AGGIORNAMENTO: Il presente articolo, originariamente pubblicato su 24 agosto 2023, è stato aggiornato per riflettere le informazioni più recenti disponibili in merito alle norme DORA e alla scadenza per l’applicazione prevista per questo mese.
La legge sulla resilienza operativa digitale dell’ ( Digital Operational Resilience Act), nota come DORA, costituisce un quadro normativo innovativo per il settore dei servizi finanziari che l’Unione Europea (UE) ha approvato nel 2022. Sebbene sia entrata in vigore il 16 gennaio 2023, è diventata pienamente applicabile il 17 gennaio 2025.
DORA mira a rafforzare la resilienza degli istituti finanziari di fronte a rischi quali il ransomware, gli attacchi alla catena di approvvigionamento e altre minacce alla sicurezza informatica. Il regolamento impone alle entità del settore finanziario e ai loro fornitori di servizi nel campo delle tecnologie dell’informazione e della comunicazione (TIC) di migliorare le proprie pratiche in materia di sicurezza informatica, in particolare i propri piani di , di risposta agli incidenti e di resilienza.
Questo articolo illustra tutto ciò che occorre sapere su DORA. Inizieremo definendo il DORA e spiegando in che modo esso si differenzia dal Regolamento generale sulla protezione dei dati (GDPR). Successivamente, analizzeremo i suoi vantaggi, gli obiettivi principali e i vari settori su cui ha un impatto, comprese le implicazioni specifiche per i fornitori di servizi ICT di terze parti.
Infine, forniremo alcune linee guida generali per garantire la conformità alla normativa DORA. Approfondiamo l’argomento e scopriamo l’importanza di DORA nel rafforzamento della resilienza digitale.
Che cos’è la conformità alla normativa DORA?
La conformità alla normativa DORA consente di colmare le lacune e prevenire le interruzioni dell’attività, attraverso l’istituzione di solidi sistemi di gestione dei rischi e di piani di risposta alle minacce informatiche. Tali norme sono state concepite per garantire che gli istituti finanziari dell’Unione europea siano in grado di gestire e mitigare efficacemente gli effetti degli incidenti di sicurezza informatica, mantenendo la resilienza operativa e la conformità ai nuovi requisiti normativi — pena gravi ripercussioni.
[Legga anche: Che cos’è la gestione della conformità? Tipi e consigli per il miglioramento]
Le sanzioni per le violazioni della legge DORA possono essere molto elevate. Sebbene il regolamento DORA non preveda multe o sanzioni penali, i singoli Stati membri dell’UE possono introdurre sanzioni i e penali nelle proprie legislazioni nazionali. Tali sanzioni possono comprendere ammende fino al 2% del fatturato annuo complessivo a livello mondiale di un’entità o fino a 1 milione di euro, nonché sanzioni ancora più severe, fino a 5 milioni, per i fornitori di servizi ICT di terze parti di importanza critica.
Fortunatamente, l’adesione alla normativa DORA comporta notevoli vantaggi. "Il rispetto della normativa DORA offre vantaggi significativi a coloro che ne osservano i requisiti espliciti e i principi fondamentali", afferma Rois Ni Thuama, responsabile della governance informatica presso il fornitore di soluzioni di sicurezza Red Sift. «I vantaggi economici sono notevoli, in quanto consentono di migliorare il processo decisionale ed evitare i costi derivanti dal trascurare minacce note.»
Ora che abbiamo definito il DORA, potreste chiedervi: non abbiamo già vissuto un’esperienza simile di recente con l’ GDPR? Confrontiamo brevemente il regolamento DORA e il regolamento GDPR , al fine di comprenderne le analogie e le differenze e di vedere in che modo ciascuno di essi contribuisca in modo specifico a rafforzare la resilienza digitale e la protezione dei dati.
In che modo DORA si confronta con “ GDPR”?
Poiché DORA si avvale dei quadri normativi esistenti in materia di sicurezza informatica dell’ e si basa su di essi per rafforzare la resilienza operativa degli istituti finanziari, incorpora molti degli stessi principi derivanti da standard consolidati quali GDPR e il Cybersecurity Framework del National Institute of Standards and Technology (NIST), al fine di fornire una solida base per i propri requisiti.
