Comprendere il Digital Operational Resilience Act (DORA) nell’UE

[cyrilamblard]

Cos'è il Digital Operational Resilience Act (DORA)?

La panoramica

DORA mira a stabilire un approccio globale alla resilienza operativa del settore finanziario nell'Unione europea. Comprende un'ampia gamma di requisiti per garantire la sicurezza e la resilienza del sistema finanziario dell'UE, in particolare nel panorama digitale in continua evoluzione.

L'obiettivo

L'obiettivo principale del DORA è rafforzare la resilienza operativa dei soggetti finanziari che operano all'interno dell'UE. Esso mira a ridurre i rischi associati agli incidenti legati al mondo ICT e a migliorare la sicurezza e la resilienza complessive del settore finanziario. L'inosservanza può causare danni alla reputazione, conseguenze legali e perdite finanziarie per un'azienda.

Requisiti critici del Digital Operational Resilience Act (DORA)

• Governance e gestione del rischio
  Le entità devono implementare rigorose strutture di governance e processi di gestione del rischio per identificare, gestire e mitigare efficacemente i rischi ICT.
• Segnalazione di incidenti ICT
  Vengono istituiti meccanismi obbligatori di segnalazione degli incidenti, che richiedono alle entità di segnalare tempestivamente alle autorità di regolamentazione gli incidenti ICT significativi.
• Test di resilienza operativa digitale
  I regolari test dei sistemi digitali, compresi i sistemi di rete e di informazione, sono obbligatori per garantire la resilienza alle minacce informatiche e alle interruzioni operative.
• Gestione del rischio di terze parti
  DORA regolamenta anche la gestione del rischio ICT di terze parti, compresi i servizi cloud e altri fornitori di servizi critici, garantendo che soddisfino gli stessi standard di resilienza.
• Condivisione di informazioni e intelligence
  Promozione della condivisione di informazioni e intelligence sulle minacce informatiche e le vulnerabilità all'interno del settore finanziario per migliorare le strategie di difesa collettiva.

Importanza della resilienza operativa per il settore finanziario

La resilienza operativa è cruciale per il settore finanziario, in particolare nell'era digitale, in quanto influisce direttamente sulla stabilità e sulla sicurezza dei servizi finanziari. DORA sottolinea l'importanza di mantenere la resilienza operativa per salvaguardare il sistema finanziario dell'UE.

Obiettivi chiave per rafforzare la resilienza operativa digitale

Ecco gli obiettivi vitali su cui le organizzazioni dovrebbero concentrarsi per migliorare la loro resilienza digitale:

• Robuste misure di sicurezza informatica: implementa quadri di sicurezza informatica completi che proteggano dalle minacce esterne e interne. Ciò include la distribuzione di firewall, software antivirus, sistemi di rilevamento delle intrusioni e valutazioni periodiche della sicurezza per identificare e mitigare le vulnerabilità.
• Piano di risposta efficace agli incidenti: sviluppa e aggiorna regolarmente un piano di risposta che delinei le procedure per rispondere agli incidenti di sicurezza informatica e alle violazioni dei dati. Questo piano dovrebbe includere ruoli, responsabilità, protocolli di comunicazione e fasi di ripristino.
• Procedure regolari di backup e ripristino dei dati: stabilire procedure di routine di backup dei dati per garantire che i dati critici possano essere ripristinati in caso di perdita o danneggiamento. Verifica le procedure di recupero per assicurarti che siano pratiche e possano essere eseguite rapidamente per ridurre al minimo i tempi di inattività.
• Formazione e consapevolezza dei dipendenti: promuovi una cultura della consapevolezza tra i dipendenti attraverso una formazione regolare sulle best practice di cybersecurity, sulla consapevolezza del phishing e sull'importanza dei seguenti protocolli di sicurezza. I dipendenti dovrebbero essere in grado di riconoscere e rispondere alle minacce.
• Business Continuity e pianificazione del disaster recovery: sviluppa piani di business continuity (BCP) e disaster recovery (DRP) completi che garantiscano la continuità delle funzioni aziendali critiche durante e dopo un evento. Questi piani dovrebbero essere regolarmente testati e aggiornati per riflettere le mutevoli esigenze e minacce aziendali.
• Gestione dei rischi di terze parti: valuta e gestisci i rischi associati a fornitori di servizi terzi. Ciò include lo svolgimento di audit regolari, garantire che le terze parti rispettino gli standard di sicurezza dell'organizzazione e stabilire contratti chiari che definiscano le responsabilità in caso di violazione della sicurezza.
• Investimenti in tecnologie avanzate: sfrutta tecnologie avanzate come l'intelligenza artificiale (AI), l'apprendimento automatico e la blockchain per migliorare la sicurezza, automatizzare il rilevamento delle minacce e migliorare l'efficienza delle misure di resilienza.
• Conformità ai regolamenti e agli standard: garantire la conformità alle leggi, ai regolamenti e agli standard di settore pertinenti in materia di sicurezza digitale e protezione dei dati. A seconda della posizione dell'organizzazione e del settore, questo include GDPR, CCPA, HIPAA, ecc.
• Monitoraggio e valutazione continue: implementa strumenti di monitoraggio in tempo reale per rilevare anomalie, potenziali minacce e vulnerabilità. Valuta regolarmente l'efficacia delle misure di resilienza digitale e adegua le strategie in base alle minacce emergenti e ai progressi tecnologici.
• Cultura della resilienza: coltiva una cultura della resilienza all'interno dell'organizzazione che dia priorità all'adattabilità, all'apprendimento continuo e alla gestione proattiva del rischio. Incoraggia la comunicazione e la collaborazione aperte tra i dipartimenti per identificare le lacune di resilienza e le opportunità di miglioramento.

