Il Regolamento (UE) 2022/2554, meglio conosciuto come DORA (Digital Operational Resilience Act), è pienamente applicabile dal 17 gennaio 2025 e rappresenta uno dei più importanti interventi normativi europei in materia di resilienza operativa digitale del settore finanziario.
Il regolamento introduce un quadro armonizzato di requisiti volto a rafforzare la capacità degli enti finanziari di prevenire, resistere, rispondere e riprendersi dagli incidenti ICT, garantendo la continuità operativa anche in presenza di eventi cyber significativi.
DORA si articola in cinque pilastri fondamentali, tra cui la gestione del rischio ICT delle terze parti, che rappresenta uno degli aspetti più complessi da implementare, poiché interviene direttamente sulla governance dei rapporti tra banche, compagnie assicurative, SGR, imprese di investimento e l’intero ecosistema dei fornitori tecnologici che comprende sia i grandi provider cloud internazionali sia realtà software di dimensioni più contenute.
La crescente digitalizzazione del settore finanziario ha determinato una dipendenza strutturale da fornitori esterni per l’erogazione di funzioni essenziali o importanti: dai sistemi di core banking ai servizi di cloud computing, dalle piattaforme di pagamento alle soluzioni di intelligenza artificiale impiegate nei processi di gestione del rischio.
Ne consegue che un’interruzione del servizio, una vulnerabilità o un incidente che coinvolga un fornitore ICT può propagarsi rapidamente lungo la catena del valore, producendo effetti che possono estendersi ben oltre il singolo intermediario e incidere sulla stabilità dell’intero sistema finanziario.
Pertanto, la gestione del rischio ICT delle terze parti assume un ruolo centrale nella strategia di resilienza operativa richiesta da DORA.
Comprendere gli obblighi previsti dal regolamento, adottare adeguati processi di valutazione e mitigazione del rischio, definire clausole contrattuali conformi, integrare tali requisiti nella governance aziendale e dotarsi di strumenti tecnologici adeguati è oggi imprescindibile per garantire la resilienza della supply chain digitale e assicurare la conformità normativa.
Indice degli argomenti
Quali sono i requisiti del Regolamento DORA per il rischio ICT di terze parti
Il Regolamento DORA dedica al rischio di terze parti un intero capitolo (il Capo V, artt. 28-44), segno della centralità che il legislatore europeo attribuisce a questo tema.
L’impostazione di fondo è chiara: l’esternalizzazione di funzioni e servizi ICT non esime l’entità finanziaria dalla propria responsabilità in materia di gestione del rischio informatico che resta sempre in capo all’organo di gestione dell’entità stessa, indipendentemente da quanto sia stato affidato a soggetti terzi.
I pilastri normativi per la resilienza operativa digitale nel settore finanziario
DORA nasce dall’esigenza di armonizzare, a livello UE, un insieme di normative nazionali frammentate in materia di cyber security nel settore finanziario, sostituendo un mosaico di requisiti eterogenei con un quadro unico e direttamente applicabile in tutti gli Stati membri, senza necessità di recepimento tramite leggi nazionali.
Il regolamento si applica a una platea particolarmente ampia di soggetti: banche, istituti di pagamento e di moneta elettronica, imprese di investimento, gestori di fondi, compagnie assicurative e riassicurative, nonché, per la prima volta in modo esplicito, ai fornitori terzi di servizi ICT che rivestono un ruolo critico per il sistema finanziario nel suo complesso.
I cinque pilastri di DORA sono tra loro interconnessi, ovvero:
- la gestione del rischio ICT costituisce la base metodologica su cui si innestano gli altri obblighi;
- il reporting degli incidenti garantisce la tempestiva comunicazione alle autorità competenti;
- i test di resilienza operativa digitale, incluso il threat-led penetration testing per le entità più significative, verificano nella pratica l’efficacia delle misure adottate;
- la condivisione delle informazioni sulle minacce promuove una risposta collettiva del settore;
- la gestione del rischio di terze parti, infine, estende l’intero impianto di controllo anche ai fornitori esterni, riconoscendo che la resilienza operativa di un’entità finanziaria non può prescindere da quella dei soggetti da cui dipende tecnologicamente.
