Oggi è una data importante per la cyber security nel settore finanziario: entra in vigore il Regolamento (UE) 2022/2554 relativo alla resilienza operativa digitale (denominato anche DORA).
Indice degli argomenti
L’obiettivo del regolamento DORA
La resilienza operativa digitale è la capacità degli operatori (entità finanziarie e fornitori di servizi ICT) di continuare ad offrire specifici risultati nonostante il verificarsi di incidenti e di violazioni all’infrastruttura ICT.
Essa è uno strumento di integrità, solidità e affidabilità degli operatori nonché un veicolo di consapevolezza dei rischi informatici e di sicurezza, ma anche uno strumento di garanzia a tutela dei consumatori.
Le imprese dovranno conseguire un livello elevato di resilienza operativa digitale fissando obblighi uniformi in relazione alla sicurezza dei sistemi informatici e di rete che sostengono i processi commerciali delle entità finanziarie.
Queste sono le novità fondamentali del regolamento DORA entrato in vigore oggi 16 gennaio 2023 e vincolante dal 17 gennaio 2025.
Cyber security nelle banche e nel fintech: è decisivo adottare prima possibile il DORA
A chi si rivolge
Nella definizione di “Entità finanziaria”[1] ricadono non soltanto attori di stampo “tradizionale” (ad esempio banche, assicurazioni e imprese di investimento) ma anche nuovi attori quali, ad esempio, aziende di servizi di cripto-asset. Oltre alle “Entità Finanziarie” il DORA si rivolge anche ai “Fornitori di Servizi ICT”.
Ciò comporterà il coinvolgimento di un numero potenzialmente alto di operatori di mercato.
La struttura
Il regolamento DORA può essere sintetizzato nei seguenti pilastri:
- governance e organizzazione interna;
- gestione dei rischi ICT;
- gestione degli incidenti e reporting;
- pianificazione ed esecuzione di test di resilienza operativa digitale;
- gestione delle terze parti;
- condivisioni delle informazioni;
- ruoli e compiti delle Autorità competenti.
Nei prossimi articoli, che verranno pubblicati con cadenza settimanale su questa testata, approfondiremo i singoli pilastri sopra indicati, evidenziando in concreto le azioni che il regolamento rivolge alle entità finanziarie e ai fornitori di servizi ICT.
Che cosa cambia
Che cosa cambierà, quindi, con il regolamento DORA?
Esso introdurrà:
- Un esteso ambito di applicazione soggettivo e un quadro normativo unico, uniforme e convergente tra tutte le entità finanziarie e i fornitori di servizi ICT (Art. 2).
- Un quadro rafforzato di compiti e di responsabilità dell’organo di gestione con riferimento alla gestione e al controllo interno di rischi ICT e cyber, garantendone una efficace e prudente gestione (Art. 5, Par. 1, 2 e 4).
- Una specifica funzione di controllo dei rischi ICT e cyber prevedendo per le entità finanziarie, diverse dalle micro imprese, l’obbligo di attribuire la responsabilità della gestione e della sorveglianza dei rischi informatici a una funzione di controllo (di II livello), di cui assicurano un livello appropriato d’indipendenza per evitare conflitti d’interessi (Art. 6, Par. 4).
- Un focus sui rischi sistemici (Art. 6).
- L’individuazione e classificazione ex ante dei rischi ICT e cyber (Capo II Sezione II).
- Talune misure di prevenzione attraverso le conoscenze, competenze ed esperienze; tra queste, l’obbligo della formazione specifica dell’organo di gestione, dei dirigenti e dei dipendenti (Art. 5 Par. 4 e Art. 13, Par. 6).
- La modifica dei criteri di gestione, la classificazione, le modalità di notifica dei gravi incidenti di sicurezza incidenti ICT, nonché dei gravi incidenti operativi o relativi alla sicurezza dei pagamenti e l’armonizzazione dei modelli e contenuti per la notifica, nonché la centralizzazione dei canali di notifica. Altro aspetto innovativo è la facoltà (quindi su base volontaria) di notificare le minacce di informatiche significative (Art. 17).
- L’obbligo di pianificazione ed esecuzione dei test di resilienza operativa digitale in chiave TIBER UE (Art. 26).
- La designazione dei fornitori di servizi ICT critici dall’Autorità di vigilanza europea (Art. 31).
- La struttura e il quadro di sorveglianza (Art. 32).
- I meccanismi di condivisione delle informazioni e delle analisi delle minacce informatiche tra le entità finanziarie (Art. 45).
- Un impianto sanzionatorio basato su misure efficaci, proporzionate e dissuasive (non ancora definito nel dettaglio dagli Stati Membri) (Art. 50).
