Salta al contenuto principale

Pilastro 1: Gestione del Rischio ICT

Artt. 5-16 DORA - Governance NON delegabile: il board deve approvare e supervisionare direttamente la strategia di resilienza ICT (art. 5 DORA).

DORA art. 5: i membri dell'organo di gestione sono personalmente responsabili della gestione del rischio ICT. La delega totale a funzioni IT non è ammessa.
Domande sul Pilastro 1: Gestione del Rischio ICT
Critica

Il board/organo di gestione approva e supervisiona la strategia di resilienza ICT (art. 5)?

È documentata la classificazione degli asset ICT critici con RPO/RTO (art. 11)?

Le politiche di gestione del rischio ICT sono formalmente approvate e riviste almeno annualmente?

Domande frequenti su DORA

DORA si applica alla mia azienda? (Disambiguation con DORA DevOps)

Il Regolamento UE 2022/2554 (DORA) si applica agli enti finanziari ai sensi dell'art. 2: banche, assicurazioni, imprese di investimento, istituti di pagamento, istituti di moneta elettronica, fondi pensione, agenzie di rating, fornitori terzi ICT critici. NON si applica alle PMI generiche o al settore non-finanziario. NOTA: questo strumento misura la conformità al DORA (Regolamento UE), non le "DORA DevOps Research & Assessment metrics" (deployment frequency, lead time, ecc.) - quello è lo strumento /dev-tools/dora-metrics-calculator.

Quando è entrato in vigore DORA e quali sanzioni prevede?

DORA è entrato in vigore il 17 gennaio 2025 (Reg. UE 2022/2554, applicabile direttamente in tutti gli stati UE senza recepimento nazionale). Le sanzioni variano per tipo di soggetto e violazione: possono arrivare fino al 2% del fatturato totale annuo per le entità finanziarie (o importo fisso fino a 10M€). I fornitori terzi ICT critici possono essere soggetti a supervisione diretta delle ESA (EBA, ESMA, EIOPA) con sanzioni fino a 1% fatturato giornaliero.

Cosa sono i 5 pilastri DORA?

DORA organizza gli obblighi in 5 aree: (1) Gestione del Rischio ICT (artt. 5-16): board non può delegare la responsabilità; (2) Classificazione e Notifica Incidenti (artt. 17-23): notifica entro 4h/72h/1mese; (3) Test di Resilienza Operativa/TLPT (artt. 24-27): test annuali obbligatori, TLPT ogni 3 anni per soggetti significativi; (4) Rischio ICT Terze Parti (artt. 28-44): registro fornitori, SLA, exit strategy, supervisione CTPP; (5) Scambio di Informazioni (artt. 45-56): partecipazione a circoli di threat intelligence.

Cos'è la "governance non delegabile" del Pilastro 1 DORA?

Art. 5 DORA: i membri dell'organo di gestione (CDA, board) sono personalmente responsabili della strategia di resilienza ICT. Devono approvare il framework di gestione del rischio ICT, supervisioarlo attivamente e ricevere relazioni periodiche. NON possono delegare totalmente questa responsabilità alla funzione IT o al CISO. Questa è la principale novità rispetto a normative precedenti: la compliance non è più solo una questione tecnica ma una responsabilità di governance.

Cosa sono i TLPT richiesti da DORA?

TLPT (Threat-Led Penetration Testing, artt. 26-27 DORA) sono penetration test avanzati basati su threat intelligence reale, condotti da tester esterni qualificati, almeno ogni 3 anni per i soggetti finanziari significativi. I TLPT testano l'intera catena digitale dell'ente (inclusi i sistemi IT dei fornitori critici). Il framework TIBER-EU della BCE è il riferimento metodologico standard per i TLPT in Italia e nell'UE.

Come gestire il rischio ICT dei fornitori terzi secondo DORA?

Art. 28-44 DORA impongono: registro aggiornato di tutti i contratti con fornitori ICT (con classificazione critico/non critico); clausole contrattuali minime obbligatorie (art. 30) incluse SLA, diritti di accesso e audit, standard di sicurezza, piani di uscita; exit strategy documentata per i fornitori critici; notifica preventiva all'autorità competente per nuovi accordi con fornitori "critici" (CTPP). I fornitori cloud critici (CTPP) sono soggetti a supervisione diretta delle ESA.

Come si usa il Wizard DORA

  1. Verifica se DORA si applica alla tua organizzazione

    DORA si applica agli enti finanziari (art. 2 Reg. UE 2022/2554). Prima di iniziare, verifica che la tua organizzazione rientri nell'ambito: banche, assicurazioni, istituti di pagamento, imprese di investimento, ecc.