Un aspetto rilevante, spesso richiamato dagli operatori del settore, riguarda il rapporto tra DORA e la disciplina bancaria preesistente in materia di esternalizzazione, in particolare gli orientamenti EBA e i requisiti della CRD IV (Capital Requirements Directive) recepiti nella normativa di vigilanza prudenziale.
È importante chiarire che DORA non sostituisce integralmente questo impianto, ma lo specializza e lo rafforza sul piano della resilienza digitale, imponendo requisiti più stringenti in materia di monitoraggio continuo, concentrazione del rischio e vigilanza diretta sui fornitori critici, con un necessario lavoro di coordinamento per gli istituti già soggetti a obblighi di esternalizzazione ai sensi della normativa bancaria.
La classificazione dei fornitori di servizi ICT critici e importanti
È necessario sottolineare che non tutti i fornitori ICT sono soggetti alla stessa intensità di controllo.
DORA distingue innanzitutto tra fornitori che supportano funzioni essenziali o importanti dell’entità finanziaria e fornitori che supportano funzioni non critiche: solo i primi sono sottoposti al set completo di obblighi previsti dal regolamento, in un’ottica di proporzionalità che tiene conto della dimensione, del profilo di rischio e della complessità dell’entità finanziaria.
Inoltre, il regolamento introduce la categoria dei fornitori terzi critici di servizi ICT (Critical ICT Third-Party Providers, CTPP), soggetti a un regime di vigilanza diretta a livello europeo.
Le tre ESA (European Supervisory Authorities – Autorità Europee di Vigilanza) – i.e. EBA (European Banking Authority – Autorità Bancaria Europea), EIOPA (European Insurance and Occupational Pensions Authority – Autorità europea delle assicurazioni e delle pensioni aziendali o professionali) ed ESMA (European Securities and Markets Authority – Autorità europea degli strumenti finanziari e dei mercati) – identificano annualmente i CTPP sulla base dei dati raccolti attraverso i registri informativi delle entità finanziarie, integrati da altri elementi disponibili, oltre ad assegnare a una di esse il ruolo di Lead Overseer per ciascun fornitore critico, responsabile di condurre le attività di vigilanza con il supporto di team congiunti composti da personale delle ESA e delle autorità nazionali competenti.
I criteri con cui un fornitore viene qualificato come “critico” non sono lasciati alla discrezionalità delle autorità, ma sono definiti da appositi standard tecnici e tengono conto, tra l’altro, della gravità di un’eventuale interruzione operativa sulla stabilità e sulla qualità dei servizi finanziari, del numero di entità finanziarie dipendenti dal fornitore, del valore complessivo delle loro attività, del ruolo sistemico delle entità che si affidano al servizio, del grado di dipendenza diretta o indiretta, anche tramite subappalto, e della complessità di un’eventuale sostituzione.
Tale meccanismo di vigilanza diretta – illustrato in dettaglio nella guida “Digital Operational Resilience Act (DORA): Oversight of critical third-party providers” pubblicata da EIOPA nel luglio 2025 – si articola in quattro strumenti principali: il monitoraggio continuo, tramite incontri periodici e raccolta di dati e documenti; le richieste di informazioni, semplici o formali; le indagini generali, che possono essere regolari, tematiche, mirate o di follow-up; le ispezioni, che prevedono il livello di intrusività maggiore, incluso l’accesso fisico ai locali e ai sistemi del fornitore.