L'importanza dei test di resilienza operativa digitale

I test di resilienza operativa digitale ai sensi del Digital Operational Resilience Act (DORA) sono fondamentali per le entità finanziarie per:

• Identificare le vulnerabilità: scopri le debolezze che le minacce informatiche potrebbero sfruttare
• Garantire la continuità aziendale: mantieni le operazioni durante le interruzioni
• Costruire la fiducia degli stakeholder: rafforza la fiducia nella gestione efficace dei rischi ICT
• Supportare la compliance normativa: soddisfa i requisiti del DORA per evitare sanzioni

Conformità ai requisiti di prova di resilienza

Nell'ambito del DORA, i test di resilienza comprendono:

• Test basati sul rischio: proporzionati alle dimensioni e alla complessità delle entità
• Test basati sugli scenari: simula scenari avversi per la resilienza del sistema
• Partecipazione di terzi: coinvolgimento di fornitori di servizi critici
• Test regolari: frequenza allineata al profilo di rischio 
• Relazioni e documentazione: riferire i rilievi alle autorità e adottare misure correttive

| Le entità finanziarie rafforzano la resilienza operativa digitale attuando tali componenti, garantendo la preparazione in caso di interruzioni ICT e salvaguardando le operazioni e il sistema finanziario. |

Leggi anche: DORA The 5 Pillars explained

Come DORA si rivolge ai fornitori di servizi ICT di terze parti?

Regolamentazione

DORA stabilisce norme sui fornitori di servizi ICT di terze parti per garantire la conformità ai requisiti di resilienza operativa. Essa mira a mitigare i rischi posti dai fornitori e a migliorare la resilienza complessiva del settore finanziario.

Gestione del rischio

DORA sottolinea l'identificazione dei fornitori di servizi critici ICT di terze parti e impone requisiti specifici per migliorare la loro resilienza operativa. Essa mira a mitigare i rischi associati ai fornitori di servizi terzi essenziali e a rafforzare la resilienza del settore finanziario.

In che modo DORA impatta i fornitori di servizi ICT di terze parti?

Il Digital Operational Resilience Act (DORA) garantisce che tutti i partecipanti al sistema finanziario dispongano di misure di salvaguardia per mitigare le minacce informatiche e le interruzioni ICT. Il suo impatto sulle entità finanziarie e sui fornitori terzi di servizi ICT è significativo, con l'obiettivo di migliorare la resilienza complessiva del settore finanziario. Di seguito, esaminiamo i requisiti dei fornitori di servizi ICT di terze parti e la gestione dei rischi associati ai servizi.

Ruolo dei fornitori terzi di servizi ICT nell'assicurare la resilienza operativa

I fornitori sono fondamentali per sostenere le entità finanziarie nel raggiungimento e nel mantenimento della resilienza operativa. Le loro responsabilità comprendono:

• Conformità ai requisiti DORA: aderendo agli standard di sicurezza e alle pratiche stabilite da DORA, assicurando che i loro servizi non diventino una fonte di vulnerabilità per le entità finanziarie.
• Comunicazione e rendicontazione trasparenti: comunicazione tempestiva e trasparente alle entità finanziarie di eventuali incidenti o rischi potenziali che potrebbero incidere sulla resilienza operativa dell'entità.
• Supporto alla risposta agli incidenti e al recupero: collaborazione con le entità finanziarie in caso di incidente per sostenere azioni rapide di risposta e recupero, riducendo al minimo l'impatto sui servizi finanziari.
• Miglioramento continuo delle misure di sicurezza: aggiornare e migliorare regolarmente le misure di sicurezza per affrontare le minacce informatiche emergenti, garantendo che la dipendenza degli enti finanziari ai loro servizi non li esponga a rischi indebiti.

