DORA.
Il regolamento UE sulla resilienza operativa digitale nel settore finanziario: ambito di applicazione, obblighi principali ed evidenze continue.
- Regolamento (UE) 2022/2554
- Di Derya Altinay
- Aggiornato al: 22/10/2026
- Tempo di lettura: 9 min.
Risposta breve.
DORA è il regolamento UE sulla resilienza operativa digitale del settore finanziario. Dal 17 gennaio 2025 richiede alle entità finanziarie interessate una gestione solida dei rischi TIC, degli incidenti, dei test di resilienza e delle dipendenze dai fornitori. Gli obblighi dipendono da ruolo e ambito di applicazione; un certificato generale non ne sostituisce l'adempimento continuo.
Il regolamento DORA disciplina l'operatività continua.
DORA significa Digital Operational Resilience Act e indica il regolamento (UE) 2022/2554 sulla resilienza operativa digitale per il settore finanziario. Il regolamento si applica dal 17 gennaio 2025. Mira a consentire la continuità e il ripristino dei servizi finanziari anche in caso di gravi perturbazioni TIC. La Commissione europea considera prevenzione, limitazione degli effetti e ripristino come parti di un unico compito di resilienza.
DORA va oltre la difesa dagli attacchi informatici. Anche guasti tecnici, procedure di ripristino inutilizzabili e dipendenze da servizi esterni possono compromettere il servizio finanziario. Conta quindi la collaborazione tra responsabilità aziendale, tecnologia e fornitori. Una raccolta di politiche di sicurezza da sola non dimostra che un processo di pagamento torni effettivamente a funzionare dopo una perturbazione.
Norme tecniche di regolamentazione e di attuazione integrative precisano il regolamento. Il registro ufficiale della Commissione riporta, ad esempio, atti sulle notifiche degli incidenti e sul subappalto. L'attuazione richiede quindi le regole definitive applicabili e le disposizioni dell'autorità di vigilanza competente. Una vecchia checklist o un calendario generale di notifica non sostituiscono questa verifica.
Quali entità finanziarie e fornitori sono interessati da DORA.
DORA si applica a determinate entità del settore finanziario ai sensi dell'art. 2 del regolamento (UE) 2022/2554. Comprende, per esempio, enti creditizi, istituti di pagamento, imprese di investimento e imprese di assicurazione, tenendo conto delle eccezioni legali. Le definizioni FinTech, start-up o PMI non risolvono la questione. Nella risposta definitiva DORA 136–3193, EIOPA spiega che la classificazione parte dal tipo di entità e che le TIC condivise non possono essere escluse solo in base a singole attività.
Un normale fornitore terzo di servizi TIC ha un ruolo diverso da un'entità finanziaria interessata. I clienti finanziari possono richiedere impegni contrattuali, supporto negli incidenti ed evidenze solide. Va distinta la designazione espressa come fornitore terzo critico di servizi TIC da parte delle autorità europee di vigilanza ai sensi dell'art. 31 DORA. Il solo supporto a una funzione critica del cliente non comporta tale designazione, come spiegano le informazioni ESMA sul quadro di sorveglianza.
Proporzionalità significa definire gli obblighi in modo motivato in base all'impresa e ai suoi rischi. Non è un'esenzione generale per le piccole imprese. Il quadro semplificato di gestione dei rischi TIC dell'art. 16 DORA richiede una verifica separata. Registrate insieme ruolo, possibili eccezioni, autorità competente e motivi della classificazione prima di determinare l'ampiezza dell'attuazione.
I requisiti DORA collegano sei ambiti di lavoro.
I requisiti DORA collegano direzione, gestione dei rischi e operatività verificabile. Questa panoramica riunisce gli ambiti principali del regolamento; lo scambio di informazioni sulle minacce informatiche è volontario. ESMA descrive questi temi e rinvia alle rispettive norme tecniche per i dettagli.
Direzione e responsabilità.