Inoltre, all’esito delle verifiche, il Lead Overseer può emettere raccomandazioni e se il CTPP non le accetta senza una motivazione adeguata, la sua identità può essere resa pubblica e, nei casi più gravi, le autorità competenti possono arrivare a imporre alle entità finanziarie la cessazione del rapporto con il fornitore.
È importante sottolineare che questo regime di vigilanza diretta si affianca, senza sostituirla, alla responsabilità primaria che resta in capo a ciascuna entità finanziaria nella gestione del proprio rischio ICT di terze parti.
Nell’ambito del regime sanzionatorio, il quadro sanzionatorio di DORA distingue nettamente tra entità finanziarie e fornitori terzi critici. Per l’Italia, il D.lgs. 10 marzo 2025, n. 23 ha recepito il regolamento nell’ordinamento nazionale, inserendo negli articoli 144 e seguenti del Testo Unico Bancario, e nelle corrispondenti norme del TUF e del Codice delle Assicurazioni Private, un doppio binario di violazioni “più gravi” e “meno gravi”, con sanzioni pecuniarie per gli enti vigilati che possono arrivare, nei casi più severi, fino al 10% del fatturato annuo.
Inoltre, per i fornitori ICT critici designati a livello europeo è invece lo stesso regolamento a prevedere un regime diretto: il Lead Overseer può imporre pagamenti periodici di penalità fino all’1% del fatturato medio giornaliero mondiale del fornitore, calcolato sull’esercizio precedente, applicabile su base giornaliera per un periodo massimo di sei mesi consecutivi, fino al raggiungimento della conformità.
A questo si aggiunge, ai sensi dell’art. 54 del regolamento, l’obbligo per le autorità competenti di pubblicare le decisioni sanzionatorie sui propri siti istituzionali, con un effetto reputazionale che, per molti fornitori tecnologici, rappresenta un deterrente persino più incisivo della sanzione pecuniaria in sé.
Come valutare e mitigare il rischio derivante dai partner tecnologici
La gestione del rischio di terze parti, secondo DORA, non è un adempimento episodico, ma un processo strutturato che accompagna l’intero ciclo di vita del rapporto con il fornitore, ovvero: dalla fase di selezione – attraverso un’attenta due diligence – fino al monitoraggio continuo durante l’esecuzione del contratto e, quando necessario, alla gestione dell’uscita dal rapporto.
I criteri per la due diligence e l’analisi iniziale dei rischi
L’entità finanziaria, prima di stipulare un accordo contrattuale con un fornitore ICT, deve condurre una valutazione approfondita atta a verificare: se il servizio supporta una funzione essenziale o importante; il livello di concentrazione del rischio derivante dall’eventuale dipendenza da un numero limitato di fornitori; la solidità finanziaria e operativa del fornitore; la sua reputazione e le sue competenze tecniche; l’ubicazione geografica dei dati trattati e degli eventuali sub-fornitori coinvolti nella catena di fornitura.
Un elemento centrale di questa fase preliminare è la verifica della catena dei sub-fornitori. DORA richiede alle entità finanziarie di comprendere non solo con chi stanno contrattualizzando direttamente, ma anche chi, a valle, eroga effettivamente il servizio, soprattutto per le forniture ICT complesse basate su architetture cloud multilivello.
Tale analisi deve tradursi in una valutazione del rischio di concentrazione a livello di intero gruppo bancario o assicurativo: affidarsi a un numero troppo ristretto di fornitori critici, per funzioni analoghe in diverse società del gruppo, espone l’intera organizzazione a un rischio sistemico che le autorità di vigilanza monitorano con particolare attenzione.
Va inoltre distinta la valutazione preliminare – condotta prima della firma del contratto – dalla valutazione periodica che deve essere ripetuta durante l’intera durata del rapporto, specialmente in caso di modifiche sostanziali al servizio, di cambi di sub-fornitori o di eventi che possano incidere sul profilo di rischio complessivo della fornitura.
