Esplorare DORA: comprendere il panorama normativo globale

In un mondo sempre più interconnesso, l’importanza di quadri normativi solidi per aumentare la stabilità e la sicurezza dei sistemi finanziari non può essere sottovalutata. Il Digital Operational Resilience Act (DORA) dell’Unione Europea rappresenta un importante sviluppo normativo volto a rafforzare la resilienza operativa degli enti finanziari. Questo blog analizza il DORA mettendolo a confronto con altre principali normative a livello globale, evidenziandone le caratteristiche distintive e le implicazioni più ampie per il settore finanziario.

Comprendere il DORA

La Commissione europea ha introdotto il regolamento DORA nell’ambito del Pacchetto sulla finanza digitale nel settembre 2020. Il suo obiettivo principale è rafforzare la capacità degli istituti finanziari di resistere, reagire e riprendersi da ogni tipo di interruzione e minaccia legata alle tecnologie dell’informazione e della comunicazione (TIC). Il regolamento DORA si applica a un’ampia gamma di soggetti finanziari, tra cui banche, compagnie assicurative, società di investimento e fornitori terzi di servizi TIC.

Tra gli elementi chiave del regolamento DORA figurano:

1. Gestione dei rischi informatici: gli istituti finanziari devono adottare sistemi completi di gestione dei rischi informatici per identificare, valutare e mitigare tali rischi.
2. Segnalazione degli incidenti: obbligo di segnalare alle autorità competenti gli incidenti significativi relativi alle TIC.
3. Test di resilienza operativa digitale: test periodici dei sistemi ICT volti a garantire la resilienza alle interruzioni.
4. Gestione dei rischi legati a soggetti terzi: rafforzamento della vigilanza sui fornitori esterni di servizi ICT per garantirne il rispetto degli standard di resilienza.
5. Condivisione delle informazioni: promozione della condivisione delle informazioni tra gli enti finanziari al fine di migliorare la resilienza collettiva.

Confronto tra DORA e altre normative e best practice del settore

1. Quadro di riferimento per la sicurezza informatica del NIST (Stati Uniti)

Il Cybersecurity Framework dell’Istituto Nazionale di Standard e Tecnologia (NIST) è un quadro di riferimento volontario che fornisce linee guida per la gestione e la riduzione dei rischi legati alla sicurezza informatica. Pur non costituendo un requisito normativo, è ampiamente adottato dagli istituti finanziari statunitensi.

• Ambito di applicazione: a differenza del DORA, che è obbligatorio per gli enti finanziari dell’UE, il quadro di riferimento del NIST è facoltativo e può essere applicato a qualsiasi settore.
• Punto chiave: entrambi i quadri di riferimento si concentrano su pratiche più ampie di gestione dei rischi legati alla sicurezza informatica, mentre il DORA pone un’enfasi significativamente maggiore sulla resilienza operativa.
• Segnalazione degli incidenti: il DORA impone la segnalazione degli incidenti, mentre il NIST la incoraggia ma non la richiede.

2. GDPR (Unione Europea)

Il Regolamento generale sulla protezione dei dati (GDPR) è un altro importante regolamento dell’Unione europea, incentrato principalmente sulla protezione dei dati e sulla privacy.

• Ambito di applicazione: il GDPR si applica a tutte le organizzazioni che trattano dati personali di cittadini dell’UE, mentre il DORA riguarda specificamente gli enti finanziari.
• In sintesi: il GDPR pone l’accento sulla protezione dei dati e sulla privacy, mentre il DORA si concentra sulla resilienza operativa e sulla gestione dei rischi legati alle TIC.
• Segnalazione degli incidenti: entrambi i regolamenti prevedono l’obbligo di segnalare gli incidenti, ma il GDPR si concentra sulle violazioni dei dati personali, mentre il DORA copre una gamma più ampia di incidenti nel settore delle TIC.