L'organo di gestione è responsabile della gestione dei rischi TIC ai sensi dell'art. 5 DORA. Ciò comprende un quadro che renda coerenti decisioni, responsabilità e risorse necessarie. Affidarsi a servizi esterni non elimina la responsabilità dell'entità finanziaria. La direzione deve poter riconoscere i rischi sostanziali esistenti e le decisioni ancora aperte.
Gestione dei rischi TIC e continuità.
Gli art. da 5 a 16 DORA trattano il quadro di gestione dei rischi TIC, comprese le regole particolari per il quadro semplificato. Identificazione, protezione, rilevamento, risposta, ripristino e apprendimento sono collegati. Il riferimento è la funzione finanziaria interessata, con i suoi sistemi e dipendenze. Un obiettivo di ripristino documentato richiede capacità tecniche e organizzative adeguate.
Gestire e notificare gli incidenti.
Gli art. da 17 a 23 DORA disciplinano gli incidenti connessi alle TIC e le relative notifiche. I responsabili devono valutarne gli impatti, effettuare la classificazione pertinente e organizzare le notifiche necessarie. I dettagli derivano anche dalle norme tecniche applicabili. Un disservizio del fornitore va quindi prima valutato nel merito, anziché assumere automaticamente lo stesso stato di notifica per ogni normativa.
Testare la resilienza operativa digitale.
Gli art. da 24 a 27 DORA trattano i test di resilienza. Tipi diversi di test rispondono a domande diverse: un'esercitazione di crisi verifica le decisioni, un test di ripristino verifica le ipotesi tecniche. I test di penetrazione basati sulle minacce, in breve TLPT, riguardano entità finanziarie selezionate. Non sono un requisito generale per ogni prestatore finanziario o ciascuno dei suoi fornitori.
Gestire i rischi delle terze parti TIC.
Gli art. da 28 a 30 DORA collegano rischi dei fornitori, requisiti contrattuali e responsabilità propria dell'entità finanziaria. Il registro delle informazioni sugli accordi contrattuali TIC va distinto da un elenco generico di fornitori. Richiedono particolare attenzione il supporto a funzioni critiche o importanti, le dipendenze, la cooperazione contrattuale e opzioni di uscita praticabili. Gli art. 31 e seguenti DORA trattano la sorveglianza separata dei fornitori critici.
Scambiare informazioni sulle minacce in modo mirato.
L'art. 45 DORA consente accordi per lo scambio di informazioni sulle minacce informatiche. La partecipazione è volontaria e richiede regole chiare su riservatezza e utilizzo. Lo scambio integra l'operatività di sicurezza interna; non sostituisce né la valutazione di un incidente né una notifica necessaria all'autorità competente.
Attuare DORA: dal ruolo alla capacità verificata.
Chiarire ruolo e competenze.
Documentate per l'entità interessata ambito di applicazione, eccezioni, rapporto di vigilanza e persone responsabili, affinché il lavoro successivo si fondi su una classificazione motivata.
Rilevare funzioni finanziarie e dipendenze.
Collegate le funzioni importanti ai sistemi, alle informazioni e ai servizi esterni effettivamente utilizzati per riconoscere possibili conseguenze delle perturbazioni e dipendenze comuni.
Valutare rischi e accordi.
Verificate con funzioni aziendali, tecnologia e acquisti se misure, impegni dei fornitori e contratti sostengono la continuità necessaria e dove servono decisioni della direzione.
Esercitare gestione degli incidenti e ripristino.
Provate, con scenari adeguati, rilevamento, valutazione, escalation e ripristino, inclusa la collaborazione necessaria con i fornitori, e documentate i risultati.
Aggiornare evidenze e cambiamenti.
Dopo modifiche sostanziali e nuove conoscenze, verificate che responsabilità, registri, procedure e test restino coerenti e che le debolezze individuate siano state effettivamente risolte.
Le evidenze DORA nascono nell'operatività continua.