Tenendo presente il regime specifico per il subappalto ICT, la gestione dei sub-fornitori ha ricevuto un’attenzione normativa dedicata: il Regolamento delegato (UE) 2025/532, pubblicato in Gazzetta Ufficiale UE il 2 luglio 2025 in attuazione dell’art. 30, paragrafo 5 di DORA, disciplina in modo puntuale gli elementi che l’entità finanziaria deve determinare e valutare prima di autorizzare il subappalto di servizi ICT a supporto di funzioni essenziali o importanti.
Prima di consentire un subappalto di questo tipo, l’entità finanziaria deve condurre un’apposita due diligence anche sul subappaltatore, valutare i rischi connessi alla sua localizzazione geografica, accertarsi che esistano meccanismi di monitoraggio, audit e controllo esercitabili non solo dal fornitore diretto ma anche dall’entità finanziaria stessa, verificare l’assenza di ostacoli all’esercizio dei diritti di audit e ispezione da parte delle autorità competenti e valutare l’impatto della catena di subappalto sul rischio di concentrazione ICT complessivo.
Inoltre, sotto il profilo contrattuale, il regolamento delegato richiede che gli accordi con i fornitori diretti: indichino con chiarezza quali servizi possano essere affidati in subappalto; impongano obblighi di comunicazione tempestiva su ogni modifica sostanziale alla catena di subappalto (soggetta ad approvazione preventiva dell’entità finanziaria); includano gli obblighi relativi ai piani operativi di emergenza; prevedano un diritto di recesso in caso di subappalto non autorizzato o di violazione sostanziale dei termini concordati.
Tale impianto si affianca alle “Guidelines on Outsourcing arrangements” pubblicate dall’EBA nel 2019, tuttora rilevanti per gli intermediari bancari e finanziari, che ribadiscono un principio cardine dell’intera disciplina: l’esternalizzazione di una funzione operativa, per quanto estesa, non comporta mai la delega delle responsabilità dell’organo di amministrazione, che resta pienamente responsabile anche per l’operato dei sub-fornitori più remoti nella catena.
Il monitoraggio continuo delle prestazioni e delle vulnerabilità dei fornitori
La due diligence iniziale non esaurisce gli obblighi dell’entità finanziaria, che deve mantenere nel tempo il monitoraggio attivo delle prestazioni e della postura di sicurezza del fornitore, la verifica costante del rispetto dei livelli di servizio concordati (Service Level Agreement – SLA), l’analisi degli esiti di eventuali audit e test di sicurezza, il monitoraggio delle vulnerabilità note che potrebbero interessare i sistemi utilizzati per l’erogazione del servizio e la valutazione tempestiva di eventuali incidenti di sicurezza occorsi presso il fornitore stesso.
Un ruolo centrale in questo processo è svolto dal Registro delle informazioni (Register of Information – ROI), lo strumento che le entità finanziarie sono tenute a mantenere e aggiornare, a livello di singola entità e su base consolidata e sub-consolidata, in relazione a tutti gli accordi contrattuali per l’utilizzo di servizi ICT forniti da terzi.
Ancora, il Regolamento delegato (UE) 2024/2956 definisce il formato standardizzato del ROI, da compilare secondo il template previsto in allegato, senza possibilità di modifiche, includendo informazioni su: l’entità finanziaria; il perimetro di consolidamento; i contratti sottoscritti con i fornitori (compresi quelli infragruppo); i fornitori diretti e gli eventuali sub-appaltatori; la funzione aziendale destinataria del servizio; la valutazione dei fornitori a supporto di funzioni essenziali o importanti.
Le informazioni relative agli accordi contrattuali già cessati devono essere conservate per almeno cinque anni dopo la cessazione della fornitura del servizio ICT.
È importante evidenziare che il ROI non rappresenta un semplice adempimento documentale, bensì costituisce uno strumento strategico di governance.
