Moduli GAPOFF e casi d’uso

Gestire DORA in piattaforma: dal requisito normativo al controllo operativo

Redazione GAPOFF · Aggiornato il 2026-05-19 · Revisione: 2026-05-19

Risposta rapida

Gestire DORA in piattaforma significa trasformare una normativa complessa in un sistema operativo: requisiti, controlli, evidenze, owner, scadenze, fornitori ICT, incidenti, test e report devono essere collegati nello stesso ambiente. Il valore non è solo archiviare documenti, ma mantenere una vista aggiornata della resilienza digitale e poter dimostrare, in audit o verso l’Autorità, come il rischio ICT viene governato nel tempo.

Verifica se la tua organizzazione rientra in DORA

Perimetro, cinque pilastri, gap analysis e report audit-ready.

Verifica gratis →

Perché questo tema è importante

Molte organizzazioni iniziano DORA con un approccio documentale: policy, procedure, fogli di calcolo, cartelle condivise e riunioni periodiche. Questo può bastare per avviare il progetto, ma diventa fragile quando aumentano i fornitori, cambiano i contratti, emergono incidenti, scadono le remediation e si deve rispondere a richieste di audit. DORA richiede una capacità di gestione continuativa, non solo la disponibilità di un fascicolo iniziale.

Una piattaforma consente di costruire una relazione stabile tra requisito normativo e attività aziendale. Se il requisito riguarda il rischio ICT, deve essere collegato a controlli, asset, fornitori, evidenze e test. Se riguarda incidenti, deve essere collegato a classificazione, timeline, comunicazioni, impatti e lesson learned. Se riguarda terze parti, deve arrivare fino al contratto, al servizio ICT e alla funzione supportata.

Quadro normativo e fonti ufficiali

Il Regolamento (UE) 2022/2554 disciplina la resilienza operativa digitale del settore finanziario e, secondo le fonti ESA, copre ICT risk management, incident reporting, resilience testing, ICT third-party risk, information sharing e oversight sui fornitori ICT critici. Le comunicazioni nazionali, come quelle di Banca d’Italia per incidenti e Register of Information, mostrano che la gestione pratica richiede dati coerenti, aggiornabili e trasmissibili secondo formati e tempistiche definite.

Le fonti ufficiali da mantenere come riferimento sono il testo del Regolamento (UE) 2022/2554 su EUR-Lex, le pagine delle Autorità europee di vigilanza e le comunicazioni operative nazionali. Per l’Italia, le pagine di Banca d’Italia su incident reporting e Register of Information sono particolarmente importanti per gli intermediari di competenza.

Cosa significa per l’azienda

Per l’azienda, la gestione in piattaforma riduce tre rischi: perdita di evidenze, incoerenza tra funzioni e mancata tracciabilità delle decisioni. Il problema non è solo sapere se un controllo esiste, ma dimostrare quando è stato verificato, da chi, con quale evidenza, quale gap ha generato e quale azione è stata assegnata.

La piattaforma diventa anche un linguaggio comune tra compliance, IT, risk, legal, procurement, internal audit e management. Ogni funzione lavora sul proprio pezzo, ma il quadro complessivo resta riconciliato. Questo è particolarmente importante per il Register of Information, perché dati contrattuali, servizi ICT, entità, funzioni supportate e fornitori devono essere allineati.

Cosa deve fare concretamente l’organizzazione

Creare una libreria requisiti DORA collegata ai cinque pilastri normativi.
Associare a ogni requisito controlli interni, evidenze, owner, stato e frequenza di riesame.
Collegare servizi ICT, funzioni critiche o importanti, asset e fornitori terzi.
Gestire gap e remediation con priorità, scadenze, responsabilità e audit trail.
Integrare incident workflow, business continuity e test di resilienza nella stessa base informativa.
Produrre dashboard operative per i team e report sintetici per management e audit.
Aggiornare periodicamente fonti, template, procedure e controlli in base alle evoluzioni normative.