DORA viene dimostrato con decisioni tracciabili e attuazione verificabile. Secondo l'obbligo applicabile, vi rientrano valutazioni dei rischi, disposizioni di continuità, registrazioni degli incidenti, risultati dei test e documenti sugli accordi TIC. Un'evidenza dovrebbe rendere riconoscibile l'entità e la funzione cui si riferisce e ciò che è stato effettivamente verificato. Un verbale di test con problemi aperti non conferma che tali problemi siano già risolti.
Le autorità competenti vigilano sulle entità finanziarie nel quadro legale, tra l'altro ai sensi degli art. 46 e seguenti DORA. È distinta la sorveglianza europea dei fornitori terzi critici di servizi TIC espressamente designati ai sensi degli art. da 31 a 44. ESMA descrive tale sorveglianza come integrazione della responsabilità propria e della vigilanza esistente sulle entità finanziarie. Un certificato DORA generale con durata uniforme non sostituisce questi rapporti e obblighi.
Approfondimenti sul blog.
DORA e altri framework.
Per le entità finanziarie interessate, DORA costituisce negli ambiti pertinenti un atto settoriale dell'Unione rispetto a NIS2; ciò non esenta in modo generale ogni gruppo finanziario o la sua filiera da tutti gli obblighi BSIG. ISO 27001 può strutturare organizzativamente un ISMS, ma non sostituisce requisiti ed evidenze DORA. Gli obblighi GDPR vanno valutati separatamente, in particolare se una perturbazione riguarda anche dati personali.
In Secani.
Secani contiene un catalogo redazionale DORA basato sul regolamento (UE) 2022/2554 con atti integrativi selezionati. I dati del profilo distinguono, tra l'altro, le entità finanziarie confermate e il quadro completo o semplificato. Questi dati sostengono una gestione documentata; non effettuano una classificazione giuridica automatica. Il catalogo non è una traduzione ufficiale né una conferma di conformità a DORA.
Iniziare da un'entità e una funzione.
Scegliete prima un'entità giuridica rilevante e una funzione finanziaria concreta. Raccogliete classificazione, responsabilità, dipendenze dai sistemi, accordi di servizio e ultimi risultati dei test. Verificate poi con i responsabili quali dichiarazioni sono già dimostrate e quale decisione è necessaria in seguito. La guida dettagliata sul blog approfondisce questo avvio.
Fonti.
- Regolamento (UE) 2022/2554 sulla resilienza operativa digitale per il settore finanziario
- Commissione europea: Cyber resilience
- Commissione europea: atti delegati e di esecuzione DORA
- ESMA: DORA, ambiti principali e norme tecniche
- ESMA: sorveglianza dei fornitori terzi critici di servizi TIC
- EIOPA: DORA Q&A 136–3193 sull'art. 2
- Orientamenti della Commissione sull'art. 4 NIS2, 2023/C 328/02
Domande frequenti.
No. Contano l'entità, la sua categoria legale e le possibili eccezioni ai sensi dell'art. 2 DORA. Una denominazione di mercato o le piccole dimensioni aziendali da sole non determinano né l'applicabilità né un'esenzione.
No. La designazione come fornitore terzo critico di servizi TIC avviene nel quadro europeo di sorveglianza ai sensi dell'art. 31 DORA. Un rapporto con un cliente o il supporto a una sua funzione critica da soli non sostituiscono tale designazione.
No. I test di penetrazione basati sulle minacce dell'art. 26 DORA riguardano entità finanziarie selezionate. Gli altri requisiti applicabili sui test di resilienza richiedono una verifica separata.
No. Un certificato ISO 27001 conferma un ISMS nell'ambito dichiarato e non sostituisce gli obblighi legali DORA. Per questi restano determinanti i requisiti applicabili, l'attuazione effettiva e le relative evidenze.
Collegare responsabilità ed evidenze.
Scoprite come Secani sostiene la gestione dei requisiti normativi.
Questa pagina illustra DORA in termini generali e non sostituisce una verifica giuridica del caso concreto. Fanno fede gli atti vigenti e le disposizioni dell'autorità di vigilanza competente.