In particolare, per le entità finanziarie, il ROI consente di ottenere una visione completa, centralizzata e costantemente aggiornata delle dipendenze tecnologiche e dei servizi ICT erogati da fornitori terzi, migliorando il controllo del rischio operativo e della resilienza digitale.
Mentre, per le autorità di vigilanza, il registro costituisce la base informativa utilizzata per l’identificazione annuale dei fornitori terzi critici di servizi ICT sottoposti alla vigilanza diretta a livello europeo.
Quali clausole contrattuali sono obbligatorie per la compliance DORA
L’articolo 30 di DORA elenca in modo puntuale il contenuto minimo che devono avere gli accordi contrattuali con i fornitori di servizi ICT, distinguendo tra clausole richieste per tutti i contratti e clausole aggiuntive obbligatorie, quando il servizio supporta una funzione essenziale o importante.
Tra gli elementi imprescindibili figurano: una descrizione chiara e completa di tutte le funzioni e i servizi ICT forniti; l’indicazione dei luoghi in cui i dati saranno trattati ed elaborati; disposizioni sulla disponibilità, autenticità, integrità e riservatezza dei dati; livelli di servizio misurabili con target di performance quantitativi e qualitativi; obblighi di assistenza in caso di incidente ICT senza costi aggiuntivi o a costi predeterminati; obblighi di cooperazione con le autorità competenti.
Diritti di audit e accesso ai dati per gli istituti finanziari
Uno dei requisiti contrattuali più delicati da negoziare riguarda i diritti di accesso, ispezione e audit. DORA impone che l’entità finanziaria, le autorità competenti e il revisore designato abbiano, sia in condizioni ordinarie sia in situazioni di emergenza, pieno diritto di accedere, ispezionare e sottoporre ad audit il fornitore di servizi ICT, comprese le sedi in cui viene erogato il servizio e i sistemi utilizzati.
Inoltre, tale diritto – per i fornitori che supportano funzioni essenziali o importanti – deve essere esercitabile senza restrizioni ingiustificate, con modalità e frequenza concordate ma, comunque, tali da garantire un controllo effettivo – e non meramente formale – sulla postura di sicurezza del fornitore.
Ciò si traduce nella prassi contrattuale nella necessità di negoziare clausole specifiche su: preavviso minimo per gli audit ordinari; possibilità di condurre audit straordinari in caso di incidente o sospetto di non compliance; diritto di coinvolgere terze parti indipendenti per condurre le verifiche; accesso a documentazione tecnica dettagliata anche relativa ai sub-fornitori coinvolti nella catena di erogazione del servizio.
Per i grandi fornitori cloud, che tipicamente servono centinaia di clienti finanziari con contratti standardizzati, l’esercizio individuale di questi diritti di audit può risultare complesso. Molte entità finanziarie fanno quindi ricorso ad audit pooled, ossia verifiche condotte congiuntamente da più istituti finanziari sui loro fornitori terzi di servizi ICT, così da ottimizzare i costi, condividere competenze specialistiche ed evitare la cosiddetta “fatica da audit”.
Strategie di uscita e piani di transizione senza interruzione operativa
DORA richiede espressamente che i contratti relativi a funzioni essenziali o importanti prevedano strategie di uscita documentate, con periodi di transizione adeguati durante i quali il fornitore continua a fornire le funzioni o i servizi interessati, riducendo il rischio di interruzione dell’attività, oltre a garantire la compliance continua ai requisiti regolamentari e assicurare la continuità operativa dell’entità finanziaria fino al completo trasferimento del servizio a un fornitore alternativo o alla sua reinternalizzazione.
Inoltre, un piano di uscita efficace deve individuare in anticipo – e non solo al momento della cessazione del rapporto – gli scenari che potrebbero rendere necessaria la transizione (i.e. mancata conformità del fornitore, deterioramento della qualità del servizio, insolvenza o cessazione dell’attività del fornitore stesso, ecc.) e prevedere per ciascuno di essi un piano operativo con tempistiche realistiche, risorse dedicate e modalità di trasferimento sicuro dei dati.