Tuttavia, sebbene il DORA e l’ GDPR siano regolamenti dell’Unione Europea di grande rilevanza, essi differiscono per oggetto e ambito di applicazione. GDPR è più ampio e si concentra sulla protezione dei dati e sulla privacy per tutte le organizzazioni che trattano dati personali. DORA si rivolge specificatamente al settore finanziario, concentrandosi sui rischi legati alle TIC e sulla resilienza operativa, con obiettivi volti a garantire che gli enti finanziari siano in grado di resistere, reagire e riprendersi da tutte le interruzioni e minacce legate alle TIC.
Concentrandosi su questi obiettivi fondamentali, DORA mira a rafforzare la resilienza e la sicurezza complessive del settore finanziario.
Quali sono gli obiettivi principali di DORA?
L’obiettivo finale di DORA è garantire una gestione dei rischi più resiliente attraverso la standardizzazione dei requisiti di resilienza operativa per gli istituti finanziari, creando un quadro normativo uniforme in tutta l’Unione europea.
A tal fine, i requisiti DORA sono di natura prescrittiva e pongono particolare enfasi sulle modalità con cui le organizzazioni attuano una gestione efficace dei rischi, la gestione e la segnalazione degli incidenti, nonché le pratiche di governance, tra cui:
- Rafforzare la gestione dei rischi: Gli istituti finanziari e tutti i soggetti interessati devono definire strategie complete per affrontare e mitigare i rischi, comprese le minacce informatiche e le interruzioni operative dei sistemi informativi. Devono inoltre effettuare valutazioni periodiche dei rischi per dimostrare come gestiscono efficacemente i propri rischi.
- Migliorare la gestione e la segnalazione degli incidenti: Le organizzazioni devono disporre di solidi meccanismi di gestione e segnalazione degli incidenti per gestire e segnalare gli incidenti di sicurezza informatica, nonché di piani di continuità operativa per le proprie attività, comprese le funzioni importanti esternalizzate o affidate tramite fornitori di servizi di tecnologia dell’informazione e della comunicazione.
Il DORA richiede inoltre agli enti finanziari di segnalare alle autorità competenti gli incidenti gravi relativi alle TIC in tre fasi: notifica iniziale entro 24 ore, relazione intermedia entro 72 ore e relazione finale entro un mese. Tali rapporti devono includere dettagli quali il tipo di incidente, le aree interessate, le ripercussioni e le misure adottate per la risoluzione. Ciò garantisce una comunicazione tempestiva e una gestione efficace degli incidenti, rafforzando la resilienza operativa complessiva. - Promuovere i test di resilienza operativa digitale: È obbligatorio effettuare test periodici di resilienza operativa digitale per garantire che i sistemi e i processi siano in grado di resistere alle interruzioni e di riprendersi da esse. L’esecuzione di test di penetrazione basati sulle minacce (TLPT) costituisce una componente fondamentale dei test di resilienza previsti dal DORA, in quanto simula attacchi informatici reali al fine di individuare le vulnerabilità. Gli enti finanziari devono effettuare annualmente prove di stress (TLPT) sulle attività di elevato valore per verificare i controlli tecnici, i processi organizzativi e le capacità di risposta agli incidenti, avvalendosi di soggetti esterni indipendenti.
- Definizione di principi di governance e supervisione: La normativa DORA impone agli enti finanziari di attuare solide pratiche di governance e supervisione al fine di garantire un’efficace gestione dei rischi e la conformità dei sistemi informatici alle norme, alle politiche e ai controlli regolamentari. Ai sensi del DORA, l’organo di gestione degli enti finanziari è responsabile della definizione, dell’approvazione, della supervisione e dell’attuazione di tutte le misure relative al quadro di gestione dei rischi informatici, compresa la definizione di politiche volte a mantenere elevati standard di sicurezza dei dati, la definizione di ruoli e responsabilità chiari per le funzioni relative alle tecnologie dell’informazione e della comunicazione (TIC) e la garanzia di una comunicazione e di un coordinamento efficaci tra tali funzioni.
Le imprese dovrebbero essere pronte a condividere con le autorità di regolamentazione il proprio quadro di riferimento, nonché i propri sistemi interni di governance e controllo in materia di sicurezza informatica, al fine di dimostrare in che modo identificano, valutano, monitorano e gestiscono i rischi informatici.