3. Basilea III (globale)

Basilea III è un insieme di norme regolamentari internazionali elaborate dal Comitato di Basilea per la vigilanza bancaria al fine di rafforzare la regolamentazione, la vigilanza e la gestione dei rischi nel settore bancario. L’Unione europea sta attuando il quadro normativo di Basilea III a partire dal 1° gennaio 2025, mentre l’attuazione negli Stati Uniti e nel Regno Unito potrebbe subire ritardi.

• Ambito di applicazione: Basilea III riguarda specificamente le banche che operano a livello internazionale, mentre la DORA si applica a una gamma più ampia di enti finanziari.
• In sintesi: Basilea III verte sull’adeguatezza patrimoniale, sugli stress test e sul rischio di liquidità di mercato, mentre la DORA si concentra sulla gestione dei rischi informatici. Entrambe le iniziative affrontano il tema della resilienza operativa.
• Segnalazione degli incidenti: a differenza della DORA, Basilea III non impone espressamente la segnalazione degli incidenti informatici.

4. Quadro di riferimento per la resilienza operativa della FCA (Regno Unito)

L’Autorità per la condotta finanziaria (FCA) del Regno Unito dispone di un proprio quadro di riferimento in materia di resilienza operativa, che presenta analogie con il DORA.

• Ambito di applicazione: entrambi i quadri normativi si applicano agli enti finanziari, ma quello della FCA è specifico per il Regno Unito.
• Punto chiave: entrambi i quadri normativi pongono l’accento sulla resilienza operativa, ma il DORA ha un ambito di applicazione più ampio, che comprende la gestione dei rischi legati a soggetti terzi e la condivisione delle informazioni.
• Segnalazione degli incidenti: entrambi i quadri normativi prevedono la segnalazione degli incidenti, ma il DORA prevede requisiti più dettagliati.

Implicazioni per il settore finanziario

L’introduzione del DORA rappresenta un passo significativo verso il rafforzamento della resilienza operativa degli enti finanziari nell’UE. Rendendo obbligatoria una gestione completa dei rischi legati alle TIC, test periodici di resilienza e un solido sistema di segnalazione degli incidenti, il DORA mira a mitigare l’impatto delle interruzioni legate alle TIC sul sistema finanziario.

Per gli enti finanziari che operano a livello globale, la conformità a molteplici quadri normativi può rappresentare una sfida. Tuttavia, i principi del DORA sono in linea con numerose normative esistenti e con le migliori pratiche del settore, quali il Cybersecurity Framework del NIST e l’Operational Resilience Framework della FCA. Tale allineamento può favorire un approccio più integrato alla gestione dei rischi ICT e alla resilienza operativa. A condizione che siano soddisfatte le principali capacità richieste dal DORA, gli enti finanziari rimangono liberi di utilizzare modelli di gestione dei rischi ICT strutturati o classificati in modo diverso.

Conclusione

Il regolamento DORA stabilisce standard elevati in materia di resilienza operativa nel settore finanziario, grazie al suo approccio globale alla gestione dei rischi informatici, alla segnalazione degli incidenti e alla supervisione delle terze parti. Pur presentando analogie con altre normative, la sua natura vincolante e il suo ampio campo di applicazione ne fanno un quadro normativo unico e influente. Poiché il panorama normativo globale è in continua evoluzione, gli enti finanziari devono tenersi aggiornati e adeguarsi per garantire la conformità e la resilienza in un mondo sempre più digitale.

Scopri di più su come prepararti al Digital Operational Resilience Act nella nostra serie di blog “Exploring DORA”:

• Panoramica sulla legge sulla resilienza operativa digitale
• 9 passi verso la conformità
• Comprendere il panorama normativo globale
• Costruire la resilienza: strategie di cyber Recovery nell’ambito del DORA
• Il ruolo della gestione dei dati nella conformità normativa
• Gestione del rischio e DORA: prepararsi agli imprevisti