DORA: Nuove regole per la resilienza digitale nel settore finanziario

Nel gennaio 2025, DORA è diventata realtà. Per molti fornitori di servizi finanziari, ciò significa maggiori sforzi, nuovi processi e allo stesso tempo l'opportunità di ancorare strategicamente sicurezza e resilienza.

Quasi nessun altro settore è così dipendente dalle infrastrutture digitali come il settore finanziario. Che si tratti di transazioni di pagamento, negoziazione di titoli o comunicazione con i clienti, oggi tutto funziona tramite sistemi in rete. E sono proprio questi sistemi ad essere sempre più presi di mira dagli attacchi informatici. Gli attacchi informatici e le violazioni dei dati sono purtroppo diventati quasi comuni in questi giorni, il che ha alimentato la necessità di quadri normativi più severi.

L'UE sta rispondendo con una serie completa di regolamenti che forniscono uno scudo digitale per le società finanziarie: il Digital Operational Resilience Act (DORA). Ma cosa significa questo in termini concreti e come possono le istituzioni finanziarie prepararsi in modo sensato?

‍

Che cos'è DORA?

In risposta alla crescente situazione di minaccia, l'Unione Europea ha creato per la prima volta un quadro europeo uniforme per la resilienza digitale nel settore finanziario con DORA. Tuttavia, DORA non ha solo lo scopo di creare una base di vigilanza uniforme, ma anche di garantire una maggiore sicurezza informatica e una migliore resilienza alle crisi in tutto il settore.

Chi è interessato?
In breve: quasi tutti gli istituti finanziari regolamentati: banche, compagnie assicurative, gestori patrimoniali, fornitori di servizi di pagamento e i loro fornitori di servizi IT, anche se questi ultimi hanno sede al di fuori dell'UE.

Scadenza importante:
L'ordinanza è in vigore dal gennaio 2023. Tutti i requisiti devono essere implementati entro 17 gennaio 2025 - senza eccezioni.

‍

Perché DORA conta ora

Le minacce informatiche stanno aumentando rapidamente, come dimostrano i dati provenienti da Svizzera e Germania. Allo stesso tempo, le aspettative delle autorità di vigilanza e dei clienti stanno crescendo: sicurezza, trasparenza e disponibilità non sono più degli extra, ma requisiti fondamentali per l'azienda.

In questo contesto, DORA mette ordine in un panorama di norme e regolamenti precedentemente frammentato. L'attenzione qui non è rivolta alla reazione alle influenze esterne, ma a praticare attivamente la resilienza digitale: i sistemi dovrebbero evitare interruzioni, mantenere i processi aziendali e tornare operativi rapidamente, anche in caso di crisi.

In un'era di ambienti IT sempre più complessi, dalle infrastrutture ibride agli ambienti multi-cloud, gli istituti finanziari si trovano di fronte a una nuova realtà: proteggere semplicemente la propria infrastruttura IT non è più sufficiente; gli istituti finanziari devono essere in grado di dimostrare in qualsiasi momento in che modo i dati sensibili vengono elaborati, archiviati e condivisi internamente ed esternamente: un compito impegnativo, ma anche un'enorme opportunità per portare la propria infrastruttura digitale a un nuovo livello.

‍

Cosa richiede DORA: i requisiti più importanti

1. Gestione del rischio ICT
   Un quadro completo e documentato è obbligatorio. La responsabilità è chiaramente della direzione. Non è più sufficiente essere consapevoli dei rischi IT: devono essere valutati e affrontati sistematicamente.
   
   
2. Obblighi di segnalazione degli incidenti
   Gli incidenti IT gravi, come quelli che causano significative interruzioni del servizio, violazioni dei dati o perdita di integrità, devono essere segnalati immediatamente all'autorità di vigilanza, anche se non tutti i dettagli sono ancora noti. Processi chiari e team ben coordinati sono fondamentali in questo senso.
   
   
3. Test di resilienza
   Le società finanziarie devono mettere regolarmente alla prova i propri sistemi, ad esempio attraverso test di penetrazione che simulano scenari di attacco realistici. Più grande è l'azienda, più severi sono i requisiti.
   
   
4. Tenere d'occhio i fornitori di terze parti
   Le gestione dei fornitori di servizi IT è una questione particolarmente delicata. I contratti devono essere conformi a DORA, anche con fornitori di servizi al di fuori dell'UE, ad esempio stipulando clausole contrattuali che garantiscano la conformità agli standard di resilienza e sicurezza dell'UE.

‍

Le sfide e come affrontarle

Nelle discussioni con i clienti, incontriamo ripetutamente domande e incertezze simili:

• Come documentiamo completamente i nostri processi relativi ai dati?
• Come possiamo mantenere una panoramica negli ambienti multi-cloud?
• Come possiamo garantire che anche i nostri fornitori di servizi siano conformi a DORA?

«Non è più sufficiente proteggere la propria infrastruttura tecnica. Le banche e i fornitori di servizi finanziari devono essere in grado di dimostrare in qualsiasi momento in che modo i dati sensibili vengono elaborati, archiviati e trasmessi, sia internamente che esternamente».

‍

«Non è più sufficiente proteggere la propria infrastruttura tecnica. Le banche e i fornitori di servizi finanziari devono essere in grado di dimostrare in qualsiasi momento in che modo i dati sensibili vengono elaborati, archiviati e trasmessi, sia internamente che esternamente».

— Alexander Sommer, il nostro CEO, lo riassume in poche parole

‍

Cosa aiuta ora:

• Esecuzione di un analisi delle lacune per valutare lo stato attuale
• Istituzione di una robusta gestione di fornitori terzi con criteri e audit chiari
• Introduzione di strumenti automatizzati per il monitoraggio, la rendicontazione e gli audit trail

‍

Conclusione: Da un insieme di regole a una strategia di resilienza

DORA è più di un semplice must normativo. È un'opportunità per ripensare la sicurezza digitale, come parte integrante della strategia aziendale. Chi agisce ora non solo sarà conforme, ma anche resiliente.

‍

‍

Per approfondire

Nel nostro ePaper abbiamo preparato DORA in modo pratico, incluso:

• Liste di controllo per ogni campo d'azione
• Raccomandazioni specifiche per l'implementazione
• Informazioni sulle soluzioni tecnologiche che possono già fornire supporto oggi

👉 Scarica ora gratuitamente

‍