Ancora, le entità finanziarie sono altresì chiamate a testare periodicamente la fattibilità concreta di tali piani, verificando ad esempio la reale portabilità dei dati e delle applicazioni verso un fornitore alternativo, e non limitarsi a una previsione contrattuale astratta priva di riscontro operativo. Per i servizi maggiormente critici – in particolare quelli erogati da un unico fornitore cloud senza alternative immediatamente disponibili – tale attività di pianificazione dell’uscita rappresenta uno degli aspetti più complessi, ma anche più rilevanti, dell’intera compliance DORA sul rischio di terze parti.
Come integrare la gestione dei terzi nel quadro di governance aziendale
La gestione del rischio ICT di terze parti non può essere delegata esclusivamente alla funzione IT o al procurement. DORA attribuisce agli organi direttivi dell’entità finanziaria una responsabilità diretta e non delegabile nella supervisione di questo processo, richiedendo il coinvolgimento strutturato di più funzioni aziendali lungo l’intero ciclo di vita del rapporto con i fornitori.
Il ruolo del Consiglio di Amministrazione nella supervisione dei rischi ICT
L’articolo 5 di DORA attribuisce agli organi direttivi dell’entità finanziaria la responsabilità ultima della gestione del rischio ICT, compreso quello derivante dai fornitori terzi di servizi ICT. Tale responsabilità non può essere delegata né trasferita al fornitore, anche quando il servizio è completamente esternalizzato.
Di fatto, tale principio rafforza il concetto di accountability del Consiglio di Amministrazione (CdA), che rimane responsabile della resilienza operativa digitale dell’organizzazione.
Il CdA è chiamato ad approvare, riesaminare periodicamente e monitorare l’attuazione della strategia di gestione del rischio ICT associato ai fornitori terzi. Deve inoltre definire ruoli e responsabilità chiari all’interno dell’organizzazione, approvare gli accordi contrattuali relativi alle funzioni essenziali o importanti e ricevere una reportistica periodica sull’esposizione ai rischi ICT, sulle vulnerabilità individuate e sulle misure di mitigazione adottate.
L’articolo 28 del DORA introduce specifici requisiti organizzativi per le entità finanziarie di maggiori dimensioni che devono designare un membro degli organi direttivi o un dirigente di alto livello come responsabile della supervisione del rischio derivante dagli accordi contrattuali con i fornitori di servizi ICT, oltre ad istituire una funzione dedicata al monitoraggio di tali rapporti.
Di fatto, tale ruolo è spesso affidato a una struttura di Third Party Risk Management (TPRM), che opera in stretta collaborazione con le funzioni di procurement, cybersecurity, compliance, risk management e gestione dei fornitori.
Infine, per garantire una governance realmente efficace, DORA sottolinea anche l’importanza della formazione continua dei componenti del CdA sui temi della resilienza digitale e della gestione del rischio ICT.
L’obiettivo è assicurare che la supervisione del board non si limiti a un adempimento formale, ma si traduca in decisioni consapevoli, fondate su una concreta comprensione dei rischi tecnologici, delle dipendenze dai fornitori ICT e del loro potenziale impatto sulla continuità operativa e sulla stabilità dell’entità finanziaria.
Registro delle informazioni e reportistica verso le autorità di vigilanza
È importante evidenziare che DORA, oltre alla governance interna, impone un flusso informativo strutturato verso le autorità di vigilanza nazionali, in Italia rappresentate principalmente da Banca d’Italia, CONSOB e IVASS, a seconda della natura dell’entità finanziaria vigilata.
Il ROI, oltre alla sua funzione di controllo interno, deve essere trasmesso annualmente all’autorità competente in un formato standardizzato. Le entità finanziarie italiane trasmettono il proprio ROI in formato .zip a Banca d’Italia, che a sua volta lo inoltra alle Autorità europee di vigilanza entro il 30 aprile di ogni anno, ai fini dell’identificazione annuale dei fornitori terzi critici.
