DORA Resilience Assessment
Valuta la conformità della tua organizzazione al Regolamento DORA (Digital Operational Resilience Act, Reg. UE 2022/2554), obbligatorio per gli enti finanziari UE dal 17 gennaio 2025. Wizard gratuito: 5 pilastri × 20%, governance flag, TLPT, rischio terze parti ICT, report PDF.
Questo strumento misura la conformità al Regolamento UE DORA (Digital Operational Resilience Act - rischio operativo ICT per enti finanziari), non le DORA DevOps Research & Assessment metrics (deployment frequency, lead time, MTTR, change failure rate).
Vai al DORA DevOps Metrics Calculator →Pilastro 1: Gestione del Rischio ICT
Artt. 5-16 DORA - Governance NON delegabile: il board deve approvare e supervisionare direttamente la strategia di resilienza ICT (art. 5 DORA).
Domande frequenti su DORA
DORA si applica alla mia azienda? (Disambiguation con DORA DevOps)
Il Regolamento UE 2022/2554 (DORA) si applica agli enti finanziari ai sensi dell'art. 2: banche, assicurazioni, imprese di investimento, istituti di pagamento, istituti di moneta elettronica, fondi pensione, agenzie di rating, fornitori terzi ICT critici. NON si applica alle PMI generiche o al settore non-finanziario. NOTA: questo strumento misura la conformità al DORA (Regolamento UE), non le "DORA DevOps Research & Assessment metrics" (deployment frequency, lead time, ecc.) - quello è lo strumento /dev-tools/dora-metrics-calculator.
Quando è entrato in vigore DORA e quali sanzioni prevede?
DORA è entrato in vigore il 17 gennaio 2025 (Reg. UE 2022/2554, applicabile direttamente in tutti gli stati UE senza recepimento nazionale). Le sanzioni variano per tipo di soggetto e violazione: possono arrivare fino al 2% del fatturato totale annuo per le entità finanziarie (o importo fisso fino a 10M€). I fornitori terzi ICT critici possono essere soggetti a supervisione diretta delle ESA (EBA, ESMA, EIOPA) con sanzioni fino a 1% fatturato giornaliero.
Cosa sono i 5 pilastri DORA?
DORA organizza gli obblighi in 5 aree: (1) Gestione del Rischio ICT (artt. 5-16): board non può delegare la responsabilità; (2) Classificazione e Notifica Incidenti (artt. 17-23): notifica entro 4h/72h/1mese; (3) Test di Resilienza Operativa/TLPT (artt. 24-27): test annuali obbligatori, TLPT ogni 3 anni per soggetti significativi; (4) Rischio ICT Terze Parti (artt. 28-44): registro fornitori, SLA, exit strategy, supervisione CTPP; (5) Scambio di Informazioni (artt. 45-56): partecipazione a circoli di threat intelligence.
Cos'è la "governance non delegabile" del Pilastro 1 DORA?
Art. 5 DORA: i membri dell'organo di gestione (CDA, board) sono personalmente responsabili della strategia di resilienza ICT. Devono approvare il framework di gestione del rischio ICT, supervisioarlo attivamente e ricevere relazioni periodiche. NON possono delegare totalmente questa responsabilità alla funzione IT o al CISO. Questa è la principale novità rispetto a normative precedenti: la compliance non è più solo una questione tecnica ma una responsabilità di governance.
Cosa sono i TLPT richiesti da DORA?
TLPT (Threat-Led Penetration Testing, artt. 26-27 DORA) sono penetration test avanzati basati su threat intelligence reale, condotti da tester esterni qualificati, almeno ogni 3 anni per i soggetti finanziari significativi. I TLPT testano l'intera catena digitale dell'ente (inclusi i sistemi IT dei fornitori critici). Il framework TIBER-EU della BCE è il riferimento metodologico standard per i TLPT in Italia e nell'UE.
Come gestire il rischio ICT dei fornitori terzi secondo DORA?
Art. 28-44 DORA impongono: registro aggiornato di tutti i contratti con fornitori ICT (con classificazione critico/non critico); clausole contrattuali minime obbligatorie (art. 30) incluse SLA, diritti di accesso e audit, standard di sicurezza, piani di uscita; exit strategy documentata per i fornitori critici; notifica preventiva all'autorità competente per nuovi accordi con fornitori "critici" (CTPP). I fornitori cloud critici (CTPP) sono soggetti a supervisione diretta delle ESA.
Come si usa il Wizard DORA
- Verifica se DORA si applica alla tua organizzazione
DORA si applica agli enti finanziari (art. 2 Reg. UE 2022/2554). Prima di iniziare, verifica che la tua organizzazione rientri nell'ambito: banche, assicurazioni, istituti di pagamento, imprese di investimento, ecc.
