La Direttiva NIS 2 ha l’obiettivo di rafforzare la sicurezza delle reti e dei sistemi informativi nell’Unione Europea. Essa impone obblighi rigorosi di gestione del rischio e di segnalazione degli incidenti cibernetici in una vasta gamma di settori, inclusi quelli critici come l’energia, i trasporti e, naturalmente, il settore bancario e le infrastrutture dei mercati finanziari.
Il DORA, invece, è specificamente orientato alle entità finanziarie. Questo regolamento:
- stabilisce requisiti stringenti per la gestione dei rischi legati alle tecnologie dell’informazione e della comunicazione (ITC);
- prescrive procedure dettagliate per la segnalazione degli incidenti legati alle ITC.
L’obiettivo di DORA è assicurare che le infrastrutture finanziarie possano resistere e continuare a operare anche durante e dopo attacchi cibernetici significativi.
Indice degli argomenti
Armonizzazione normativa e lex specialis
Il Considerando 16 di DORA chiarisce che il Regolamento introduce requisiti di gestione dei rischi informatici e di segnalazione degli incidenti più stringenti rispetto a quelli precedentemente stabiliti dalle normative dell’Unione Europea in materia di servizi finanziari.
Nello stesso Considerando, si precisa anche che il DORA rappresenta una lex specialis rispetto alla NIS 2.
In altre parole, un’entità finanziaria le cui attività rientrano nel campo di applicazione sia della NIS 2 sia del DORA deve rispettare esclusivamente i requisiti imposti da quest’ultimo Regolamento.
Tuttavia, è fondamentale mantenere un collegamento stretto tra il settore finanziario e il più ampio quadro di cyber sicurezza dell’Unione Europea, come definito dalla NIS 2.
Questo approccio integrato assicura che le autorità di vigilanza finanziaria siano informate sugli incidenti informatici che colpiscono altri settori, favorendo una strategia di risposta coordinata a livello europeo.
Collaborazione e scambio di informazioni
Il Considerando 18 di DORA sottolinea l’importanza di un apprendimento intersettoriale nella lotta contro le minacce cibernetiche.
Ciò comporta che le entità finanziarie devono continuare a far parte dell’ecosistema NIS 2, partecipando ai gruppi di cooperazione e ai CSIRT (Computer Security Incident Response Teams) come indicato nell’art. 23.
Le autorità competenti previste da DORA (le AEV) devono, come indicato nel Capo III, poter prendere parte alle discussioni strategiche e tecniche del gruppo di cooperazione di NIS 2, scambiando informazioni e collaborando con i punti di contatto unici designati.
Specificità del settore finanziario
A conferma di quanto già evidenziato, il Considerando 28 di NIS 2 riconosce che il DORA deve essere considerato un atto giuridico settoriale per quanto riguarda i soggetti del settore finanziario. Viene così ribadito che invece delle disposizioni stabilite nella NIS 2, alle entità finanziarie si applicano quelle del DORA relative alla gestione dei rischi ITC, alla gestione degli incidenti ITC e alle prove di resilienza operativa digitale.
Questo significa che le entità finanziarie devono conformarsi a DORA in termini di obblighi di gestione e di segnalazione dei rischi di cyber sicurezza.
Meccanismi di coordinamento e risposta rapida
A completamento del quadro delineato, il Considerando 95 del DORA sottolinea l’importanza di valorizzare le competenze specifiche e l’esperienza del personale specializzato nella gestione dei rischi operativi e informatici.
Le autorità competenti sono invitate a costituire gruppi multidisciplinari incaricati di esaminare i fornitori terzi critici di servizi ICT, assicurando così una preparazione e un’attuazione efficaci delle attività di sorveglianza.
Conclusioni
Si è visto come le entità finanziarie soggette al DORA non debbano applicare le disposizioni della Direttiva NIS 2 riguardanti la gestione e la segnalazione dei rischi di cyber sicurezza.
Tuttavia, è fondamentale mantenere una stretta collaborazione e un continuo scambio di informazioni tra le autorità competenti dei due quadri normativi.
Questo approccio integrato assicura una maggiore resilienza operativa e una risposta coordinata agli incidenti cibernetici su scala europea, migliorando complessivamente la sicurezza delle infrastrutture digitali.
In definitiva, mentre DORA prevale come normativa settoriale specifica per le entità finanziarie, la collaborazione e il coordinamento con le strutture previste da NIS 2 rimangono essenziali per una strategia di cyber sicurezza coesa e robusta in tutta l’Unione Europea.