Tabella operativa di lettura

| Area | Domanda operativa | Evidenza utile | Modulo GAPOFF collegato | |---|---|---|---| | Perimetro | Quali servizi, entità e funzioni sono coinvolti? | Mappa perimetro, owner, servizi ICT e funzioni supportate | DORA Compliance | | Fornitori ICT | Quali provider supportano processi critici o importanti? | Contratti, questionari, classificazione criticità, ROI | Vendor Risk Management | | Incidenti | Come viene gestito e documentato un evento ICT? | Timeline, classificazione, decisioni, report, post-mortem | Incident & Breach Ops | | Continuità | Il servizio può essere ripristinato entro obiettivi definiti? | BIA, RTO/RPO, test, lesson learned, remediation | Business Continuity | | Evidenze | Cosa si può mostrare ad audit, clienti o management? | Evidence pack, audit trail, policy, report periodici | Trust Center |

Esempio pratico

Una payment institution gestisce inizialmente DORA con tre file Excel: uno per i fornitori, uno per i controlli e uno per le remediation. Dopo l’inserimento di un nuovo provider cloud, il procurement aggiorna il contratto ma il file dei controlli resta invariato; il CISO esegue un test, ma la relativa evidenza non viene collegata alla funzione supportata. Con una piattaforma, il nuovo fornitore viene censito una sola volta, collegato al servizio ICT, al contratto, al livello di criticità, alle evidenze richieste e alle remediation aperte. Quando il management chiede lo stato DORA, la dashboard mostra cosa è completo, cosa è scaduto e quali rischi richiedono decisioni.

Errori comuni da evitare

Usare la piattaforma come semplice archivio documentale.
Non collegare requisiti, controlli, evidenze e remediation.
Lasciare fornitori ICT e contratti fuori dal perimetro operativo.
Non distinguere dashboard operative da report direzionali.
Non prevedere owner chiari per aggiornamenti, scadenze e validazioni.
Non tracciare le modifiche nel tempo, rendendo debole l’audit trail.

Come GAPOFF aiuta

GAPOFF consente di impostare DORA come processo integrato: il modulo DORA organizza requisiti, pilastri, gap e reporting; Vendor Risk Management collega fornitori ICT, contratti e concentrazione; Incident & Breach Ops struttura classificazione e timeline degli incidenti; Business Continuity collega BIA, piani e test; Trust Center permette di raccogliere e condividere evidence pack controllati. La logica è passare da file scollegati a una catena verificabile: requisito, controllo, evidenza, gap, remediation, owner, report.

La DORA non si gestisce con Excel.

Perimetro, rischio ICT, incidenti, Register of Information, fornitori ed evidenze devono essere collegati e dimostrabili. GAPOFF unifica DORA, Incident & Breach Ops, Vendor Risk, Business Continuity, GDPR, NIS2 e ISO 27001 in un unico sistema audit-ready.

Scopri il modulo DORA →

Checklist operativa

Requisiti DORA modellati in piattaforma
Controlli collegati a evidenze e owner
Fornitori ICT collegati a contratti e servizi
Gap e remediation tracciati
Incident workflow integrato
BIA e test di continuità collegati
Dashboard per team e management
Audit trail disponibile per modifiche e decisioni

Trasforma la checklist in attività tracciabili

Con GAPOFF ogni voce diventa un controllo con owner, scadenza ed evidenza — non un foglio Excel. Modulo DORA →

FAQ

Un software DORA è obbligatorio?

DORA non impone un software specifico. Tuttavia, quando il perimetro è complesso, una piattaforma riduce il rischio di frammentazione e aiuta a mantenere evidenze, controlli, fornitori e incidenti in modo coerente.

Qual è il vantaggio rispetto a Excel?

Excel può essere utile nelle prime fasi, ma diventa fragile per audit trail, versioning, assegnazione owner, workflow, alert, qualità dati e collegamento tra requisiti, contratti, incidenti e test.

La piattaforma sostituisce consulenti e funzioni interne?

No. La piattaforma abilita il processo e la tracciabilità. Valutazioni legali, tecniche e organizzative restano responsabilità dell’organizzazione e dei professionisti coinvolti.

Cosa deve produrre una piattaforma DORA?

Dovrebbe produrre matrici requisiti-controlli-evidenze, stato remediation, Register of Information, report incidenti, dashboard, evidence pack e report per audit e management.

Modulo GAPOFF DORA

Perimetro, cinque pilastri DORA, Register of Information, gap analysis, remediation con owner e scadenze, vendor risk ICT, incidenti e report audit-ready. Cross-mapping automatico con NIS2, ISO 27001 e GDPR.

Vai al modulo DORA →

Fonti ufficiali e riferimenti

Disclaimer legale

Questo contenuto ha finalità informative e di orientamento generale. Non costituisce consulenza legale, tecnica, fiscale o organizzativa personalizzata. Per determinare obblighi, responsabilità e misure applicabili al caso concreto, è necessario svolgere una valutazione specifica con professionisti qualificati e fonti ufficiali aggiornate.

FAQ