"È positivo constatare che si presti particolare attenzione alla resilienza", afferma Wim Remes, responsabile operativo della società di sicurezza Spotit. "Questa serie di norme mira a spingere le entità a non limitarsi a soddisfare meccanicamente i requisiti normativi", afferma Remes, ma ad adottare una strategia di gestione del rischio di conformità più olistica (e più efficace) per proteggere i sistemi finanziari.
Ora che abbiamo esaminato gli obiettivi principali di DORA, concentriamoci sui settori su cui essa ha un impatto. Identificando i settori interessati, possiamo comprendere meglio l’ampia portata e l’importanza di DORA nel rafforzamento della resilienza digitale in vari ambiti.
Quali settori sono interessati dal regolamento DORA?
Il regolamento DORA è un atto normativo dell’Unione Europea di ampia portata che ha ripercussioni sulle organizzazioni di tutto il mondo. Sebbene sia rivolto principalmente al settore finanziario, il suo impatto si estende a un’ampia gamma di settori collegati ai servizi finanziari, tra cui banche, fornitori di servizi di pagamento, emittenti di moneta elettronica, fornitori di servizi di informazione contabile, società di investimento, società di gestione, società di trading, intermediari, fornitori di servizi relativi alle criptovalute, compagnie assicurative e altri istituti finanziari.
«Non esiste una versione “DORA lite”», spiega Ni Thuama. Per le imprese con sede all’interno o all’esterno dell’Unione europea, «l’impatto è lo stesso».
Inoltre, i requisiti previsti dal DORA incidono in modo significativo sui fornitori di servizi terzi che offrono servizi ICT fondamentali agli enti finanziari. Tali requisiti influenzano notevolmente le loro attività e le loro responsabilità, poiché tali operatori svolgono un ruolo fondamentale nel sostenere il settore finanziario.
In che modo il regolamento DORA influisce sui fornitori di servizi ICT di terze parti?
Il DORA si applica inoltre ai fornitori di servizi nel settore delle tecnologie dell’informazione e della comunicazione (TIC), compresi i fornitori di servizi digitali e di dati — fornitori di servizi cloud, fornitori di servizi di analisi dei dati e di data center, fornitori di servizi hardware e fornitori di servizi di comunicazioni elettroniche — nonché ai fornitori di linee telefoniche analogiche.
Ai sensi del regolamento DORA, i fornitori di servizi ICT possono essere designati come “critici” in base al loro impatto sistemico, alla dipendenza degli enti finanziari nei loro confronti e ad altri fattori. Le autorità europee di vigilanza (ESA), che comprendono l’Autorità europea delle assicurazioni e delle pensioni aziendali e professionali (EIOPA), l’Autorità bancaria europea (EBA) e l’Autorità europea degli strumenti finanziari e dei mercati (ESMA), sono responsabili della designazione dei fornitori di TIC in quanto tali.
I fornitori di servizi ICT di terze parti di importanza critica devono conformarsi a un quadro di vigilanza rafforzato, che comprenda valutazioni e audit periodici, al fine di dimostrare in modo efficace la propria capacità di gestire i rischi e mitigare gli incidenti legati alle TIC.
Tuttavia, gli enti finanziari che ricorrono all’esternalizzazione dei sistemi ICT devono anche garantire che i fornitori rispettino i requisiti previsti dal DORA, effettuando un’approfondita due diligence e monitorando costantemente i rischi legati a soggetti terzi.
Comprendere in che modo il regolamento DORA incida sui fornitori di servizi ICT di terze parti è fondamentale per cogliere appieno la portata del regolamento. Passiamo ora ad alcune indicazioni generali su come questi fornitori e le altre entità interessate possano adoperarsi per garantire il rispetto dei requisiti previsti dal DORA.
Come conformarsi alla normativa DORA
I principali fornitori di tecnologia, come Google Cloud, hanno già apportato le modifiche necessarie per conformarsi alla normativa DORA. Ad esempio, hanno riunito esperti in materia provenienti dai settori del rischio e della conformità, della sicurezza, dell’ufficio legale, degli affari governativi e dei team di prodotto per elaborare piani di conformità laddove necessario.
