Il 17 gennaio 2025 il Regolamento (UE) 2022/2554 — più noto come DORA, Digital Operational Resilience Act — è diventato pienamente applicabile in tutti gli Stati membri.
Nessun atto di recepimento nazionale è stato necessario in quanto regolamento europeo, diventando quindi direttamente vincolante. Eppure, a mesi dall’entrata in vigore, la percezione dominante in molte organizzazioni resta la stessa: “DORA? Quella è roba per le banche.”
Un errore che, come vedremo, può costare caro.
Il malinteso di partenza: DORA non è una normativa bancaria
DORA nasce con un obiettivo preciso e ambizioso: armonizzare a livello europeo le regole sulla gestione del rischio ICT nel settore finanziario, colmando così il vuoto normativo che aveva a sua volta prodotto un patchwork disomogeneo di regolamenti nazionali.
Prima di DORA, ogni Stato membro aveva già sviluppato i propri standard, spesso incompatibili tra loro, lasciando aree grigie e vulnerabilità sistemiche nell’ecosistema digitale finanziario.
La risposta del legislatore europeo non è stata una norma ristretta alle banche, quanto una norma che ridisegna il perimetro del “settore finanziario” in senso molto più ampio di quanto ci si potrebbe aspettare.
Il Regolamento DORA si applica a ben 21 tipologie di entità finanziarie e interessa praticamente tutte le istituzioni finanziarie UE, come banche, imprese di investimento, assicurazioni, enti pensionistici, fornitori di criptovalute e di servizi di crowdfunding.
Il fatto che le categorie siano tante non è un caso, ma piuttosto il segnale che l’ambito di applicazione sia stato progettato per arrivare a coprire tutti i settori accomunabili all’aspetto finanziario, non solo il suo nucleo tradizionale.
Chi è davvero soggetto a DORA
Il Regolamento DORA ha per questo un perimetro di applicazione estremamente ampio, che va a coinvolgere oltre 22.000 entità finanziarie in tutta Europa e i loro fornitori critici.
Chi oltre alle banche rientra nel perimetro?
Settore assicurativo
IVASS è l’autorità competente DORA per il settore assicurativo, con poteri di vigilanza verso le imprese di assicurazione e di riassicurazione disciplinate dal Codice delle Assicurazioni Private. Questo significa che ogni compagnia assicurativa (danni, vita, riassicurazione) è soggetto direttamente vigilato e tenuto a rispettare tutti e cinque i pilastri del regolamento.
Istituti di pagamento e moneta elettronica
Gli istituti di pagamento, inclusi quelli esentati dalla PSD2, e gli istituti di moneta elettronica rientrano esplicitamente nel perimetro. Fintech che operano nei pagamenti digitali, wallet elettronici, piattaforme di bonifici istantanei: tutti compresi.
Gestori di fondi e SGR
Rientrano nella competenza Consob le imprese di investimento (SIM), le società di gestione del risparmio (SGR) e le altre entità di mercato. I gestori di fondi alternativi (GEFIA), le SICAV, le SICAF e i depositari centrali di titoli sono anch’essi dentro il perimetro.
Fintech e cripto
Nel settore Fintech e cripto rientrano i prestatori di servizi per cripto-attività (CASP), gli emittenti di token collegati ad attività, i fornitori di servizi di crowdfunding e i fornitori di servizi di data reporting.
Enti pensionistici
Gli enti pensionistici aziendali o professionali con un numero significativo di aderenti sono inclusi, con alcune soglie di esenzione per le strutture molto piccole.
I fornitori ICT
Un caso a parte, ma non un caso semplice. Qui il quadro si complica. I fornitori ICT non hanno adempimenti normativi diretti ai sensi di DORA, salvo che non siano designati come fornitori critici. Tuttavia, i fornitori sono impattati contrattualmente: è alle entità finanziarie che spetta l’onere di formalizzare contratti conformi, e in caso di mancato accordo, la scelta di cambiare fornitore.
Più nel pratico: un cloud provider, un fornitore SaaS, un outsourcer IT che lavora con banche, assicurazioni o SGR deve essere pronto a rispondere a richieste contrattuali molto più stringenti di quelle a cui era abituato. E se viene designato come fornitore critico dalle Autorità Europee di Vigilanza (ESA), entra direttamente nel perimetro di supervisione.
I cinque pilastri degli obblighi operativi
DORA non è una norma molto generica sulla sicurezza informatica. Gli obblighi operativi che definisce sono molto concreti, e sono strutturati in cinque aree.
Gestione del rischio ICT
Ogni entità deve implementare un framework documentato per l’identificazione, la classificazione e il monitoraggio continuo dei rischi ICT. Viene richiesta l’implementazione di framework strutturati e governance continua per i rischi tecnologici e informatici. Non basta “avere un ufficio IT”. Serve una governance formale, con ruoli e responsabilità assegnati fino al livello dell’organo di amministrazione.