Gestione dei rischi associati ai servizi di terze parti

Per gestire efficacemente i rischi associati ai servizi ICT di terzi, gli enti finanziari e i loro fornitori di servizi devono:

• Condurre una due diligence accurata: valutare le pratiche di sicurezza e resilienza dei fornitori terzi prima di utilizzare i loro servizi, assicurando che soddisfino gli elevati standard richiesti dal DORA.
• Implementare accordi contrattuali forti: includere standard di sicurezza specifici, segnalazione di incidenti e disposizioni sulla protezione dei dati nei contratti con fornitori terzi.
• Monitorare e valutare periodicamente: monitora continuamente le prestazioni e la conformità dei fornitori terzi, rivalutando il loro profilo di rischio se necessario.
• Sviluppare strategie di emergenza e uscita: prepararsi alla possibilità di interruzione o cessazione del servizio, assicurando che tali eventi non abbiano un impatto critico sulla resilienza operativa.

DORA ha un impatto significativo sulle entità finanziarie e sui loro fornitori di servizi ICT, stabilendo un solido quadro normativo incentrato sulla resilienza operativa digitale. Attraverso il rispetto dei requisiti DORA, le entità finanziarie e i fornitori terzi possono contribuire ad un ecosistema finanziario più resiliente e sicuro, più preparati ad affrontare le sfide dell’era digitale.

Il ruolo dell'European Securities and Markets Authority nella vigilanza

L'European Securities and Markets Authority (ESMA) svolge un ruolo centrale nel monitorare l'attuazione della legge sulla resilienza operativa digitale (DORA), in particolare per le entità del mercato finanziario. Le responsabilità dell'ESMA in questo contesto comprendono:

Sviluppo di linee guida e standard: ESMA sviluppa linee guida, standard tecnici e raccomandazioni per garantire un approccio armonizzato all'attuazione del DORA in tutti gli stati membri dell'UE. Ciò include il chiarimento dei requisiti e delle aspettative per le entità finanziarie nell'ambito del DORA.

Monitoraggio della conformità: l'ESMA monitora la compliance delle entità finanziarie ai requisiti DORA, lavorando in stretta collaborazione con le autorità nazionali competenti (NCAs) per garantire che il quadro operativo di resilienza sia effettivamente attuato in tutta l'UE.

Coordinamento con altre autorità: l'autorità si coordina con le altre autorità europee di vigilanza (ESA), come l’European Banking Authority (EBA) e l’European Insurance and Occupational Pensions Authority (EIOPA), per garantire un'applicazione coerente del sistema DORA in tutta la filiera del settore finanziario.

Sorveglianza dei rischi di terzi: vista l'importanza dei fornitori terzi di servizi ICT nell'ambito del programma DORA, L'ESMA controlla inoltre i processi di gestione del rischio che le entità finanziarie devono avere in atto per quanto riguarda le loro dipendenze da terzi.

Framework di segnalazione degli incidenti: l'ESMA stabilisce e mantiene il framework di segnalazione, garantendo che gli incidenti informatici significativi siano segnalati tempestivamente e in modo coerente.

HOPEX e DORA

Nel contesto del Digital Operational Resilience Act, HOPEX può supportare gli enti finanziari nel soddisfare i requisiti dei regolamenti. Ecco come:

1. ICT Risk Management Framework

• Identificazione e valutazione dei rischi: HOPEX aiuta ad identificare e valutare i rischi ICT fornendo strumenti per mappare il panorama digitale dell'organizzazione, inclusi asset, processi e servizi di terze parti. Ciò consente alle entità finanziarie di individuare le vulnerabilità e valutarne il loro potenziale impatto.
• Pianificazione della riduzione dei rischi: la piattaforma facilita lo sviluppo e l'attuazione di piani di riduzione dei rischi. Con HOPEX, le organizzazioni possono stabilire la priorità dei rischi in base alla loro gravità e impatto, delineando così misure di controllo appropriate per mitigarli.

