Risposta rapida

La scelta di un software DORA non è una decisione puramente tecnologica, ma una decisione di conformità normativa che impatta direttamente sulla capacità dell'ente finanziario di dimostrare la propria resilienza operativa digitale alle autorità di vigilanza. Il Regolamento (UE) 2022/2554, applicabile dal 17 gennaio 2025, non prescrive l'adozione di uno specifico strumento software, ma definisce requisiti stringenti in materia di gestione del rischio ICT, segnalazione degli incidenti, test di resilienza e gestione del rischio di terze parti. Il software DORA deve quindi essere valutato come un abilitatore di conformità, capace di tradurre i requisiti normativi in processi operativi verificabili e documentabili. I criteri di scelta essenziali includono: copertura funzionale dei cinque pilastri DORA, capacità di generare evidenze documentali per le autorità, gestione del registro delle informazioni ICT, supporto alla gestione dei contratti con fornitori ICT e funzionalità di reporting incidenti in linea con i modelli standardizzati delle ESAs.

Perché questo tema è importante

Il settore finanziario europeo è sempre più dipendente da strumenti e sistemi ICT per erogare i propri servizi. Questa dipendenza espone le entità finanziarie a un rischio ICT di terze parti significativo, poiché l'erogazione dei servizi finanziari si affida a soggetti che non sono direttamente vigilati né soggetti agli stessi quadri normativi. Quando il rischio ICT non è gestito correttamente, può causare interruzioni nell'erogazione dei servizi finanziari, con impatti che si propagano ad altre entità finanziarie, ad altri settori e all'intera economia.

Il Regolamento DORA introduce un framework armonizzato per la gestione del rischio ICT, l'ICT incident reporting, i test di resilienza operativa digitale, la gestione del rischio di terze parti derivante dal ricorso a service provider ICT e l'information sharing. Per le imprese italiane, la vigilanza è esercitata da Banca d'Italia, Consob e IVASS, che richiedono evidenze concrete dell'implementazione dei requisiti. Un software DORA non è un optional: è lo strumento che consente di trasformare gli obblighi normativi in processi gestibili, monitorabili e dimostrabili in sede di ispezione.

Quadro normativo e fonti ufficiali

Il riferimento normativo primario è il Regolamento (UE) 2022/2554, pubblicato sulla Gazzetta Ufficiale dell'Unione Europea il 27 dicembre 2022, entrato in vigore il 16 gennaio 2023 e applicabile dal 17 gennaio 2025. Le previsioni in esso contenute sono direttamente applicabili negli Stati membri, come richiamato dalla Banca d'Italia nella sua comunicazione dedicata.

Il Regolamento si articola su cinque pilastri principali:

• Gestione del rischio ICT: framework armonizzato in materia di governance del rischio ICT, in continuità con gli Orientamenti EBA sulla gestione dei rischi ICT e di sicurezza.
• ICT incident reporting: processi e criteri armonizzati per classificazione, registrazione e gestione degli incidenti ICT e delle minacce informatiche, con obblighi di segnalazione degli incidenti gravi.
• Test di resilienza operativa digitale: prove avanzate obbligatorie di resilienza operativa dei sistemi ICT, inclusi i threat-led penetration test per le entità individuate secondo criteri specifici.
• Gestione del rischio di terze parti: presidi per l'esternalizzazione e regime europeo di oversight sui provider ICT critici.
• Information sharing: meccanismi volontari di condivisione delle informazioni per prevenire e rispondere collettivamente alle minacce informatiche.

Il quadro di secondo livello è completato da atti delegati e di esecuzione, tra cui il Regolamento Delegato (UE) 2024/1774 sugli strumenti di gestione del rischio ICT, il Regolamento Delegato (UE) 2024/1773 sul contenuto delle politiche contrattuali per i servizi ICT che supportano funzioni critiche o importanti, e il Regolamento di Esecuzione (UE) 2024/2956 sui modelli standard per il registro delle informazioni. Le ESAs hanno pubblicato il 4 dicembre 2024 uno statement richiamando l'attenzione del mercato sulla prima applicazione del Regolamento.

Cosa significa per l'azienda

Per un'entità finanziaria italiana, l'applicazione di DORA significa dover dimostrare alle autorità di vigilanza di avere un framework di resilienza operativa digitale completo, documentato e operativo. Non basta avere policy scritte: serve la capacità di dimostrare che i processi funzionano, che gli incidenti vengono registrati e segnalati secondo i criteri stabiliti, che i fornitori ICT sono monitorati e che i test di resilienza vengono eseguiti regolarmente.

Per i fornitori ICT che servono entità finanziarie, DORA introduce obblighi indiretti ma sostanziali: le clausole contrattuali richieste dall'articolo 28 del Regolamento impongono diritti di audit, obblighi di cooperazione e requisiti di sicurezza che devono essere negoziati e rispettati. Un fornitore ICT che non è in grado di dimostrare la propria conformità ai requisiti DORA rischia di essere escluso dai processi di selezione delle entità finanziarie.