I prossimi passi
Alle entità finanziarie e ai fornitori di servizi ICT è richiesto un approccio proattivo per non trovarsi impreparati all’applicazione dei requisiti previsti dalla norma che, come sopra indicato, ricordiamo diventerà vincolante dal 17 gennaio 2025.
Nei prossimi mesi sarà perciò necessario adottare azioni preliminari che permettano di valutare la maturità organizzativa dell’attuale modello di gestione dei rischi ICT e determinare l’impatto che il DORA ha sugli operatori.
In particolare, sarà necessario eseguire una gap analysis su:
- framework di gestione dei rischi ICT e, nello specifico, su:
- organizzazione e governance interna;
- presidi tecnici e organizzativi per la mitigazione dei rischi;
- gestione, classificazione e segnalazione degli incidenti informatici;
- test di resilienza operativa digitale. La norma prevede un programma di test di resilienza operativa digitale solido ed esaustivo, basato su un approccio risk based, secondo il principio di proporzionalità;
- meccanismi di reporting degli incidenti. Sarà necessario valutare la reattività dell’azienda in ambito di reportistica e segnalazione degli incidenti;
- rapporti con le terze parti. Nello specifico gli operatori dovranno valutare:
- la mappatura dei fornitori di servizi ICT (se esistente) e dei fornitori di servizi esternalizzati;
- se gli accordi contrattuali riguardino una funzione critica o importante;
- i dispositivi di governance per la gestione dei rischi relativi agli accordi contrattuali già esistenti, compresa la possibilità che tali accordi possano aggravare il rischio di concentrazione delle TIC.
A valle della gap analysis, a seconda del livello di maturità rilevata e dei punti di criticità emersi nei vari ambiti, sarà necessario attivare diversi cantieri di lavoro per raggiungere un livello di conformità coerente alla norma.
Inoltre, gli operatori dovranno:
- pianificare e svolgere delle attività di formazione. Tutti i dipendenti e gli alti dirigenti coinvolti dovranno svolgere un programma di attività di formazione obbligatoria sulla gestione dei rischi ICT, con un livello di complessità commisurata alla funzione svolta, includendo in tali attività anche i fornitori terzi di servizi ICT.
- monitorare gli sviluppi normativi che verranno emanati dal Regolatore Europeo.
Sarà doveroso, nelle more dei lavori di conformità al regolamento DORA, tenere in considerazione anche la direttiva NIS 2 che introduce misure specifiche e più stringenti in termini di cyber risk management, di segnalazione e condivisione delle informazioni relative agli incidenti di sicurezza, rivolgendosi anche a un novero di settori e di soggetti più ampio rispetto a quello previsto dall’originaria direttiva NIS.
Sarà perciò necessaria una giusta strategia per svolgere le azioni di conformità previste dalle normative gemelle (regolamento DORA e direttiva NIS 2) in modo sinergico.
Direttiva NIS 2: ecco come prepararsi a recepire i nuovi obiettivi di cyber security
Le specifiche per il mondo bancario
Il 4 novembre scorso è entrato in vigore il 40° aggiornamento della Circolare 285, che chiede agli istituti bancari di recepire le modifiche introdotte entro il 30 giugno 2023.
Con tale aggiornamento si chiede alle banche di dare attuazione agli “Orientamenti sulla gestione dei rischi relativi alle tecnologie dell’informazione (ICT) e di sicurezza” (EBA/GL/2019/04). Tra i principali elementi di novità, le nuove regole prevedono che le banche si dotino di una funzione di controllo di secondo livello per la gestione e il controllo dei rischi ICT e di sicurezza.
Orbene, in fase di adozione delle misure previste dal regolamento DORA dovranno essere tenuti in considerazione le novità introdotte dal 40° aggiornamento per svolgere le azioni di conformità in modo sinergico.
NOTE
Nel termine di Entità Finanziaria ricadono le seguenti società: Gli enti creditizi; Gli istituti di pagamento e di moneta elettronica; I prestatori di servizi di informazioni sui conti; I fornitori di servizi di cripto-attività; I depositari centrali di titoli; Le controparti centrali; Le imprese di investimento; I gestori di fondi d’investimento alternativi e società di gestione; Le sedi di negoziazione; I repertori di dati sulle negoziazioni; I fornitori di servizi di comunicazione dei dati; Le imprese di assicurazione e imprese di riassicurazione; Gli intermediari assicurativi e intermediari di riassicurazione; Gli intermediari assicurativi a titolo accessorio; Gli enti pensionistici aziendali/professionali; Le agenzie di rating del credito; Gli amministratori di indici critici; I fornitori di servizi di crowdfunding; I repertori di dati sulle cartolarizzazioni. ↑
