📚 Guida rapida al Regolamento DORA per il settore finanziario

Ciao a tutti e benvenuti in questo nuovo video. Oggi parleremo del DORA, il Digital Operations Resilience Act, che ha rappresentato un punto di svolta per la sicurezza informatica nel settore finanziario europeo e di riflesso anche in quello italiano. Questa normativa, nonostante sia applicabile solo dal 17 gennaio 2025, sta sta già mostrando i primi effetti positivi nel panorama italiano della cyber security, come evidenziato anche dall'ultimo rapporto Clusit che abbiamo analizzato insieme qualche video fa. In un contesto dove gli attacchi informatici continuano a crescere e il settore bancario e finanziario risultano i più interessanti per gli hacker, il regolamento DORA mira a creare un sistema uniforme di gestione del rischio digitale, con l'Italia ovviamente chiamata ad adeguare la propria legislazione gestione e le proprie pratiche operative per conformarsi ai nuovi standard europei. Ma cos'è esattamente il DORA? Il DORA è un regolamento dell'Unione Europea con l'obiettivo di creare un sistema vincolante completo relativo alla gestione dei rischi cyber per il settore finanziario. Adottato il 27 dicembre 2022 e pubblicato sulla Gazzetta Ufficiale dell'Unione Europea, il regolamento è entrato ufficialmente in vigore il 16 gennaio 2023. Con piena applicabilità a partire dal 17 gennaio 2025. Faccio un piccolo appunto a parte: l'Unione Europea, quando deve emanare delle normative per tutti gli stati, può farlo tramite regolamento oppure tramite direttiva. I regolamenti sono automaticamente applicabili negli stati, sono già legge, non c'è bisogno che gli stati emanino delle altre leggi per recepirli. Un esempio è il GDPR, il regolamento sulla privacy, che anche in Italia è entrato in vigore automaticamente. Noi abbiamo emanato ovviamente un decreto legislativo, ma solo per modificare il nostro codice privacy, per adeguarlo al GDPR ed evitare quindi delle contraddizioni fra la normativa italiana e quella europea. Le direttive invece sono degli atti di indirizzo. In pratica, l'Unione Europea dice che cosa deve fare lo Stato e a quale obiettivo deve arrivare, però ciascuno Stato deve introdurre delle normative ad hoc perché la direttiva di per sé non è una legge, non è automaticamente applicabile. Un esempio è la NIS 2, che è appunto una direttiva che in Italia abbiamo recepito con un decreto fatto apposta, il 138 del 2024. Il DORA, questa normativa di cui parliamo oggi, è un regolamento, quindi in Italia è automaticamente applicabile e nello specifico è diventato appunto applicabile a partire dal 17 gennaio del 2025. Vedremo comunque fra un pochino che in realtà stiamo già adottando un decreto legislativo proprio per adeguare la nostra normativa anche a questo regolamento. Che cosa fa il DORA? Il DORA impone degli standard tecnici che le società finanziarie devono implementare nei loro sistemi informatici. Un aspetto importante è che questi obblighi non sono rivolti solo alle società finanziarie, ma anche ai loro fornitori di servizi tecnologici. Per capire il perché, pensiamo un attimo a questo scenario: io sono una banca, voglio adeguarmi al DORA, quindi metto antivirus, metto dei firewall in tutti i miei computer, quindi cerco di rendermi più sicura. Se però io utilizzo un software gestionale fatto dalla società Pinco Pallino in cui metto i dati di tutti i miei clienti e questo software viene hackerato, i dati dei miei clienti sono comunque a rischio. Quindi il DORA impone anche alle società come Pinco Pallino di adeguarsi agli stessi obblighi di sicurezza. E questo è particolarmente importante. Pensiamo al caso delle testate giornalistiche del 2024 di cui abbiamo parlato nel video sul Clusit. Tantissimi giornali online si affidavano allo stesso software e quando degli hacker hanno bucato il software sono riusciti a cascata a entrare anche nelle varie testate, con un impatto devastante per i dati degli iscritti a quei giornali. Questa normativa ha due obiettivi principali: affrontare in modo esauriente la gestione del rischio informatico nel settore dei servizi finanziari senza lasciare nulla al caso e armonizzare le normative sulla gestione di questo rischio già esistenti nei singoli stati per risolvere la frammentazione che esisteva prima del regolamento. Prima dell'introduzione del DORA, infatti— e qui tolgo la mia faccia così potete vedere la slide— c'erano varie normative statali che però si concentravano principalmente sulla necessità di assicurare che le imprese avessero fondi sufficienti per coprire i rischi operativi. C'erano a livello europeo alcune linee guida, ma non c'erano dei veri e propri standard, per cui ogni stato tendeva a fare quello che riteneva più opportuno e questo creava dei problemi. Pensiamo a una banca come Credito Agricole che ha filiali in più paesi europei e quindi doveva conoscere e adeguarsi alle diverse normative di ciascuno stato. Ora invece c'è una normativa unica che vale per tutti. A chi si applica il regolamento? Il DORA si applica a una vasta gamma di organizzazioni finanziarie che operano nell'Unione Europea, suddivise in 21 categorie