Ancora, DORA richiede l’obbligo di notifica tempestiva in caso di modifiche sostanziali agli accordi contrattuali relativi a funzioni essenziali o importanti, nonché la reportistica connessa alla gestione degli incidenti ICT significativi che coinvolgano fornitori terzi, secondo le tempistiche e i formati stabiliti dalle norme tecniche di regolamentazione (Regulatory Technical Standards – RTS) e dagli standard tecnici di attuazione (Implementing Technical Standards – ITS) che accompagnano il regolamento.
Integrare questi obblighi di reportistica nei processi aziendali esistenti, anziché trattarli come un adempimento a sé stante, consente alle entità finanziarie di ridurre significativamente il carico amministrativo e di disporre – allo stesso tempo – di informazioni sempre aggiornate e coerenti da utilizzare sia per la governance interna sia per i rapporti con le autorità di vigilanza.
Quali soluzioni tecnologiche adottare per garantire la resilienza della filiera
DORA richiede alle entità finanziarie di dotarsi di soluzioni tecniche adeguate a proteggere concretamente l’accesso dei fornitori ai propri sistemi e a mantenere un controllo puntuale sull’intera catena di fornitura tecnologica, in coerenza con i principi generali di gestione del rischio ICT stabiliti nel Capo II del regolamento.
Architetture zero trust e controllo degli accessi per i sistemi finanziari
L’adozione di un modello Zero Trust rappresenta oggi una delle risposte tecniche più efficaci per limitare l’esposizione derivante dall’interconnessione con i sistemi dei fornitori. Ogni richiesta di accesso, anche da parte di soggetti terzi ritenuti affidabili e già autorizzati in passato, deve essere verificata e autenticata puntualmente, senza fiducia implicita basata sulla provenienza della connessione.
In particolare, nel contesto finanziario – dove l’accesso di fornitori esterni può riguardare sistemi core banking, piattaforme di pagamento o infrastrutture di trading – tale approccio richiede: una segmentazione granulare delle reti, in modo che ciascun fornitore possa accedere esclusivamente ai sistemi strettamente necessari per l’erogazione del proprio servizio; l’adozione sistematica dell’autenticazione a più fattori per ogni accesso da remoto; l’applicazione rigorosa del principio del privilegio minimo, con permessi assegnati in modo puntuale e rivisti periodicamente.
Inoltre, va riservata particolare attenzione ai fornitori che dispongono di accessi privilegiati o amministrativi ai sistemi dell’entità finanziaria, spesso i più critici in termini di impatto potenziale in caso di compromissione.
Molte entità finanziarie, per questa categoria di fornitori, adottano soluzioni di Privileged Access Management (PAM) che consentono di concedere accessi con privilegi elevati solo per il tempo strettamente necessario, con registrazione integrale delle sessioni e con possibilità di interruzione immediata in caso di comportamento anomalo.
Gestione centralizzata delle identità e tracciamento degli accessi esterni
A completamento del modello Zero Trust, le entità finanziarie devono dotarsi di sistemi di gestione centralizzata delle identità (Identity and Access Management – IAM) in grado di governare in modo unitario le identità digitali di dipendenti, consulenti e fornitori esterni, superando la proliferazione di credenziali gestite in modo autonomo dalle singole funzioni aziendali.
Di fatto, un sistema IAM maturo consente di: automatizzare il provisioning e il de-provisioning degli accessi dei fornitori in base alla durata effettiva del contratto; applicare policy di accesso coerenti su tutti i sistemi coinvolti; revocare tempestivamente le credenziali al termine del rapporto contrattuale, un aspetto spesso trascurato ma che rappresenta una delle vulnerabilità più comuni riscontrate in sede di audit.