Il software DORA diventa quindi lo strumento attraverso cui entrambe le parti — entità finanziarie e fornitori ICT — gestiscono e dimostrano la conformità. Per le entità finanziarie, il software supporta la gestione del rischio ICT e la rendicontazione. Per i fornitori, supporta la gestione delle richieste contrattuali e la dimostrazione dei propri controlli.

Cosa deve fare concretamente l'organizzazione

La selezione di un software DORA deve partire da una mappatura dei requisiti normativi applicabili alla propria realtà. L'organizzazione deve:

• Identificare le funzioni critiche e importanti supportate da servizi ICT, come base per la classificazione dei fornitori e dei contratti.
• Definire il processo di gestione del rischio ICT, includendo identificazione, protezione, rilevamento, risposta e ripristino, in linea con il Regolamento Delegato (UE) 2024/1774.
• Implementare il registro delle informazioni ICT, utilizzando i modelli standard previsti dal Regolamento di Esecuzione (UE) 2024/2956, con aggiornamento continuo.
• Stabilire procedure di segnalazione degli incidenti ICT gravi, con classificazione secondo i criteri definiti e notifica alle autorità competenti entro i termini previsti.
• Predisporre il programma di test di resilienza operativa digitale, includendo test di vulnerabilità, penetration test e, ove richiesto, threat-led penetration test.
• Gestire il rischio di terze parti, con valutazione dei fornitori ICT, clausole contrattuali conformi e monitoraggio continuo.

Il software DORA deve supportare ciascuno di questi processi, non sostituirsi al giudizio dell'organizzazione. La scelta deve quindi verificare che lo strumento offra funzionalità specifiche per ciascun pilastro, con capacità di generare report e evidenze utilizzabili in sede di vigilanza.

Esempio pratico

Consideriamo una banca italiana di medie dimensioni che deve selezionare un software DORA. Il team di compliance e il CISO definiscono una shortlist di tre fornitori. La valutazione procede per fasi:

• Fase 1 — Copertura funzionale: si verifica che ciascun prodotto copra i cinque pilastri DORA. Un prodotto che gestisce solo l'incident reporting viene scartato, perché non copre la gestione del rischio di terze parti e il registro delle informazioni.
• Fase 2 — Allineamento normativo: si verifica che il software incorpori i modelli standard del registro informazioni previsti dal Regolamento di Esecuzione (UE) 2024/2956 e che supporti la classificazione degli incidenti secondo i criteri delle ESAs. Un prodotto che usa modelli proprietari non allineati viene scartato.
• Fase 3 — Evidenze documentali: si verifica la capacità del software di generare report completi e tracciabili, utilizzabili per dimostrare la conformità a Banca d'Italia. La banca richiede una demo con dati reali e verifica che i report includano timestamp, versioni e firma elettronica.
• Fase 4 — Integrazione: si verifica che il software si integri con i sistemi esistenti di gestione degli incidenti e con il SIEM, per evitare duplicazioni e garantire la completezza dei dati.
• Fase 5 — Contrattualistica: si verifica che il fornitore del software offra garanzie contrattuali adeguate, inclusi accordi sul trattamento dei dati e diritti di audit, in linea con i requisiti DORA per i fornitori ICT.

Il risultato è una scelta documentata, con criteri di valutazione oggettivi e verificabili, che la banca può presentare in sede di ispezione come evidenza del proprio processo di due diligence.

Errori comuni da evitare

• Scegliere un software solo per la gestione degli incidenti: DORA copre cinque pilastri. Uno strumento che gestisce solo l'incident reporting lascia scoperti gli altri obblighi e crea un falso senso di conformità.
• Non verificare l'allineamento ai modelli standard: il registro delle informazioni ICT deve seguire i modelli del Regolamento di Esecuzione (UE) 2024/2956. Un software con modelli proprietari richiede lavoro manuale aggiuntivo e rischia di non essere accettato dalle autorità.
• Ignorare la gestione del rischio di terze parti: la gestione dei fornitori ICT è uno dei pilastri più complessi. Un software che non supporta la valutazione dei fornitori e la gestione delle clausole contrattuali è incompleto.
• Sottovalutare la documentazione: le autorità di vigilanza richiedono evidenze. Un software che non genera report completi e tracciabili non è adeguato.
• Considerare il software come una soluzione completa: il software supporta il lavoro, ma non certifica la conformità. La responsabilità rimane dell'organizzazione.

Come GAPOFF aiuta

GAPOFF supporta le entità finanziarie e i fornitori ICT nella gestione operativa dei requisiti DORA attraverso il modulo DORA Compliance. La piattaforma consente di centralizzare la gestione del rischio ICT, il registro delle informazioni, la segnalazione degli incidenti e la gestione del rischio di terze parti, con funzionalità di reportistica pensate per le esigenze di vigilanza italiane.

