, cascata di segnalazione e cross-mapping — in un unico pack.
Resilienza della catena di fornitura che si può dimostrare. DORA non tratta i fornitori terzi come un'appendice, ma come il nucleo della resilienza operativa — ReportAct trasforma il registro nella prova continua di questo.
Il Framework Pack ReportAct per DORA gestisce un registro completo dei fornitori ICT terzi (RT.02.xx secondo la struttura ESMA-ITS) con esportazione XBRL, così la segnalazione alla vigilanza può avvenire direttamente da dati sigillati.
Rischio di concentrazione al centro dell'attenzione della vigilanza. Le Autorità europee di vigilanza designano i fornitori ICT terzi critici (CTPP), e BaFin considera la concentrazione dell'outsourcing ICT un rischio prioritario. ReportAct calcola il rischio di concentrazione in modo deterministico a partire dal Suo registro — cluster per tipo di servizio e paese, rilevamento di single point of failure — e sigilla il risultato come prova ai sensi dell'art. 29.
Per la cascata di segnalazione, ReportAct fornisce un tracker delle scadenze con avviso di classificazione a 4 ore — ogni cambio di stato viene sigillato crittograficamente e non può quindi essere modificato retroattivamente senza lasciare traccia.
Grazie al cross-mapping con ISO/IEC 27001 e l'EU AI Act, un controllo rilevato una sola volta viene automaticamente riconosciuto su più regimi, invece di gestire più volte le valutazioni dei fornitori terzi.
Dichiarazione di prodotto/posizionamento, non consulenza legale.
Consulti direttamente
ReportAct non è una società di consulenza. Questa pagina non sostituisce una consulenza legale. I dettagli operativi della cascata di segnalazione e del Register of Information vengono costantemente precisati tramite atti delegati e di esecuzione (RTS/ITS) delle ESA — prima di decisioni vincolanti verifichi lo stato aggiornato direttamente presso EBA, ESMA o EIOPA. Si applicano i nostri Termini e condizioni.
Un registro DORA che resta pronto per l'audit.
Inizi subito con il Suo registro dei fornitori ICT terzi — incluso tracker della cascata di segnalazione ed esportazione XBRL.