Tra i principali aspetti normati dal Regolamento DORA, vi è la disciplina sulla comunicazione e condivisione delle informazioni relativi ai rischi e alle minacce informatiche. In cosa si sostanziano tali adempimenti e perché il legislatore europeo li ha previsti?
Vediamo più nel dettaglio qui di seguito.
Il DORA è operativo. Così cambia la cyber security nella finanza europea
Indice degli argomenti
Comunicazione e condivisione delle informazioni sui rischi cyber
Nel contesto del sistema finanziario integrato a livello europeo, la crescente complessità e sofisticatezza dei rischi informatici, così come i dubbi degli operatori finanziari sul tipo di informazioni condivisibili con gli altri partecipanti al mercato o con autorità diverse da quelle di vigilanza, sono stati alcuni tra i principali motivi che hanno spinto il legislatore europeo ad estendere il perimetro dell’intervento normativo realizzato con il Regolamento DORA anche agli ambiti della comunicazione e della condivisione di informazioni sui rischi e sulle minacce informatiche.
In assenza di orientamenti a livello europeo, alcuni fattori hanno nel tempo ostacolato la condivisione di informazioni qualitativamente e quantitativamente “preziose” e certamente utili per arginare i rischi informatici.
La relazione tra i due aspetti (comunicazione/condivisione di informazioni sui rischi da una parte e misure di attenuazione dei rischi dall’altra) è evidente se si considera che, partendo dalle conoscenze e dalle esperienze pratiche acquisite a livello individuale, la comunicazione e la condivisione delle informazioni relative alle minacce e alle vulnerabilità tra le entità finanziarie consente di:
- definire politiche collettive di prevenzione, individuazione, valutazione, monitoraggio dei rischi informatici;
- accrescere la capacità delle entità finanziarie di impedire che gli stessi rischi possano trasformarsi in incidenti concreti connessi alle tecnologie dell’informazione e della comunicazione (TIC);
- arginare in maniera più efficace l’impatto degli incidenti connessi alle TIC e di effettuare un ripristino più rapido.
“La condivisione delle informazioni contribuisce a creare una maggiore consapevolezza delle minacce informatiche” (cfr. Considerando 32 Regolamento DORA)”.
“È perciò necessario consentire l’emergere a livello dell’Unione di meccanismi volontari di condivisione delle informazioni i quali, se attuati in ambienti sicuri, aiuterebbero la comunità del settore finanziario a prevenire le minacce informatiche e a rispondervi collettivamente, contenendo rapidamente la diffusione dei rischi informatici e impedendo il potenziale contagio tramite i canali finanziari” (cfr. Considerando 34 Regolamento DORA).
La comunicazione delle informazioni sui rischi cyber
Il profilo della comunicazione delle informazioni sui rischi informatici è espressamente disciplinato dall’art. 14 del Regolamento DORA, che prevede in capo alle entità finanziarie, all’interno del quadro per la gestione dei rischi ICT, la predisposizione ed attuazione di:
- piani di comunicazione delle crisi;
- politiche di comunicazione per il personale interno e per i portatori di interessi esterni.
I piani di comunicazione delle crisi, in particolare, sono finalizzati a permettere all’entità finanziaria la divulgazione responsabile ai clienti, alle controparti e al pubblico delle informazioni riguardanti gravi incidenti connessi alle TIC ovvero la sussistenza di vulnerabilità.
Le politiche di comunicazione sono invece rivolte al personale interno e ai portatori di interessi esterni. Nell’ambito delle politiche di comunicazione, il personale interno è distinto tra personale coinvolto nella gestione dei rischi informatici (in particolare quello responsabile della risposta e del ripristino) e personale non coinvolto, che è comunque pur sempre destinatario delle suddette informazioni.
A tal fine, le entità finanziarie sono chiamate ad individuare almeno una persona incaricata dell’attuazione della strategia di comunicazione per gli incidenti connessi alle TIC e dell’assolvimento a tal fine della funzione di informazione al pubblico e ai media.
I meccanismi di condivisione delle informazioni
Sulla stessa scia degli adempimenti di comunicazione si collocano i meccanismi di condivisione delle informazioni, previsti dall’art. 45 del Regolamento DORA.
In sostanza, il DORA riconosce alle entità finanziarie la possibilità di scambiarsi reciprocamente informazioni e analisi delle minacce informatiche, sempre che tale condivisione:
- potenzi la loro resilienza operativa digitale, aumentando la consapevolezza sulle minacce informatiche e migliorando la capacità di difesa, di individuazione delle minacce, nonché la capacità di risposta e ripristino;
- avvenga entro quelle che il DORA individua come “comunità fidate di entità finanziarie”;
- si realizzi nella piena tutela delle potenziali informazioni sensibili e alla luce di norme di condotta pienamente rispettose della riservatezza dell’attività economica, della protezione dei dati personali ai sensi del Regolamento (UE) 2016/679 (GDPR) e delle linee guida sulla politica in materia di concorrenza.
I meccanismi di condivisione delle informazioni devono, inoltre, prevedere l’eventuale coinvolgimento delle autorità pubbliche e dei fornitori terzi di servizi TIC, nonché gli elementi operativi a tal fine predisposti (come, ad esempio, l’utilizzo di apposite piattaforme informatiche).
Infine, si prevede che la volontà di partecipazione ai meccanismi di condivisione sia notificata alle autorità competenti.
Il Regolamento DORA incoraggia anche le Autorità di Vigilanza Europea (AEV) ad istituire meccanismi per facilitare la condivisione di pratiche efficaci tra i vari settori finanziari, al fine di migliorare la consapevolezza e l’identificazione dei rischi e delle vulnerabilità informatiche comuni a tutti i settori.
Considerazioni finali
Le nuove disposizioni, introdotte con il Regolamento DORA, ribadiscono la particolare sensibilità del legislatore europeo verso la dimensione sistemica nell’ambito delle strategie di cyber security.
Di fatto, il DORA spinge molto verso la condivisione delle informazioni sui diversi livelli (tra soggetti interni, tra soggetti esterni all’entità finanziaria, ma anche tra le autorità competenti), individuando proprio nell’information sharing uno degli strumenti fondamentali per arginare, mitigare, affrontare e superare le minacce informatiche e le vulnerabilità del sistema.
Non rimane che auspicare una pronta e reattiva adesione da parte degli operatori a vario titolo coinvolti anche rispetto agli adempimenti di comunicazione e condivisione delle informazioni, atteso che l’identificazione di rischi comuni e la predisposizione di politiche condivise per far fronte a tali rischi senza dubbio rappresenta l’approccio più efficace nell’ambito del sistema finanziario integrato europeo. Ma sarà sostenibile?
