La digitalizzazione, l’interconnessione sociale ed economica sono ormai diventati un elemento imprescindibile e fortemente caratterizzante del sistema finanziario in cui operiamo. L’innovazione tecnologica genera innumerevoli benefici, sotto forma di rapidità, efficienza, competitività delle imprese e degli intermediari finanziari, mentre per i cittadini questo si riverbera nella possibilità di beneficiare di una migliore “customer experience e di minori costi, in un contesto di grande attenzione agli ambiti della sostenibilità.

La digitalizzazione, tuttavia, porta con sé anche molti rischi per l’economia e il sistema finanziario, attraverso una maggiore esposizione, ad esempio, alle minacce cyber. Infatti, il sistema finanziario ed il suo funzionamento son sempre più spesso bersaglio privilegiato per attori malevoli e pericolosi.

I recenti interventi normativi hanno quindi cercato di intervenire a presidio e di questi rischi, anche mediante il monitoraggio dell’utilizzo della tecnologia finalizzata a contrastare in maniera coordinata le minacce informatiche.

L’ultimo rapporto Clusit (2024) restituisce una fotografia nettamente peggiorativa rispetto ai dodici mesi precedenti, continuando a evidenziare una curva di attacchi cyber in inesorabile e continua ascesa.

Dal 2016 a oggi il tema è stato oggetto di numerosi interventi normativi in conseguenza all’ampliamento della predetta rischiosità cyber, sia attraverso nuove normative europeo, sia mediante l’emanazione di normativa a livello nazionale.

Tra le altre disposizioni, in data 16 gennaio 2023 è entrato formalmente in vigore il Regolamento (UE) 2022/2554 denominato: “Digital Operational Resilience Act” ovvero anche chiamato Regolamento “DORA”.

In particolare, il nuovo Regolamento, a far data dal 17 gennaio 2025, vincolerà le imprese finanziarie interessate e i rispettivi fornitori di natura critica al rispetto di una serie di requisiti di sicurezza informatica e di resilienza.

Con la finalità di garantire una maggiore sicurezza ed efficienza nell’affrontare gli attacchi ed i rischi di matrice informatica e le relative problematiche connesse, il Regolamento si rivolge ad una vasta platea di operatori, non solo del settore finanziario, mediante l’implementazione di misure specifiche e ad hoc sotto il profilo della governance, della cybersecurity, della gestione del rischio ICT e della segnalazione degli eventuali incidenti.

Secondo stime approssimative, i destinatari del Regolamento saranno circa 22.000 società rientranti o meno nell’ambito della offerta di servizi finanziari. Infatti, oltre agli enti creditizi, agli istituti di pagamento, a quelli di moneta elettronica, alle imprese di investimento, saranno coinvolti anche fornitori di servizi per le cripto-attività autorizzati ed emittenti di token, depositari centrali di titoli, sedi di negoziazione, gestori di fondi di investimento alternativi, società di gestione, imprese di assicurazione e di riassicurazione, intermediari assicurativi e riassicurativi, enti pensionistici, agenzie di rating del credito, fornitori di servizi di crowdfunding, soggetti che gestiscono le cartolarizzazioni ed i relativi fornitori terzi di servizi in generale riferibili all’area ITC.

Il Regolamento DORA persegue l’obiettivo di armonizzare le regole concernenti la sicurezza delle reti e dei sistemi informativi attualmente in essere all’interno dell’Unione Europea. Esso prevede che le Autorità europee di vigilanza (ESAs) elaborino specifici standard tecnici (RTS - Regulatory Technical Standard e ITS – Implementing Technical Standard): un primo set di norme è già stato sottoposto alla Commissione europea all’inizio del corrente anno, mentre un secondo gruppo di norme dovrà essere approvato entro il mese di dicembre 2024.

Da gennaio 2025 quindi tutti i soggetti destinatari del Regolamento DORA dovranno adempiere agli obblighi previsti e adottare misure tecniche e organizzative.

Nel dettaglio, i destinatari saranno chiamati, in primis, a implementare un processo di gestione dei rischi connessi alle tecnologie ICT, con l’obiettivo di individuare i rischi informatici in via preventiva e ridurre al minimo l’impatto degli incidenti cyber. Tra i numerosi adempimenti introdotti dalla nuova disciplina europea, gli operatori interessati dovranno:

• adottare un assetto di governance e organizzativo interno che garantisca un controllo efficace e prudente di tutti i rischi relativi all’area ICT;
• predisporre un sistema per la gestione dei rischi informatici, creando un ICT Risk Management Framework,e definendo una strategia di resilienza digitale;
• definire una strategia resiliente in ambito di Disaster Recovery e Business Continuity;
• istituire procedure e processi appropriati per garantire, in maniera coerente e integrata, il monitoraggio e la gestione degli incidenti informatici, in un’ottica di prevenzione degli stessi, predisponendo altresì un sistema di segnalazione degli incidenti informatici da notificare alle Autorità competenti;
• svolgere dei test di resilienza digitale al fine di identificare punti deboli, carenze e lacune nella resilienza operativa digitale, attuando tempestivamente misure correttive;
• gestire i rischi informatici derivanti da terzi quali componenti integranti del proprio sistema di gestione dei rischi complessivi. Al riguardo, il Regolamento DORA prevede che gli operatori regolino il rapporto commerciale con i fornitori ICT inserendo, nei relativi accordi, specifiche clausole contrattuali anche al fine di garantire un adeguato monitoraggio delle attività svolte dai predetti soggetti.