Regolamento DORA – Digital Operational Resilience Act

Il nuovo Regolamento DORA (Digital Operational Resilience Act), pubblicato il 27 dicembre 2022 sulla Gazzetta Ufficiale dell’Unione Europea, ha l’obiettivo di rafforzare e armonizzare a livello europeo i principali requisiti di cybersecurity per le società finanziarie (banche, compagnie di assicurazione, società di servizi di criptovalute, istituzioni finanziarie) ed i loro fornitori di servizi critici.

 

Regolamento DORA – Digital Operational Resilience Act- per rafforzare e armonizzare a livello europeo i principali requisiti di cybersecurity per le società finanziarie

Il 27 dicembre 2022 è stato pubblicato sulla Gazzetta Ufficiale dell’Unione Europea il nuovo Regolamento DORA (Digital Operational Resilience Act), che ha l’obiettivo di rafforzare e armonizzare a livello europeo i principali requisiti di cybersecurity per le società finanziarie (banche, compagnie di assicurazione, società di servizi di criptovalute, istituzioni finanziarie) ed i loro fornitori di servizi critici.

L’esigenza di definire un Regolamento europeo in ambito fintech deriva da una valutazione che possiamo ritenere comune a molti settori: la trasformazione digitale che ha visto coinvolta la maggioranza degli operatori finanziari non è stata accompagnata da un’adeguata consapevolezza e gestione dei rischi ICT a cui il settore è sempre più esposto.

Infatti, la crescita in numero e gravità dei cyberattacchi, il pericolo di conseguenze a livello di sistema sia nazionale che sovranazionale, unito a diverse lacune del quadro normativo esistente, hanno evidenziato l’esigenza di normare in modo uniforme a livello europeo i parametri atti a garantire la “resilienza operativa digitale” nel settore finanziario.

 

Regolamento DORA: svolta decisiva per tutti gli aspetti di cybersecurity ne settore finanziario

Questa pubblicazione costituisce quindi una svolta decisiva e rilevante per tutti gli aspetti di cybersecurity nel settore finanziario, mirando a garantire che le imprese del settore:

• siano in grado di gestire in modo adeguato i rischi derivanti dall’uso dell’ICT;
• dispongano di un sistema di gestione degli incidenti ICT completo ed efficiente;
• verifichino la propria resilienza operativa digitale
• gestiscano in modo adeguato i rischi introdotti dalla presenza sempre più rilevante di terze parti che operano nel mondo ICT;
• condividano con la comunità finanziaria digitale le informazioni relative alle minacce cyber e alle vulnerabilità rilevate.

 

Il Regolamento DORA è entrato in vigore in tutta l’Unione Europea il 17 gennaio 2023, mentre sarà pienamente applicabile dal 17 gennaio 2025; le società a cui il Regolamento è destinato hanno quindi circa due anni di tempo per adeguarsi alle numerose novità. Sebbene la tempistica possa sembrare lunga, in organizzazioni complesse può apparire decisamente limitata.

Per le istituzioni finanziarie, i capitoli più rilevanti sono quattro, che possiamo considerare i pilastri principali del regolamento. Senza voler effettuare una disanima degli articoli che li compongono, possiamo riassumere i numerosi obblighi introdotti dal Regolamento nei seguenti punti principali:

1. governance e organizzazione interna il cui scopo è definire un quadro di controllo per la gestione efficace e prudente dei rischi ICT. Ruolo fondamentale viene giocato dall’”Organo di Gestione” dell’ente, che avrà il compito di approvare ed applicare le disposizioni contenute nel quadro suddetto avendo piena responsabilità
2. adozione di un piano per la gestione dei rischi informatici, che richiede sostanzialmente di creare un Framework per la gestione del rischio ICT e di definire una strategia di resilienza digitale (i.e. business continuity e disaster recovery)
3. gestione degli incidenti connessi alle ICT attuando un processo di monitoraggio, registrazione e gestione costante degli incidenti connessi alle tecnologie ICT, al fine di notificarli alle autorità competenti. La gestione deve essere definita in base alla priorità, gravità e criticità dei servizi colpiti, con l’evidente intendo di attenuarne l’impatto e garantire il ripristino tempestivo dell’operatività e la sicurezza dei servizi;
4. test di resilienza operativa digitale, al fine di accrescere la consapevolezza da parte delle autorità di vigilanza dei rischi informatici e degli incidenti cui sono esposte le entità finanziarie. Le entità finanziarie dovranno eseguire una serie di test periodici, anche al fine di identificare punti deboli, carenze o lacune, nonché verificare la capacità di attuare tempestivamente misure correttive, con un’applicazione proporzionata alle proprie dimensioni e del profilo commerciale e di rischio;
5. sistema di gestione dei rischi informatici derivanti da terzi. In particolare, in tale adempimento rientrano l’identificazione, la classificazione e la documentazione di tutti i processi dipendenti da fornitori terzi di servizi legati alle tecnologie ICT. Inoltre, si richiede l’imposizione di diversi obblighi contrattuali, al fine di garantire un adeguato monitoraggio delle attività svolte da parte dei fornitori che svolgono una funzione critica per l’attività svolta da parte dell’ente finanziario;
6. definizione di protocolli di condivisione delle informazioni, tramite l’istituzione di accordi fra le entità finanziarie per lo scambio di informazioni e dati sulle minacce informatiche.

 

Come si evince da questo breve sunto, il rispetto del regolamento può risultare oneroso soprattutto per realtà medio piccole; è quindi importante sottolineare che, per l’applicazione dei requisiti sopra riportati, il Regolamento si rifà al principio di proporzionalità rimettendo (come già accade ad esempio per il GDPR) al singolo soggetto, l’onere di valutare e dimostrare il corretto livello dei requisiti che devono essere implementati.

È anche importante sottolineare che questo nuovo impianto normativo si innesta in un contesto già denso di norme nazionali ed europee in tema di cybersecurity, che hanno parziali sovrapposizioni con le tematiche qui trattate. È inoltre probabile che diverse organizzazioni dovranno gestire in contemporanea le attività necessarie a conformarsi con gli obblighi di cui alla Direttiva NIS, al Regolamento DORA e al Cyber Resilience Act, per citare i più rilevanti.

 

Il nostro approccio

Il nostro approccio al processo di compliance al Regolamento DORA prevede la predisposizione di un piano di adeguamento personalizzato e definito in base al livello di implementazione delle attività previste dal regolamento stesso.

La valutazione viene svolta mediante una gap analysis rispetto a quanto già operativo in azienda: solo al termine di tale attività sarà possibile effettuare una valutazione dell’impatto delle nuove regole previste dal Regolamento DORA.

Tale gap analysis prevede le seguenti valutazioni:

1. Aspetti organizzativi.
2. Framework di risk management.
3. Processo di gestione e reporting degli incidenti.
4. Processo di gestione della continuità operativa.
5. Fornitori critici di servizi ICT.
6. Rischi introdotti dai terzi.
7. Processo di controllo e monitoraggio.

Per ogni ambito della gap analysis si valuta:

• Il livello di compliance riscontrato.
• Il gap da colmare.
• Le azioni da intraprendere sul breve e medio periodo per colmare il gap.

 

Conclusioni

In considerazione delle prescrizioni della norma e dei potenziali impatti che la stessa avrà, è opportuno che le aziende non indulgano ulteriormente ad intraprendere il percorso di compliance: due anni sembrano un tempo lungo ma per realtà complesse potrebbe essere addirittura non sufficiente.

In Innovery, il nostro team di esperti è pronto a fornire supporto e consulenza in tutte le fasi del processo di compliance. Se vuoi maggiori informazioni, contattaci!