  2. Valuta il Pilastro 1: Gestione Rischio ICT

    Rispondi alle 3 domande sul framework di gestione del rischio ICT e sull'approvazione del board. Questo pilastro ha la governance non delegabile - è il più critico per la conformità DORA.

  3. Valuta i Pilastri 2-5

    Completa le valutazioni per i pilastri 2 (incidenti), 3 (test TLPT), 4 (fornitori terzi) e 5 (scambio informazioni). Ogni pilastro ha 3 domande; risposte parziali (in corso) contano 50%.

  4. Analizza il report

    Il report mostra il punteggio complessivo (media 5 pilastri × 20%), il dettaglio per pilastro e eventuali flag di governance. Punteggi <40% indicano gap critici che richiedono intervento immediato.

  5. Scarica il report PDF

    Richiedi il report PDF completo via email - include gap-analysis per pilastro, raccomandazioni prioritizzate e checklist per l'adeguamento ai RTS/ITS emanati da EBA, ESMA ed EIOPA.

DORA: cosa sapere nel 2025

Il Regolamento (UE) 2022/2554 (DORA - Digital Operational Resilience Act) è applicabile direttamente in tutti i 27 stati membri UE dal 17 gennaio 2025, senza necessità di recepimento nazionale. A differenza della NIS2, DORA ha forza di regolamento (non direttiva) e si applica esclusivamente al settore finanziario.

I soggetti obbligati (art. 2 DORA) comprendono banche, istituti di credito, istituti di pagamento, istituti di moneta elettronica, imprese di investimento, fornitori di servizi di criptoasset (CASP), assicurazioni e riassicurazioni, fondi pensione aziendali, agenzie di rating del credito, gestori di fondi alternativi, e fornitori terzi ICT critici (CTPP).

La novità più rilevante di DORA è la responsabilità diretta del board (art. 5): i membri dell'organo di gestione sono personalmente responsabili della gestione del rischio ICT e devono approvare la strategia di resilienza operativa digitale. Non è ammessa una delega totale alla funzione IT o al CISO.

I test di resilienza operativa (Pilastro 3) introducono un obbligo di penetration testing (TLPT, Threat-Led Penetration Testing) ogni 3 anni per i soggetti significativi, con metodologia basata sul framework TIBER-EU della BCE. I fornitori terzi ICT critici (CTPP) sono soggetti a supervisione diretta delle autorità di vigilanza europee (EBA, ESMA, EIOPA).

Questo wizard aiuta gli enti finanziari a identificare rapidamente i gap rispetto ai 5 pilastri DORA, con scoring automatico (20% per pilastro) e flag governance per le criticità non delegabili. Il report PDF include raccomandazioni prioritizzate basate sui RTS/ITS emanati da EBA, ESMA ed EIOPA.

Glossario DORA

DORA (Reg. UE 2022/2554)
Digital Operational Resilience Act. Regolamento UE direttamente applicabile dal 17/01/2025. Obbligatorio per gli enti finanziari (art. 2). Coordina e armonizza i requisiti di sicurezza ICT nel settore finanziario EU. NON confondere con "DORA DevOps Research & Assessment" metrics.
TLPT (Threat-Led Penetration Testing)
Penetration test avanzato basato su threat intelligence reale (artt. 26-27 DORA). Condotto da team esterni qualificati ogni 3 anni per soggetti significativi. Metodologia di riferimento: framework TIBER-EU (BCE). Testa l'intera catena digitale inclusi fornitori critici ICT.
CTPP (Critical Third-Party Provider)
Fornitori ICT di importanza critica per il settore finanziario UE (artt. 28-44 DORA). Designati dalla Joint Committee delle ESA (EBA, ESMA, EIOPA). Soggetti a supervisione diretta europea con possibilità di ispezioni in loco. Includono grandi cloud provider.
ESA (European Supervisory Authorities)
Autorità di vigilanza europee competenti per DORA: EBA (bancario), ESMA (mercati finanziari), EIOPA (assicurazioni/pensioni). Coordinano la supervisione dei CTPP e emanano RTS/ITS tecnici di supporto a DORA.
RTS / ITS (Technical Standards)
Regulatory Technical Standards e Implementing Technical Standards emanati da EBA, ESMA, EIOPA per dettagliare le modalità applicative di DORA. Coprono: classificazione incidenti, procedure TLPT, clausole contrattuali minime (art. 30), framework di valutazione rischio ICT.
Resilience Score DORA
Punteggio 0-100% calcolato da questo wizard come media dei 5 pilastri (20% ciascuno). Sì=100%, Parziale=50%, No=0%. Non è un certificato ufficiale - è uno strumento orientativo per identificare gap prioritari. Punteggio <40% su qualsiasi pilastro indica rischio di non conformità significativo.