Il team di Google Cloud ha inoltre spiegato: «Questi piani si basano sulle nostre solide fondamenta in ambiti quali la sicurezza, la resilienza e la gestione dei rischi di terze parti , che già consentono ai nostri clienti del settore dei servizi finanziari nell’Unione Europea di soddisfare i rigorosi requisiti normativi a cui sono soggetti».
«Questa serie di norme mira a spingere le entità a non limitarsi a soddisfare meccanicamente i requisiti normativi.»Wim Remes, responsabile operativo, Spotit
Google si è inoltre preparata alla sua probabile designazione come fornitore di tecnologie critiche e agli impegni annuali richiesti, presentando piani di supervisione, ispezioni, raccomandazioni e consulenza ai clienti in materia di segnalazione degli incidenti. Il manuale di riferimento “ Google ” rappresenta un eccellente modello da seguire: le aziende dovrebbero valutare lo stato attuale delle proprie capacità rispetto ai requisiti del DORA e colmare eventuali lacune individuate.
Il bello di DORA è che non richiede un approccio innovativo. "In realtà, ciò richiede essenzialmente che gli enti finanziari si attengano alle migliori prassi", afferma Ni Thuama.
Ni Thuama raccomanda alle società di servizi finanziari e ai fornitori di tecnologia tenuti a conformarsi al DORA di effettuare un’autovalutazione in relazione a queste sei aree:
- Governance
- Risk management
- Reporting
- Testing
- Rischio di terze parti
- Condivisione delle informazioni
«Devono individuare tali aree chiave, stabilire a che punto si trovano attualmente rispetto a ciascuna di esse e colmare eventuali lacune, ammesso che ve ne siano», consiglia.
Allora, da dove cominciare? Ni Thuama raccomanda alle aziende di consultare il quadro di riferimento per la gestione dell’ Risk e delle tecnologie dell’informazione e della comunicazione (ICT) e di individuare i propri requisiti di collaudo. Afferma che le aziende dovrebbero «programmare test periodici degli strumenti e dei sistemi per valutare il livello di preparazione e correggere eventuali punti deboli, carenze o lacune».
In definitiva, la DORA impone alle aziende di fare ciò che dovrebbero già fare, osserva Scott Crawford, responsabile della ricerca sulla sicurezza informatica presso 451 Research. Ci si dovrebbe aspettare che le autorità di regolamentazione di tutto il mondo prestino la stessa attenzione alla resilienza informatica. "Continuerete a vedere l’introduzione di normative volte a garantire che le aziende siano in grado di reagire a gravi incidenti informatici, che si tratti di attacchi denial-of-service o di ransomware — indipendentemente dalla forma che tali incidenti assumano", afferma.
Tanium supporta le organizzazioni nell’adempimento delle normative DORA fornendo soluzioni complete volte a rafforzare la resilienza digitale. Il nostro ultimo aggiornamento, Tanium Autonomous Endpoint Management (AEM), ottimizza numerosi processi di gestione avvalendosi di funzionalità semplificate e native di intelligenza artificiale e automazione, al fine di ridurre la necessità di competenze specialistiche per la creazione, il potenziamento e la manutenzione di una libreria di automazione anche negli ambienti più complessi e dinamici.
Le nostre soluzioni integrate sono progettate ponendo la sicurezza al centro dell’attenzione, per aiutare le organizzazioni a districarsi nella crescente complessità dell’attuale panorama delle minacce. Le nostre funzionalità in tempo reale, leader del settore, quali l’integrazione delle informazioni sulle minacce provenienti dall’organizzazione, da Community e da terze parti con , Tanium , la risposta agli incidenti e l’utilizzo di punteggi di rischio proattivi in , Tanium Risk e la soluzione di gestione della conformità , forniscono un quadro dettagliato di ciò che sta accadendo nell’ambiente in tempo reale, consentendo alle organizzazioni di stabilire le priorità nei propri sforzi volti a salvaguardare le operazioni digitali e a soddisfare i rigorosi requisiti del DORA.
Con " Tanium", potrete affrontare con sicurezza le complessità della conformità, semplificando al contempo gli sforzi necessari per rafforzare rapidamente il vostro livello complessivo di sicurezza informatica. Prenoti oggi stesso una demo gratuita e personalizzata di Tanium nel Suo ambiente.