diverse. Tra queste troviamo istituti bancari e di credito di vario tipo, istituti di pagamento come PayPal e Stripe, società di gestione degli investimenti finanziari, provider di servizi di criptovalute, assicurazioni, fondi pensione e così via. Oltre a questi ci sono anche, come dicevo, tutti i fornitori di servizi tecnologici tipo il cloud, i software, le piattaforme e così via, che ovviamente rivolgono i loro servizi anche a questi settori finanziari. Scendiamo un po' più nel dettaglio del contenuto del regolamento. Il DORA si basa su 5 pilastri fondamentali che vanno a creare appunto un sistema unico applicabile a tutti i soggetti coinvolti dal regolamento. Il primo pilastro è la gestione del rischio informatico. Il DORA introduce un sistema armonizzato in materia di governance del rischio tecnologico. In pratica, le entità finanziarie devono adottare un approccio strutturato alla gestione del rischio che includa l'identificazione di tutte le risorse tecnologiche, l'adozione di sistemi di controllo per la sicurezza informatica e l'implementazione di politiche di continuità operativa informatica per assicurare sempre il corretto funzionamento dei sistemi e proteggersi dagli attacchi. Il secondo pilastro riguarda la notifica degli incidenti informatici. Il DORA stabilisce dei procedimenti ben precisi per la classificazione, la gestione e la segnalazione degli incidenti informatici. Le entità finanziarie devono quindi implementare dei meccanismi adeguati per rilevare, registrare e classificare gli incidenti. Devono saperli gestire in modo efficace e devono ovviamente segnalarli tempestivamente alle autorità. Il terzo pilastro è il più innovativo del DORA e riguarda i test di resilienza operativa digitale. Si tratta dell'obbligo di mettere in atto delle vere e proprie simulazioni di scenari reali per capire come i dipendenti e i sistemi reagiscono in caso di incidenti. Sono come le esercitazioni antincendio ma per gli incidenti cyber, in pratica. Il quarto pilastro riguarda la gestione dei rischi di terze parti. Il regolamento DORA introduce anche degli obblighi inerenti i fornitori critici applicando dei processi di monitoraggio continuo. Quindi non solo i fornitori devono adeguarsi al DORA, ma anche le società finanziarie che si appoggiano a loro devono verificare che si siano regolarmente adeguati, e se non lo fanno le società dovrebbero valutare di cambiare fornitore. L'ultimo pilastro riguarda la condivisione di informazioni. Il DORA in sostanza promuove la condivisione di informazioni interazioni fra i soggetti coinvolti, quindi quelli che devono adeguarsi al DORA, e le autorità competenti per migliorare la risposta collettiva alle minacce. Questo pilastro è essenziale per creare un ecosistema più resiliente, dove le conoscenze sulle minacce e le best practice possono essere condivise per il beneficio comune. Come vi dicevo all'inizio del video, il DORA è un regolamento, quindi è immediatamente applicabile. Il nostro governo comunque sta ragionando su un decreto legislativo che vada ad armonizzare la nostra normativa interna con il DORA e con le direttive conseguenti, tenendo conto ovviamente anche delle altre normative come la NIS2 e la CER. Di normative sulla cyber security oggi ce ne sono tante, per cui sarà cruciale mantenere un quadro il più armonico possibile ed evitare delle contraddizioni fra le varie norme. Con questo decreto in particolare si andranno a individuare le autorità competenti per monitorare l'adeguamento e sanzionare le eventuali violazioni.. Lo schema di decreto approvato il 28 febbraio scorso prevede alcuni soggetti chiave, ovvero— tolgo sempre la mia faccia— la Banca d'Italia, che riceverà le comunicazioni degli enti creditizi e degli istituti di pagamento; la Consob, cioè la Commissione Nazionale per la Società e la Borsa, che si occuperà degli intermediari finanziari e delle società di investimento; l'IVAS, cioè l'Istituto per la Vigilanza sulle Assicurazioni, che riceverà le segnalazioni di imprese di assicurazione; e la COVIP, la Commissione di Vigilanza sui Fondi Pensione, che si occuperà appunto delle società che gestiscono fondi pensioni. Veniamo ora al tasto dolente: le sanzioni applicabili in caso di violazione. Il DORA prevede sanzioni molto gravose rispetto alle violazioni degli obblighi previsti, anche più gravi di quelle previste ad esempio dal GDPR. Le multe possono arrivare, pensate, fino al 10% del fatturato e fra l'altro sono previste anche sanzioni specifiche per i vertici aziendali. L'obiettivo è garantire che banche e fornitori di servizi non esitino ad adeguarsi, in modo da rendere il sistema finanziario il più protetto possibile dai rischi informatici. Per agevolare i soggetti coinvolti nell'adeguamento al DORA, la Banca d'Italia ha già reso disponibile un modello per l'autovalutazione del livello raggiunto nell'ambito dell'adeguamento. Questo strumento ovviamente è stato pensato per gli enti creditizi di pagamento, che sono quelli sotto la Banca d'Italia, ma sicuramente può essere molto utile anche per tutte le altre entità finanziarie a cui si applica il DORA. Il modello di