Con l’avvicinarsi della fine del 2024, il DORA assume un’importanza sempre maggiore. Il Digital Operational Resilience Act, obbligatorio per gli enti finanziari dell’Unione Europea, entrerà in vigore il 17 gennaio 2025. Banche, compagnie assicurative e fornitori di servizi terzi nel settore delle tecnologie dell’informazione e della comunicazione (ICT) sono tra le istituzioni che devono conformarsi alle normative, volte a garantire la resilienza informatica.
È fondamentale che tutte le parti interessate comprendano le disposizioni chiave e l’impatto che avranno sull’ecosistema finanziario. Ecco un approfondimento sui principali elementi del DORA e sul loro significato per il settore.
1. Requisiti di gestione dei rischi
La direttiva DORA introduce requisiti rigorosi per gli enti finanziari, affinché istituiscano e mantengano solidi quadri di riferimento per la resilienza operativa digitale. Ciò significa che le imprese devono disporre di politiche complete per la gestione dei rischi legati alle tecnologie dell’informazione e della comunicazione (TIC). Tali politiche dovrebbero coprire l’intero ciclo di vita dei sistemi TIC, dallo sviluppo e dall’implementazione alla manutenzione e alla dismissione. Gli enti finanziari sono tenuti a rivedere e aggiornare regolarmente le proprie strategie di gestione dei rischi per adattarsi alle minacce nuove ed emergenti.
2. Segnalazione degli incidenti
Uno degli elementi fondamentali del DORA è l’obbligo per gli enti finanziari di segnalare tempestivamente gli incidenti informatici significativi alle rispettive autorità di regolamentazione. Questa disposizione garantisce un flusso tempestivo di informazioni tra gli istituti finanziari e le autorità di vigilanza finanziaria, fondamentale per la gestione dei rischi sistemici e il miglioramento della resilienza complessiva del settore finanziario. La legge specifica i tipi di incidenti che devono essere segnalati, i tempi di segnalazione e le informazioni dettagliate che devono essere incluse nelle segnalazioni.
3. Test di resilienza operativa digitale
Per garantire che gli enti finanziari siano in grado di resistere efficacemente alle interruzioni dei sistemi ICT e di riprendersi da esse, la DORA impone di effettuare test periodici sulla resilienza digitale. Ciò comprende una serie di attività di verifica, quali valutazioni delle vulnerabilità, test di penetrazione ed esercitazioni basate su scenari. Questi test sono concepiti non solo per individuare le vulnerabilità nei sistemi e nei processi ICT, ma soprattutto per valutare l’efficacia delle capacità di prevenzione, rilevamento, risposta e Recovery dell’ente.
4. Gestione dei rischi legati alle terze parti
Riconoscendo la crescente dipendenza da fornitori terzi di servizi ICT, la DORA definisce requisiti specifici per la gestione dei rischi associati a tali soggetti esterni. Gli enti finanziari devono selezionare e monitorare attentamente i propri fornitori di servizi per garantire che rispettino elevati standard di resilienza. Devono inoltre condurre un’approfondita due diligence prima di stipulare accordi e monitorare costantemente le prestazioni dei fornitori di servizi e il rispetto degli obblighi contrattuali.
5. Quadro di vigilanza
La DORA istituisce un quadro di vigilanza che consente alle autorità di vigilanza europee di sorvegliare direttamente i fornitori di servizi ICT di terze parti di importanza critica. Tale quadro ha lo scopo di obbligare i fornitori ad attenersi a rigorosi standard di resilienza, data la loro importanza per il settore finanziario. La vigilanza prevede valutazioni periodiche e, se necessario, l’imposizione di misure correttive volte a colmare le carenze individuate.
Sanzioni in caso di inadempienza
Il mancato rispetto del DORA può comportare sanzioni significative, fondamentali per garantire l’integrità e l’efficacia della legge. Tali sanzioni possono variare a seconda della gravità e della natura dell’infrazione. Sono concepite per avere un effetto dissuasivo e per essere proporzionate alla solidità finanziaria e alle dimensioni dell’ente, nonché all’entità del danno causato dal mancato rispetto della legge.
In caso di violazioni minori, gli enti finanziari potrebbero ricevere ammonimenti o richiami. Tuttavia, per violazioni più gravi, le sanzioni possono includere multe salate. In caso di inadempienze ripetute o di violazioni particolarmente gravi, le autorità di vigilanza hanno il potere di imporre sanzioni aggiuntive. Queste possono includere la revoca delle licenze, il divieto temporaneo di svolgere determinate attività commerciali o altre restrizioni necessarie a tutelare il sistema finanziario.
Impatto positivo sulla stabilità finanziaria
L’introduzione della direttiva DORA segna un significativo passo avanti nella ricerca di una maggiore resilienza operativa digitale nel settore finanziario. Definendo requisiti chiari per gli enti finanziari e i fornitori di servizi, l’UE mira a proteggere il settore da interruzioni e minacce legate alle tecnologie dell’informazione e della comunicazione (TIC). È fondamentale che tutti gli enti interessati comprendano appieno tali disposizioni e si preparino di conseguenza per garantire la conformità e rafforzare le proprie capacità di resilienza.
Questo approccio globale non solo migliora la sicurezza dei singoli istituti, ma rafforza anche la stabilità del sistema finanziario nel suo complesso. Con l’avvicinarsi di gennaio 2025, cresce l’attesa per l’impatto della DORA, che promette una nuova era di resilienza digitale nel settore finanziario.
Per ulteriori informazioni sulla gestione della conformità alla DORA con Commvault Cloud, clicca qui.
Scopri di più su come prepararti al Digital Operational Resilience Act nella nostra serie di blog “Exploring DORA”:
- Panoramica sulla legge sulla resilienza operativa digitale
- 9 passi verso la conformità
- Comprendere il panorama normativo globale
- Costruire la resilienza: strategie di cyber Recovery nell’ambito del DORA
- Il ruolo della gestione dei dati nella conformità normativa
- Gestione del rischio e DORA: prepararsi agli imprevisti