2. Incident Management e Reporting

• Gestione e monitoraggio degli incidenti: HOPEX offre funzionalità per la gestione degli incidenti, consentendo alle organizzazioni di registrare, monitorare e gestire in modo efficiente gli incidenti di sicurezza informatica. Questo è cruciale per soddisfare i requisiti del DORA nell’ambito della risposta agli incidenti e recupero.
• Reporting automatizzato: la piattaforma può automatizzare la generazione e la presentazione di report sugli incidenti alle autorità di regolamentazione, garantendo che questi siano tempestivi, accurati e conformi alle linee guida del DORA.

3. Operational Resilience Testing

• Pianificazione della continuità: HOPEX consente alle organizzazioni di identificare le operazioni critiche, costruire e testare la propria strategia di continuità e monitorare la resilienza operativa.
• Test e analisi di scenario: HOPEX supporta i test di resilienza consentendo alle organizzazioni di simulare vari scenari di minacce informatiche e valutare l'efficacia delle loro strategie di risposta. Questo aiuta ad identificare le lacune nella resilienza dell'organizzazione ed apportare le modifiche necessarie.
• Documentazione e gestione delle prove: la piattaforma assiste nella documentazione dei processi di prova, risultati e azioni correttive adottate. Questa documentazione è essenziale per dimostrare la conformità ai requisiti di test e audit DORA.

4. Third-Party Risk Management

• Valutazione rischio del fornitore: HOPEX può semplificare il processo di valutazione e gestione dei rischi associati ai fornitori terzi di servizi ICT. Fornisce strumenti per valutare la conformità del fornitore agli standard di sicurezza e monitorare i rischi in corso.
• Reporting automatizzato: la piattaforma può automatizzare la generazione e la presentazione di report sugli incidenti alle autorità di regolamentazione, garantendo che questi siano tempestivi, accurati e conformi alle linee guida del DORA.

5. Compliance Management and Reporting

• Dashboard di conformità normativa: HOPEX include funzionalità per il monitoraggio della conformità normativa, offrendo dashboard e strumenti di reporting che forniscono una panoramica dello stato di conformità dell'organizzazione al DORA e ad altre normative pertinenti.
• Analisi delle lacune e monitoraggio dei rimedi: la piattaforma può facilitare l'analisi delle lacune per identificare le aree in cui l'organizzazione non soddisfa i requisiti del DORA e monitorare i progressi degli sforzi di risanamento per affrontare queste lacune.

| Grazie ad HOPEX, le entità finanziarie possono migliorare la loro resilienza operativa digitale, semplificando la compliance al DORA e gestendo in modo efficace il complesso panorama dei rischi nell'era digitale. L'approccio integrato della piattaforma HOPEX alla GRC aiuta le organizzazioni a rispettare i requisiti normativi e rafforzare la loro posizione di rischio generale. |

Cosa possiamo aspettarci nel 2024 e oltre dal DORA?

Calendario di attuazione

L'attuazione del DORA è prevista per il 17 gennaio 2025. Le entità finanziarie sono tenute a rispettare i termini prescritti e a prepararsi all'attuazione dei requisiti DORA.

Cambiamenti previsti nel settore finanziario dell'UE

Si prevede che l'attuazione del DORA determinerà cambiamenti significativi nel settore finanziario dell'UE, in particolare per quanto riguarda una maggiore resilienza operativa e le misure di sicurezza. Le entità finanziarie subiranno trasformazioni sostanziali per essere conformi ai requisiti.

Influenza sull’European Securities and Markets Authority

DORA esercita un'influenza sull’European Securities and Markets Authority, in quanto è in linea con gli obiettivi dell'autorità di garantire la sicurezza e la resilienza del sistema finanziario dell'UE.

Nel complesso, il Digital Operational Resilience Act (DORA) rappresenta un quadro normativo fondamentale per garantire la sicurezza e la resilienza operativa del settore finanziario all'interno dell'Unione europea. Con i suoi requisiti e la sua attenzione alla mitigazione dei rischi ICT, il programma DORA è destinato a incidere in modo significativo sulle entità finanziarie e a migliorare la resilienza complessiva del sistema finanziario dell'UE. Mentre le entità finanziarie si preparano all'attuazione del DORA nei prossimi anni, l'atto è pronto a svolgere un ruolo trasformativo nel rafforzare la resilienza operativa del settore finanziario dell'UE.

Leggi anche: Cyber Resilience Challenges