Il Regolamento (UE) 2022/2554 (DORA — Digital Operational Resilience Act) è direttamente applicabile dal 17 gennaio 2025 in tutti gli Stati membri. Disciplina la resilienza operativa digitale del settore finanziario europeo e introduce un quadro armonizzato di obblighi.
Chi è coinvolto
DORA si applica a circa 22.000 entità finanziarie europee in oltre 20 categorie: enti creditizi, istituti di pagamento e di moneta elettronica, imprese di investimento, gestori di OICVM e FIA, imprese assicurative e riassicurative, intermediari assicurativi, gestori di sedi di negoziazione, controparti centrali, depositari centrali, agenzie di rating, fornitori di servizi di crowdfunding, fornitori di servizi di cripto-attività (CASP), e i relativi fornitori ICT terzi critici (cloud provider, software house, MSSP).
Sono previste proporzionalità per le microimprese finanziarie (artt. 4 e 16) ed esenzioni per soggetti minori specificati.
I 5 pilastri
1. ICT risk management (artt. 5-15): governance, framework di gestione del rischio ICT, identificazione asset, protezione, rilevazione, risposta e ripristino. Approvazione e supervisione da parte dell'organo di gestione.
2. ICT-related incident management (artt. 17-23): classificazione e segnalazione degli incidenti gravi alle autorità competenti con tempistiche armonizzate (initial, intermediate, final report).
3. Digital operational resilience testing (artt. 24-27): programmi di test annuali (vulnerability assessment, scenario-based testing) e TLPT — Threat-Led Penetration Testing ogni 3 anni per le entità più rilevanti, eseguiti da tester certificati.
4. ICT third-party risk management (artt. 28-44): registro dei fornitori ICT, due diligence pre-contrattuale, clausole contrattuali armonizzate (art. 30), strategie di uscita, monitoraggio continuo. Oversight framework sui CTPP — Critical Third-Party Providers a livello UE.
5. Information sharing (art. 45): meccanismi volontari per la condivisione di intelligence cyber tra entità finanziarie.
Le sanzioni
Le sanzioni amministrative sono definite dagli Stati membri (in Italia: D.Lgs. di adeguamento). Per i CTPP (fornitori ICT critici) la Commissione UE può imporre penalità giornaliere fino all'1% del fatturato medio mondiale giornaliero per un massimo di 6 mesi (art. 35 par. 7 e art. 35-bis).
Sovrapposizione con NIS2
DORA è lex specialis rispetto a NIS2 per il settore finanziario (art. 1 par. 2 DORA): le entità finanziarie applicano DORA, e gli obblighi NIS2 si applicano residualmente.
Adeguamento operativo
- Mappatura degli asset ICT e dei fornitori critici.
- Adeguamento dei contratti ICT alle clausole obbligatorie dell'art. 30.
- Implementazione del framework di incident reporting secondo gli ITS pubblicati dall'EBA.
- Pianificazione del primo ciclo TLPT (per le entità in perimetro).
- Designazione del responsabile ICT risk e formazione dell'organo di gestione.