autovalutazione è strutturato in varie sezioni che seguono i 5 pilastri del regolamento, quindi comprendono ad esempio i test condotti per valutare la resilienza, le procedure di notifica degli incidenti e così via. In sostanza è uno strumento che serve alle entità finanziarie per verificare il proprio grado di conformità e anche per identificare le aree che necessitano stanno di miglioramenti. Vediamo ora l'impatto che ha avuto il regolamento, perché anche se è entrato in vigore da pochissimo, in realtà molti soggetti hanno iniziato ad adeguarsi prima dell'entrata in vigore, anche per evitare chiaramente di incorrere poi in delle sanzioni. Prima dell'entrata in vigore del DORA, il panorama della cyber security in Italia mostrava dei segnali abbastanza preoccupanti. Secondo il rapporto Clusit 2023, negli ultimi 5 anni gli attacchi cyber globali erano aumentati del 60%, %, con un aggravamento delle conseguenze sociali ed economiche a partire dal 2022. L'Italia in particolare mostrava una vulnerabilità significativa agli attacchi informatici e uno dei settori più colpiti era proprio quello finanziario e creditizio. L'ultimo rapporto Clusit invece, quello uscito il 12 marzo 2025, mostra già dei segnali positivi che potrebbero essere attribuiti proprio all'adozione del regolamento DORA. Il numero degli incidenti nel settore bancario e assicurativo nel 2024 è diminuito del 16% rispetto al 2023. Un dato che il CLUSIT attribuisce proprio all'adozione del regolamento, a cui le società hanno già iniziato ad adeguarsi. Vediamo adesso le difficoltà che il DORA potrebbe comportare per le aziende che stanno cercando di adeguarsi. Una delle aree più critiche nell'implementazione del DORA è sicuramente la gestione delle terze parti. Il regolamento DORA infatti, come dicevo prima, richiede un monitoraggio continuo dei fornitori critici e questo sarà sicuramente complicato da attuare in concreto. Inoltre ci sono molti fornitori che magari offrono servizi specifici oppure di nicchia e quindi sono difficili da sostituire, per cui le aziende avranno senz'altro delle difficoltà nel valutare il passaggio ad altri fornitori se questi non si adeguano al DORA. Un altro aspetto complicato è che in genere le aziende hanno poche risorse e poche competenze specifiche, quindi sarà proprio complicato per loro capire che cosa deve essere fatto, chi se ne deve occupare e così via. Di fatto il DORA richiede che le entità siano in grado di internalizzare le competenze necessarie per rispondere in modo autonomo agli incidenti e questa non è assolutamente una cosa così scontata come può sembrare. L'ultimo aspetto critico, come accennato prima, è il coordinamento con le altre normative europee come la NIS2 e la Direttiva CER, ma c'è da dire che la Commissione Europea ha già chiarito che il regolamento DORA esonera le entità finanziarie dall'applicazione della NIS2. Quindi queste società devono applicare il DORA e basta. Questo ovviamente contribuisce a rendere più lineare il quadro normativo per il settore, che comunque rimane abbastanza frammentato. Venendo all'analisi del possibile futuro di questo regolamento, direi che senza dubbio il DORA rappresenta un passo importantissimo per la sicurezza del settore finanziario. Come evidenziato dai dati dell'ultimo rapporto Clusit, abbiamo già visto una forte diminuzione degli attacchi in questo settore, c'è più consapevolezza pista, più sicurezza, e si può sperare che andando avanti la situazione migliori sempre di più. Per portare al massimo l'efficacia del DORA è comunque fondamentale che le entità finanziarie investano nella formazione del personale e nell'acquisizione di competenze specializzate, oltre chiaramente al dotarsi di processi strutturati per la gestione del rischio informatico, all'avere delle strategie efficaci per la gestione delle terze parti e a condurre chiaramente i test di resilienza operativa digitale. In questo modo, oltre ad adeguarsi al DORA e a evitare le sanzioni, saranno proprio in grado di aumentare tantissimo la loro sicurezza e diminuire il rischio di attacchi. Il DORA non deve essere considerato solo un obbligo normativo, ma è proprio una guida per aumentare la sicurezza. Anzi, è talmente efficace che sarebbe quasi meglio che anche altri settori si uniformassero, soprattutto la pubblica amministrazione, che al momento è molto debole rispetto agli attacchi informatici. Tirando un po' le somme di questo regolamento, direi che possiamo ritenere il DORA un validissimo strumento per aumentare in generale la sicurezza informatica delle aziende, soprattutto perché è rivolto a un settore particolarmente delicato. Tutti noi abbiamo i nostri soldi in una banca, tutti noi abbiamo una qualche forma di assicurazione, molti di noi hanno anche fondi pensioni, investimenti, criptovalute. Quindi insomma, sapere che le società che hanno in mano i nostri soldi hanno sappiamo tutti questi obblighi ci fa dormire un po' più sereni la notte. Bene, spero che questa guida super veloce sul DORA vi sia stata utile. Se ci sono altre normative che volete approfondire, scrivetemelo nei commenti. Noi ci vediamo al prossimo video.