Entrato in vigore il 16 gennaio 2023, rappresenta un passo avanti significativo per garantire la resilienza operativa delle entità finanziarie nell’Unione Europea. DORA è una risposta alle crescenti minacce informatiche che mettono a rischio la stabilità e la sicurezza delle istituzioni quali banche, compagnie assicurative, società di investimento e altre entità finanziarie.

Questo regolamento mira a stabilire un quadro normativo completo che assicuri la capacità delle imprese di resistere, rispondere e riprendersi da qualsiasi tipo di minaccia legata alle tecnologie dell’informazione.

Nell’era digitale, il settore finanziario si affida sempre più a tecnologie avanzate per operazioni quotidiane, rendendosi vulnerabile a vari rischi cyber. Attacchi informatici, guasti e violazioni dei dati possono avere conseguenze devastanti, non solo per le singole imprese ma per l’intero sistema finanziario. DORA nasce dalla necessità di affrontare queste sfide, garantendo che tali imprese siano adeguatamente attrezzate per gestire e mitigare i rischi digitali.

Si applica a un’ampia gamma di entità del settore finanziario, tra cui: istituti di credito, agenzie assicurative, gestori di fondi di investimento, infrastrutture di mercato e fornitori di servizi finanziari.

Il regolamento mira a creare un approccio armonizzato in tutta l’UE per la gestione della resilienza operativa digitale, garantendo che ogni entità finanziaria applichi misure idonee nella protezione dei propri sistemi e dati.

Requisiti Principali

• Gestione dei rischi ICT:richiede che le imprese finanziarie stabiliscano un solido framework di gestione dei rischi ICT, comprendente politiche, procedure e controlli per identificare, valutare, monitorare e mitigare i rischi digitali.
• Incident reporting: Le imprese devono implementare meccanismi efficaci per segnalare prontamente incidenti ICT significativi alle autorità competenti, garantendo una rapida risposta e recupero.
• Testing della resilienza digital: LImpone alle entità finanziarie di sottoporsi regolarmente a test di resilienza, come penetration test e simulazioni di scenari, per valutare la loro capacità di resistere e recuperare da incidenti digitali.
• Gestione di terze parti: Le imprese finanziarie devono assicurarsi che le loro relazioni con fornitori e terze parti non compromettano la loro resilienza operativa digitale, richiedendo standard elevati di sicurezza e conformità ICT anche ai loro partner.
• Supervisione e conformità:stabilisce un meccanismo di supervisione a livello dell’UE, con l’EBA, European Banking Authority e l’EIOPA, European Insurance and Occupational Pensions Authority e l’ESMA, European Securities and Markets Authority, che svolgono un ruolo fondamentale nel monitorare l’attuazione del regolamento e garantire la conformità.

L’implementazione di DORA richiederà un impegno significativo da parte delle imprese finanziarie per rivedere e potenziare le loro pratiche di sicurezza ICT e di resilienza operativa. Le imprese dovranno assicurarsi di avere in atto le risorse, le competenze e i processi necessari per soddisfare i rigorosi requisiti di DORA. Ciò può includere l’aggiornamento delle infrastrutture, la formazione del personale su questioni di sicurezza ICT e la revisione delle politiche di gestione dei fornitori.

Mentre DORA si prepara ad essere vincolante da gennaio 2025, le imprese finanziarie in tutta l’UE devono iniziare a prepararsi per aderire ai nuovi standard. La resilienza operativa digitale diventerà un pilastro della stabilità finanziaria, con le autorità di regolamentazione che attenderanno un elevato livello di preparazione e capacità di risposta alle minacce digitali.

Le imprese (finanziarie e non) che anticipano e si adeguano proattivamente a questi nuovi standard non solo miglioreranno la loro sicurezza ma si posizioneranno anche come leader nel proprio settore sempre più digitalizzato.