Resilienza operativa digitale

DORA: rischio ICT, incidenti, test di resilienza e fornitori ICT terzi per le entità finanziarie

Governance (art. 5), incidenti ICT (artt. 17-19) e fornitori ICT terzi (art. 28): cosa chiede il regolamento e quali evidenze servono per l'autorità di vigilanza.

ParliamoneValutazione di partenza

Il regolamento DORA si applica dal 17 gennaio 2025 alle entità finanziarie dell'Unione. Chiede un quadro di gestione del rischio ICT approvato dall'organo di gestione, la classificazione e segnalazione degli incidenti ICT gravi, test di resilienza e un controllo stretto dei fornitori ICT terzi, compreso il registro delle informazioni.

A chi si applica

  • Banche, istituti di pagamento e di moneta elettronica, imprese di investimento, assicurazioni e riassicurazioni.
  • Gestori di fondi, prestatori di servizi per le cripto-attività, sedi di negoziazione e altre entità elencate all'articolo 2.
  • I fornitori ICT terzi critici, soggetti a una sorveglianza europea dedicata.

Cosa chiede

  1. 01

    Quadro di gestione del rischio ICT

    Strategie, politiche e procedure documentate, approvate e riesaminate dall'organo di gestione.

  2. 02

    Incidenti ICT

    Processo di gestione, classificazione secondo i criteri comuni e segnalazione degli incidenti gravi all'autorità.

  3. 03

    Test di resilienza

    Programma di test proporzionato e, per alcune entità, test di penetrazione guidati dalla minaccia (TLPT).

  4. 04

    Rischio da terze parti ICT

    Registro delle informazioni sui contratti ICT, clausole contrattuali obbligatorie e strategie di uscita.

  5. 05

    Continuità e ripristino

    Politiche di continuità operativa ICT, piani di risposta e ripristino, backup.

  6. 06

    Condivisione delle informazioni

    Possibilità di scambiare informazioni sulle minacce informatiche tra entità finanziarie.

Calendario

  1. 16 gennaio 2023Entrata in vigore del regolamento.
  2. 17 gennaio 2025Applicazione per le entità finanziarie.
  3. 2025Prime trasmissioni del registro delle informazioni alle autorità.

EVIDEVO

Come EVIDEVO gestisce controlli ed evidenze per DORA

Fornitori ICT e registro delle informazioni

In Gestione dei fornitori contratti, funzioni supportate, valutazioni e clausole sono collegati ai dati del registro delle informazioni (art. 28).

Controlli condivisi con NIS2 e ISO/IEC 27001

Un controllo comune alle tre norme ha un'unica serie di evidenze, collegata a ciascun requisito.

Test con responsabile, data ed esito

Ogni test di resilienza ha un responsabile, una data, un esito e le azioni correttive che ne seguono.

Report per l'organo di gestione

Lo stato del quadro di gestione del rischio ICT è riassunto in un report per l'organo di gestione, che lo approva e lo riesamina (art. 5).

Dati puramente a scopo illustrativo e non reali

Cosa si esporta

  • Dati per il registro delle informazioni
  • Evidenze del quadro di gestione del rischio ICT
  • Storico dei test e delle azioni correttive

Le funzionalità per DORA

Come si stabilisce se DORA si applica

Settore, dimensione e servizi decidono il perimetro. La valutazione di partenza lo individua e indica le priorità.

Valutazione di partenza

Guide su DORA

Framework che condividono le evidenze

Sintesi a scopo informativo, aggiornata a ottobre 2026. Non costituisce consulenza legale: applicabilità e obblighi vanno verificati sul testo ufficiale e sul caso specifico.

Una presentazione di trenta minuti sul perimetro dell'organizzazione.

Si parte dalle norme da rispettare e da come il lavoro è organizzato oggi. In trenta minuti si vede EVIDEVO applicato a quel contesto.

Parliamone