Segnalazione degli incidenti
In applicazione del Regolamento DORA, gli intermediari segnalano gli incidenti ICT considerati “gravi” alla Banca d’Italia attraverso la piattaforma Infostat, utilizzando la rilevazione denominata “DORA – Segnalazione gravi incidenti ICT”. Le tempistiche sono stringenti e sono definite da standard tecnici regolatori (RTS). La notifica iniziale entro 4 ore dalla classificazione dell’incidente come grave, un rapporto intermedio, rapporto finale.
Test di resilienza operativa digitale
Il Regolamento prevede l’esecuzione di test di resilienza operativa digitale di base almeno ogni anno per tutte le entità finanziarie, e di test di penetrazione basati sulle minacce (TLPT) almeno ogni tre anni per le entità finanziarie significative. I TLPT (Threat-Led Penetration Test) sono simulazioni di attacco realistiche condotte da red team esterni accreditati, quindi non semplici vulnerability assessment, ma attacchi guidati da intelligence reale sulle minacce.
Gestione del rischio di terze parti ICT
Le entità finanziarie devono anche tenere un registro delle informazioni relative agli accordi contrattuali con fornitori terzi di servizi ICT, e comunicare alle autorità competenti, almeno una volta all’anno, quanti nuovi contratti hanno firmato con fornitori ICT. Ogni contratto con un fornitore che supporta funzioni essenziali o importanti deve includere clausole specifiche per strategie di uscita, diritti di audit e obiettivi prestazionali di sicurezza.
Condivisione delle informazioni
Le entità possono partecipare, su base volontaria, a meccanismi strutturati di scambio di informazioni sulle minacce informatiche, inclusi indicatori di compromissione e tattiche di attacco. È un elemento innovativo che trasforma la compliance da obbligo individuale a presidio sistemico collettivo.
Il quadro italiano: D.Lgs. 23/2025 e autorità competenti
Con il Decreto Legislativo 23/2025, pubblicato in Gazzetta Ufficiale l’11 marzo 2025, il Consiglio dei Ministri ha approvato il Il decreto, e come già detto, ha designato le autorità competenti italiane per la vigilanza:
- Banca d’Italia per banche e intermediari finanziari
- IVASS per il settore assicurativo
- Consob per SIM, SGR e mercati.
È stato previsto che le sanzioni pecuniarie si applichino anche ai fornitori terzi di servizi ICT, in base alla categoria del cliente servito. Il decreto legislativo indica esplicitamente che i provider tecnologici possano essere destinatari diretti di sanzioni amministrative.
E le sanzioni non sono certo simboliche: per le banche e gli intermediari finanziari, le violazioni più gravi possono comportare multe fino al 10% del fatturato annuo, mentre per SIM e SGR, si arriva fino a 5 milioni di euro o al 10% del fatturato se superiore.
Cosa significa tutto questo in pratica
Fuori dal contesto bancario e assicurativo, c’è un livello di maturazione alla gestione strutturata dei rischi ICT e Cyber ancora lontano dallo spirito e dall’obiettivo del regolamento DORA. È un’osservazione che fotografa con precisione lo stato attuale in cui molte organizzazioni soggette al regolamento non hanno ancora avviato una valutazione del proprio perimetro, né identificato i gap rispetto agli obblighi vigenti.
Questo non è solo un problema di compliance, quanto anche operativo e reputazionale. Un incidente ICT grave non notificato nei tempi prescritti espone a sanzioni dirette ed espone ad ulteriori violazioni fornitori e clienti.
Se un fornitore non è in grado di rispettare le clausole contrattuali richieste da DORA rischia di perdere clienti nel settore finanziario. Un’assicurazione che non ha un framework di gestione del rischio ICT documentato è già fuori dagli standard richiesti dall’IVASS.
Il principio di proporzionalità previsto da DORA, che calibra comunque gli obblighi alla dimensione e al profilo di rischio dell’entità, non esonera nessun soggetto in perimetro dagli obblighi fondamentali. Al massimo piò ridurre la complessità dell’implementazione, ma di certo non la necessità di implementare.
Da dove partire
Il punto di partenza non è riscrivere tutti i processi aziendali. È capire con precisione dove si è, rispetto a dove si deve essere.
Un assessment del perimetro DORA consente di rispondere a tre domande essenziali: la propria organizzazione è un soggetto direttamente soggetto al regolamento? Se sì, quali obblighi si applicano nella specifica categoria e dimensione? Quali gap esistono tra la situazione attuale e la conformità richiesta?
Solo partendo da una mappatura accurata è possibile costruire un percorso di adeguamento sostenibile — non un progetto emergenziale e costoso, ma un programma strutturato che integra gli obblighi DORA nei processi di governance già esistenti.
Rexilience supporta le organizzazioni nell’interpretare gli obblighi DORA, mappare i gap e costruire un percorso di conformità sostenibile, anche se non siete una banca.
Contattaci per un assessment iniziale del tuo perimetro.