Se lavora in un'entità finanziaria, o in un'azienda che fornisce servizi tecnologici a una di esse, il DORA fa già parte della Sua quotidianità. Il Digital Operational Resilience Act si applica direttamente in tutta l'Unione europea dal 17 gennaio 2025, e non è una raccomandazione: è un obbligo. In questo articolo spiego con chiarezza che cos'è, chi è interessato, che cosa richiede e da dove ha senso cominciare.

Che cos'è il DORA, in una frase

Il DORA (Digital Operational Resilience Act) è il regolamento europeo che impone al settore finanziario di resistere, rispondere e ripristinare l'operatività di fronte a qualsiasi incidente legato alle tecnologie dell'informazione. In altre parole: avere la sicurezza informatica non basta più; bisogna dimostrare che l'organizzazione continua a operare anche quando qualcosa si rompe.

L'idea chiave: il DORA sposta la resilienza operativa digitale dall'ambito tecnico alla sala del consiglio. Non è più "una questione IT", ma un obbligo di governance societaria, sotto la responsabilità dell'organo di gestione.

A chi si applica

L'ambito di applicazione del DORA è ampio. Copre quasi tutto il settore finanziario europeo e, indirettamente ma molto concretamente, i suoi fornitori tecnologici. Tra i soggetti interessati:

  • Enti creditizi, istituti di pagamento e istituti di moneta elettronica.
  • Imprese di investimento e società di gestione di fondi.
  • Imprese di assicurazione e di riassicurazione.
  • Fornitori di servizi per le cripto-attività.
  • E, in particolare, i fornitori terzi di servizi TIC considerati critici, sottoposti a sorveglianza diretta.

Se è un fornitore tecnologico di banche, farà bene a comprendere il DORA anche se non è un'entità finanziaria: saranno i Suoi clienti a imporglielo per contratto.

Desidera certificarsi come DORA Foundation?
Formazione ufficiale PECB con un consulente in attività, in autoapprendimento o con accompagnamento individuale.

Vedere il corso →Parlare con Ricardo

I cinque pilastri del DORA

Tutto il regolamento si articola intorno a cinque blocchi. Comprenderli significa comprendere il DORA:

1. Gestione del rischio informatico

La base di tutto. Richiede un quadro solido per identificare, proteggere, rilevare, rispondere e ripristinare. Non è né facoltativo né delegabile: la responsabilità ultima spetta all'organo di gestione.

2. Gestione, classificazione e segnalazione degli incidenti

Bisogna rilevare gli incidenti connessi alle TIC, classificarli per gravità e segnalare i più gravi alle autorità entro termini precisi. Qui improvvisare costa caro.

3. Test di resilienza operativa digitale

Dire di essere pronti non basta: bisogna dimostrarlo con test periodici. I soggetti più significativi devono eseguire test avanzati basati su minacce reali.

4. Gestione del rischio di terze parti

Uno dei punti più esigenti. Impone di controllare il rischio introdotto dai fornitori tecnologici, con clausole contrattuali specifiche e un registro delle informazioni aggiornato.

5. Condivisione delle informazioni

Il DORA incoraggia i soggetti a condividere tra loro informazioni sulle minacce, per rafforzare la resilienza del settore nel suo insieme.

Da dove iniziare se non ha ancora fatto progressi

Se è in ritardo, niente panico, ma deve mettersi in moto. Ecco i primi passi che raccomando nei progetti su cui lavoro:

  1. Analisi degli scostamenti. Confronti ciò che ha già (probabilmente molto, se è conforme alla ISO 27001) con ciò che il DORA richiede. Identifichi le lacune reali.
  2. Inventario dei fornitori TIC. Sapere da chi dipende è metà del pilastro delle terze parti. Senza quella mappatura, non lo può gestire.
  3. Quadro di gestione degli incidenti. Definisca come rileva, classifica e segnala, con termini chiari.
  4. Coinvolga l'alta direzione. Il DORA ricade sotto la responsabilità dell'organo di gestione. Se non è informato e coinvolto, il progetto resta a metà strada.
Un vantaggio poco sfruttato: se la Sua organizzazione dispone già di un sistema di gestione della sicurezza delle informazioni conforme alla ISO 27001, parte con buona parte del percorso già fatta. Il DORA e la gestione del rischio di sicurezza si sovrappongono su molti punti.

Formarsi sul DORA: perché la certificazione fa la differenza

Comprendere il DORA leggendo il regolamento è possibile, ma lento e pieno di sfumature. Una certificazione riconosciuta, come la DORA Lead Manager di PECB, Le dà il quadro completo e strutturato, e La accredita presso la Sua organizzazione e il mercato come la persona in grado di guidare il percorso verso la conformità. Per i team di compliance e di gestione del rischio del settore finanziario, è uno dei corsi di maggior valore in questo momento. Il corso DORA Lead Manager è disponibile in autoapprendimento ufficiale PECB per avanzare al Suo ritmo, oppure con accompagnamento individuale fino a quando non sarà pronto per l'esame, nelle norme che insegno come PECB Certified Trainer. Le sessioni di accompagnamento si svolgono in inglese.