Il Contesto Normativo
Il Regolamento DORA (Digital Operational Resilience Act) stabilisce requisiti uniformi per la gestione del rischio ICT nel settore finanziario europeo. Insieme alla Direttiva NIS2, introduce obblighi stringenti per garantire la resilienza operativa digitale.
DORA - Reg. (UE) 2022/2554
Applicabile dal 17 gennaio 2025 a enti creditizi, imprese di investimento, assicurazioni, fondi, prestatori di servizi crypto e fornitori ICT critici.
NIS2 - Dir. (UE) 2022/2555
Recepimento entro ottobre 2024. Amplia l'ambito di applicazione a settori essenziali e importanti con nuovi obblighi di governance e incident reporting.
A chi si applica DORA?
- Enti creditizi e società di investimento
- Compagnie di assicurazione e riassicurazione
- Gestori di fondi e SGR
- Istituti di pagamento e istituti di moneta elettronica
- Prestatori di servizi su crypto-attività
- Fornitori terzi critici di servizi ICT
Servizi Offerti
Assistenza completa per l'adeguamento ai requisiti DORA, dalla fase di assessment iniziale all'implementazione del framework di resilienza.
Gap Analysis DORA
Valutazione dello stato attuale rispetto ai requisiti del Regolamento DORA, identificazione delle aree di intervento prioritario.
Framework Rischio ICT
Sviluppo o revisione delle politiche e procedure di gestione del rischio ICT secondo i requisiti degli artt. 5-16 DORA.
Contratti Fornitori ICT
Revisione e adeguamento della contrattualistica con fornitori terzi per rispettare i requisiti degli artt. 28-30 DORA.
Registro Informazioni
Predisposizione del registro delle informazioni relative agli accordi contrattuali con fornitori terzi di servizi ICT.
Incident Reporting
Implementazione del framework di classificazione e segnalazione degli incidenti ICT rilevanti.
Formazione
Sessioni formative per management e personale operativo sui requisiti DORA e le best practice di cyber resilience.
Percorso di Adeguamento
L'adeguamento ai requisiti DORA richiede un approccio strutturato che coinvolge diverse aree aziendali: IT, compliance, legal, risk management. Le tempistiche variano in base alla complessità dell'organizzazione e al livello di maturità del framework esistente.
Nota
Le tempistiche indicate sono puramente indicative e vengono definite in fase di assessment preliminare sulla base delle caratteristiche specifiche dell'organizzazione.
Fasi del Progetto DORA
Le fasi operative secondo il GDPR (Reg. UE 2016/679)
Mappatura dei sistemi ICT, identificazione dei fornitori critici, analisi del gap rispetto ai requisiti DORA. Valutazione della maturità del framework di gestione del rischio ICT esistente.