DORA per il settore finanziario: la resilienza operativa digitale

DORA — Digital Operational Resilience Act, Regolamento (UE) 2022/2554 — è la risposta europea a una constatazione semplice: il sistema finanziario dipende dalla tecnologia in modo così profondo che un guasto informatico grave è ormai un rischio sistemico, non un incidente operativo. Il regolamento si applica dal 17 gennaio 2025 ed è direttamente vincolante in tutta l’Unione, senza recepimento nazionale.

La platea è vasta: banche, assicurazioni, imprese di investimento, gestori, istituti di pagamento e di moneta elettronica, sedi di negoziazione, e persino i fornitori di servizi in criptoattività. DORA armonizza in un unico corpo normativo requisiti che prima erano frammentati tra linee guida di autorità diverse, poggiando su cinque pilastri.

Governance e gestione del rischio ICT

Il primo pilastro chiede un quadro di gestione del rischio ICT completo e documentato, di cui l’organo di gestione è responsabile in ultima istanza — non delegabile. Significa avere un inventario degli asset e delle dipendenze, classificare le funzioni per criticità, definire obiettivi di continuità e ripristino, e riesaminare periodicamente il quadro. DORA insiste su un concetto: la resilienza è una responsabilità del vertice, che deve possedere conoscenze adeguate per comprenderla e sorvegliarla.

Vale la pena notare che DORA applica il principio di proporzionalità in modo esplicito: microimprese e soggetti di dimensioni contenute seguono un quadro semplificato, mentre gli operatori più rilevanti sono tenuti a requisiti più articolati. Il regolamento non pretende che un piccolo istituto di pagamento e una banca sistemica adottino lo stesso apparato, ma pretende da entrambi coerenza tra il rischio assunto e le difese messe in campo. Il dettaglio operativo, del resto, non vive nel solo testo del regolamento: buona parte è specificata in standard tecnici (RTS e ITS) elaborati dalle Autorità europee di vigilanza, che conviene leggere insieme all’articolato principale.

Notifica degli incidenti: un formato armonizzato

Il secondo pilastro standardizza la classificazione e la segnalazione degli incidenti connessi alle ICT. Gli incidenti gravi vanno classificati secondo criteri comuni (numero di clienti coinvolti, durata, diffusione geografica, perdite di dati, impatto economico) e notificati all’autorità competente secondo una tempistica a tappe: una notifica iniziale, un rapporto intermedio con l’evoluzione, e un rapporto finale con l’analisi delle cause. L’obiettivo è dare ai regolatori una visione comparabile e aggregabile a livello europeo, superando la frammentazione dei formati.

Test di resilienza operativa digitale

Il terzo pilastro impone un programma di test proporzionato al rischio: valutazioni di vulnerabilità, analisi della sicurezza, test basati su scenari. Per gli operatori più significativi DORA introduce inoltre il Threat-Led Penetration Testing (TLPT), test avanzati basati su minacce reali condotti secondo il framework europeo TIBER-EU, con cadenza periodica. Non è un adempimento formale: è la verifica empirica che i piani di continuità e le difese reggano davvero sotto pressione, e non solo sulla carta.

Il rischio dei fornitori terzi ICT

Il quarto pilastro è forse il più innovativo. DORA riconosce che gran parte del rischio operativo delle banche risiede fuori dalle banche stesse: nel cloud, nei fornitori software, nei servizi gestiti. Impone quindi requisiti contrattuali minimi (diritti di accesso e audit, livelli di servizio, strategie di uscita, cooperazione in caso di incidente), un registro delle informazioni su tutti gli accordi con i fornitori ICT, e un’attenta gestione della concentrazione — perché affidare funzioni critiche a pochi grandi fornitori crea un punto di fragilità comune.

Su questo si innesta una novità istituzionale: i fornitori terzi ICT considerati critici a livello di Unione sono soggetti a un quadro di sorveglianza diretta da parte delle Autorità europee di vigilanza. Per la prima volta un hyperscaler cloud può essere sorvegliato in quanto tale dal regolatore finanziario europeo.

Condivisione delle informazioni

Il quinto pilastro, più leggero, incoraggia lo scambio di informazioni su minacce e indicatori di compromissione tra soggetti finanziari, all’interno di accordi di fiducia e nel rispetto della protezione dei dati. Non è un obbligo, ma un riconoscimento che la resilienza collettiva è superiore alla somma delle difese individuali.

Il nodo pratico: fornitori e dati

Nella mia esperienza il punto in cui DORA morde davvero è la gestione dei fornitori. Costruire il registro delle informazioni, rinegoziare i contratti perché contengano diritti di audit e strategie di uscita effettive, e misurare la concentrazione è un lavoro lungo, trasversale tra legale, acquisti, rischio e tecnologia. È anche il lavoro dove un ritardo si nota subito, perché tocca terzi che non rispondono ai tempi interni.

In sintesi

DORA non chiede alle istituzioni finanziarie di essere invulnerabili — chiede loro di essere resilienti: di sapere cosa può rompersi, di dimostrare che i piani di ripristino funzionano, e di controllare il rischio che hanno esternalizzato senza controllarlo. È un cambio di prospettiva da difesa perimetrale a continuità del servizio, e su questo terreno la carta non basta: serve la prova.