- Valuta il Pilastro 1: Gestione Rischio ICT
Rispondi alle 3 domande sul framework di gestione del rischio ICT e sull'approvazione del board. Questo pilastro ha la governance non delegabile - è il più critico per la conformità DORA.
- Valuta i Pilastri 2-5
Completa le valutazioni per i pilastri 2 (incidenti), 3 (test TLPT), 4 (fornitori terzi) e 5 (scambio informazioni). Ogni pilastro ha 3 domande; risposte parziali (in corso) contano 50%.
- Analizza il report
Il report mostra il punteggio complessivo (media 5 pilastri × 20%), il dettaglio per pilastro e eventuali flag di governance. Punteggi <40% indicano gap critici che richiedono intervento immediato.
- Scarica il report PDF
Richiedi il report PDF completo via email - include gap-analysis per pilastro, raccomandazioni prioritizzate e checklist per l'adeguamento ai RTS/ITS emanati da EBA, ESMA ed EIOPA.
DORA: cosa sapere nel 2025
Il Regolamento (UE) 2022/2554 (DORA - Digital Operational Resilience Act) è applicabile direttamente in tutti i 27 stati membri UE dal 17 gennaio 2025, senza necessità di recepimento nazionale. A differenza della NIS2, DORA ha forza di regolamento (non direttiva) e si applica esclusivamente al settore finanziario.
I soggetti obbligati (art. 2 DORA) comprendono banche, istituti di credito, istituti di pagamento, istituti di moneta elettronica, imprese di investimento, fornitori di servizi di criptoasset (CASP), assicurazioni e riassicurazioni, fondi pensione aziendali, agenzie di rating del credito, gestori di fondi alternativi, e fornitori terzi ICT critici (CTPP).
La novità più rilevante di DORA è la responsabilità diretta del board (art. 5): i membri dell'organo di gestione sono personalmente responsabili della gestione del rischio ICT e devono approvare la strategia di resilienza operativa digitale. Non è ammessa una delega totale alla funzione IT o al CISO.
I test di resilienza operativa (Pilastro 3) introducono un obbligo di penetration testing (TLPT, Threat-Led Penetration Testing) ogni 3 anni per i soggetti significativi, con metodologia basata sul framework TIBER-EU della BCE. I fornitori terzi ICT critici (CTPP) sono soggetti a supervisione diretta delle autorità di vigilanza europee (EBA, ESMA, EIOPA).
Questo wizard aiuta gli enti finanziari a identificare rapidamente i gap rispetto ai 5 pilastri DORA, con scoring automatico (20% per pilastro) e flag governance per le criticità non delegabili. Il report PDF include raccomandazioni prioritizzate basate sui RTS/ITS emanati da EBA, ESMA ed EIOPA.
Glossario DORA
- DORA (Reg. UE 2022/2554)
- Digital Operational Resilience Act. Regolamento UE direttamente applicabile dal 17/01/2025. Obbligatorio per gli enti finanziari (art. 2). Coordina e armonizza i requisiti di sicurezza ICT nel settore finanziario EU. NON confondere con "DORA DevOps Research & Assessment" metrics.
- TLPT (Threat-Led Penetration Testing)
- Penetration test avanzato basato su threat intelligence reale (artt. 26-27 DORA). Condotto da team esterni qualificati ogni 3 anni per soggetti significativi. Metodologia di riferimento: framework TIBER-EU (BCE). Testa l'intera catena digitale inclusi fornitori critici ICT.
- CTPP (Critical Third-Party Provider)
- Fornitori ICT di importanza critica per il settore finanziario UE (artt. 28-44 DORA). Designati dalla Joint Committee delle ESA (EBA, ESMA, EIOPA). Soggetti a supervisione diretta europea con possibilità di ispezioni in loco. Includono grandi cloud provider.
- ESA (European Supervisory Authorities)
- Autorità di vigilanza europee competenti per DORA: EBA (bancario), ESMA (mercati finanziari), EIOPA (assicurazioni/pensioni). Coordinano la supervisione dei CTPP e emanano RTS/ITS tecnici di supporto a DORA.
- RTS / ITS (Technical Standards)
- Regulatory Technical Standards e Implementing Technical Standards emanati da EBA, ESMA, EIOPA per dettagliare le modalità applicative di DORA. Coprono: classificazione incidenti, procedure TLPT, clausole contrattuali minime (art. 30), framework di valutazione rischio ICT.
- Resilience Score DORA
- Punteggio 0-100% calcolato da questo wizard come media dei 5 pilastri (20% ciascuno). Sì=100%, Parziale=50%, No=0%. Non è un certificato ufficiale - è uno strumento orientativo per identificare gap prioritari. Punteggio <40% su qualsiasi pilastro indica rischio di non conformità significativo.