Altrettanto importante è la capacità di tracciare in modo continuo e granulare ogni accesso esterno ai sistemi dell’entità finanziaria, attraverso strumenti di logging centralizzato e correlazione degli eventi che permettano di ricostruire in tempo reale chi ha avuto accesso a quali sistemi, con quali privilegi e per quale finalità.
Tale capacità di tracciamento, oltre ad essere utile ai fini di sicurezza operativa, costituisce anche una componente essenziale della capacità dell’entità finanziaria di rispondere tempestivamente alle richieste di informazione delle autorità di vigilanza in caso di incidente e di alimentare, con dati affidabili, il proprio ROI e i processi di monitoraggio continuo dei fornitori descritti nei paragrafi precedenti.
Inoltre, l’integrazione tra i sistemi di IAM, gli strumenti di monitoraggio della sicurezza (SIEM – Security Information and Event Management/SOC – Security Operations Center) e il registro dei fornitori rappresenta il passaggio più maturo verso una gestione realmente integrata e automatizzata del rischio ICT di terze parti.
Un nuovo paradigma nella gestione del rischio ICT di terze parti
Il Regolamento DORA ha introdotto per il settore finanziario europeo un nuovo paradigma nella gestione del rischio ICT di terze parti, definendo uno standard di governance molto più evoluto rispetto alla tradizionale due diligence contrattuale.
La compliance non si limita più alla verifica iniziale dei fornitori, ma richiede la gestione dell’intero ciclo di vita del rapporto con i provider di servizi ICT: dalla classificazione del rischio alla selezione del fornitore, dalla negoziazione di clausole contrattuali specifiche in materia di audit, resilienza e strategie di uscita, fino al monitoraggio continuo delle prestazioni, alla supervisione da parte del Consiglio di Amministrazione e all’adozione di controlli tecnologici coerenti con un modello Zero Trust.
Checklist operativa per la compliance DORA sui fornitori ICT
Le entità finanziarie sono, quindi, chiamate a sviluppare un modello di Third Party Risk Management (TPRM) realmente integrato, capace di coniugare compliance normativa, cybersecurity, resilienza operativa e continuità del business.
L’obiettivo non è soltanto soddisfare i requisiti previsti da DORA, ma rafforzare la capacità dell’organizzazione di prevenire, individuare e gestire i rischi derivanti dall’ecosistema dei fornitori ICT.
A tal proposito, ecco una checklist operativa per la compliance DORA sui fornitori ICT:
- Mappare tutti gli accordi ICT con fornitori terzi e aggiornarli nel Registro delle informazioni.
- Classificare i servizi in base al supporto a funzioni essenziali o importanti.
- Condurre una due diligence iniziale e periodica sui fornitori e sui sub-fornitori rilevanti.
- Verificare che i contratti includano diritti di audit, obblighi di cooperazione, livelli di servizio, gestione degli incidenti e strategie di uscita.
- Monitorare continuativamente prestazioni, vulnerabilità, incidenti e concentrazione del rischio.
- Integrare la reportistica DORA nei processi di governance, risk management, compliance, procurement e cybersecurity.
- Adottare controlli tecnologici coerenti con i principi Zero Trust, IAM, PAM, logging e monitoraggio centralizzato.
Conclusioni
Le organizzazioni che adotteranno questo approccio in modo strutturato non solo ridurranno la propria esposizione ai rischi operativi e sistemici connessi alla dipendenza tecnologica da terze parti, ma trasformeranno la resilienza della propria supply chain digitale in un vantaggio competitivo.
Una governance efficace dei fornitori ICT rappresenterà, di fatto, un elemento distintivo di affidabilità e trasparenza nei confronti di clienti, investitori e autorità di vigilanza, contribuendo a rafforzare la fiducia nel contesto di un mercato finanziario sempre più digitale, interconnesso e caratterizzato da crescenti minacce informatiche.
Partecipa alla community