Il modulo si integra con gli altri strumenti della piattaforma, come la gestione dei fornitori ICT e il piano di risposta agli incidenti, per offrire un quadro completo della resilienza operativa digitale. La piattaforma è progettata per supportare il lavoro di compliance officer, CISO e DPO, senza sostituirsi al loro giudizio professionale. GAPOFF è provabile gratuitamente per 14 giorni, per verificare direttamente se le funzionalità rispondono alle esigenze specifiche della propria organizzazione.

Checklist operativa

• Mappare i requisiti DORA applicabili alla propria realtà (entità finanziaria o fornitore ICT).
• Identificare le funzioni critiche e importanti supportate da servizi ICT.
• Verificare che il software copra tutti e cinque i pilastri DORA.
• Verificare l'allineamento ai modelli standard del registro informazioni (Regolamento di Esecuzione UE 2024/2956).
• Verificare il supporto alla classificazione e segnalazione degli incidenti ICT gravi.
• Verificare la capacità di generare report completi e tracciabili per le autorità di vigilanza.
• Verificare le funzionalità di gestione del rischio di terze parti e delle clausole contrattuali.
• Verificare l'integrazione con i sistemi esistenti (SIEM, ticketing, GRC).
• Verificare le garanzie contrattuali del fornitore del software (trattamento dati, diritti di audit).
• Documentare il processo di selezione con criteri oggettivi e verificabili.

FAQ

Un software DORA garantisce la conformità al Regolamento (UE) 2022/2554?

No. Il software DORA è uno strumento che supporta l'organizzazione nell'implementazione e nella gestione dei processi richiesti dal Regolamento, ma non certifica la conformità. La responsabilità della conformità rimane in capo all'entità finanziaria, che deve implementare il framework di gestione del rischio ICT, i processi di segnalazione e i test di resilienza. Il software facilita la documentazione e la gestione operativa, ma non sostituisce il giudizio professionale di compliance officer, CISO e DPO.

Quali sono i requisiti minimi che un software DORA deve avere?

Un software DORA deve supportare almeno i cinque pilastri del Regolamento: gestione del rischio ICT, ICT incident reporting, test di resilienza operativa digitale, gestione del rischio di terze parti e information sharing. Deve inoltre essere allineato ai modelli standard del registro delle informazioni previsti dal Regolamento di Esecuzione (UE) 2024/2956 e ai criteri di classificazione degli incidenti definiti dalle ESAs. La capacità di generare report completi e tracciabili per le autorità di vigilanza è un requisito essenziale.

Come si integra il software DORA con i sistemi già in uso nell'organizzazione?

L'integrazione dipende dall'architettura esistente. Un software DORA dovrebbe poter ricevere dati dai sistemi di gestione degli incidenti (ticketing), dai sistemi di sicurezza (SIEM) e dai sistemi di gestione dei rischi (GRC). L'obiettivo è evitare duplicazioni di dati e garantire la completezza delle informazioni. Prima della selezione, è opportuno verificare le API disponibili e i formati di importazione/esportazione supportati, nonché la capacità del software di gestire flussi di lavoro automatizzati per la segnalazione degli incidenti alle autorità competenti.

FAQ

Un software DORA garantisce la conformità al Regolamento (UE) 2022/2554?

No. Il software DORA è uno strumento che supporta l'organizzazione nell'implementazione e nella gestione dei processi richiesti dal Regolamento, ma non certifica la conformità. La responsabilità della conformità rimane in capo all'entità finanziaria, che deve implementare il framework di gestione del rischio ICT, i processi di segnalazione e i test di resilienza. Il software facilita la documentazione e la gestione operativa, ma non sostituisce il giudizio professionale di compliance officer, CISO e DPO.

Quali sono i requisiti minimi che un software DORA deve avere?

Un software DORA deve supportare almeno i cinque pilastri del Regolamento: gestione del rischio ICT, ICT incident reporting, test di resilienza operativa digitale, gestione del rischio di terze parti e information sharing. Deve inoltre essere allineato ai modelli standard del registro delle informazioni previsti dal Regolamento di Esecuzione (UE) 2024/2956 e ai criteri di classificazione degli incidenti definiti dalle ESAs. La capacità di generare report completi e tracciabili per le autorità di vigilanza è un requisito essenziale.

Come si integra il software DORA con i sistemi già in uso nell'organizzazione?

L'integrazione dipende dall'architettura esistente. Un software DORA dovrebbe poter ricevere dati dai sistemi di gestione degli incidenti (ticketing), dai sistemi di sicurezza (SIEM) e dai sistemi di gestione dei rischi (GRC). L'obiettivo è evitare duplicazioni di dati e garantire la completezza delle informazioni. Prima della selezione, è opportuno verificare le API disponibili e i formati di importazione/esportazione supportati, nonché la capacità del software di gestire flussi di lavoro automatizzati per la segnalazione degli incidenti alle autorità competenti.