Regolamento DORA: le novità nella gestione degli incidenti e nei test di resilienza

Proseguendo nel nostro percorso di analisi e approfondimento delle novità introdotte dal Regolamento DORA, ci dedicheremo nel presente articolo a due pilastri su cui il DORA poggia:

1. gestione degli incidenti e reporting;
2. pianificazione ed esecuzione di test di resilienza operativa digitale.

Il DORA è operativo. Così cambia la cyber security nella finanza europea

Il quadro normativo

Nell’ambito bancario e assicurativo, non è sicuramente nuova la centralità dell’individuazione, gestione e segnalazione degli incidenti.

Il quadro normativo attuale presenta però un’articolazione complessa e frammentata per quanto riguarda l’incident management: si parte dalla circolare n. 285/2013 di Banca d’Italia (Disposizioni di vigilanza per le banche), per arrivare alla normativa europea PSD2 (Direttiva Ue 2015/2366, relativa ai servizi di pagamento nel mercato interno) e alle Linee Guida Eba n. 2021/03 (in materia di segnalazione dei gravi incidenti ai sensi della PSD2).

Passando all’ambito assicurativo, la gestione di eventuali incident è disciplinata negli “Orientamenti sulla sicurezza e sulla governance della tecnologia dell’informazione e comunicazione”, documento n. 20/600, emanato dall’Autorità europea delle assicurazioni e delle pensioni aziendali e professionali (EIOPA).

Come ulteriore step di consolidamento e rafforzamento degli obiettivi di cybersecurity, nella cornice normativa è da contemplare, altresì, la direttiva NIS2 (Direttiva Ue 2022/2555, relativa a misure per un livello comune elevato di cibersicurezza nell’Unione).

La normativa sopra citata, infatti, tratta la gestione degli incidenti in maniera diversa, definendo tempi, modalità e criteri, spesso non coerenti, tra loro, che si traducono in obblighi (quindi tempi e costi aggiuntivi) per banche e assicurazioni altrettanto ridondanti e laboriosi.

In un mondo finanziario, dove le realtà spesso si ritrovano a gestire prodotti bancari, finanziari e assicurativi in un’unica offerta alla clientela, ovviamente queste discrepanze non sono più sostenibili.

Allo stesso modo, si pensi ad un incidente di sicurezza che colpisca il sistema informatico che ospita un servizio di c.d. Open Banking: sarebbero coinvolti ovviamente anche dati personali. In questo caso, fino a quando il Regolamento DORA non acquisterà piena efficacia, l’entità finanziaria dovrà procedere con tre comunicazioni diverse, a tre Autorità distinte con tre tempistiche differenti, come più avanti meglio evidenziato. Che tradotto vuol dire: costi, effort specialistico/consulenziale, impiego di personale normalmente impegnato su altri fronti del business e, ultimo, ma sicuramente non in una logica di importanza, un aumentato rischio di errore con conseguenti sanzioni a livello compliance.

Il regolamento DORA va ad ottimizzare questi processi, in termini di modalità, destinatari delle comunicazioni e tempistiche, introducendo flussi e criteri di classificazione omogenei, addirittura a livello europeo, e uniformando la normativa applicabile a tutti i soggetti che operano nel mondo finanziario.

Entriamo ora nel dettaglio di quanto prevede la nuova normativa in ambito di incident management e test di resilienza operativa digitale.

Il quadro per la gestione degli incidenti

Le entità finanziarie dovranno, innanzitutto, istituire processi per garantire il monitoraggio e il trattamento degli incidenti connessi alle TIC, nonché le relative conseguenze, in modo da identificare ed eliminare le cause di fondo e prevenire il verificarsi di tali incidenti.

Il processo di Incident Management è un processo fondamentale e necessario per evitare o minimizzare impatti di tipo economico o reputazionale, e poter ripristinare nel più breve tempo possibile la normale erogazione dei servizi.

Consapevole dell’importanza rivestita da questo essenziale processo, il legislatore, sia a livello nazionale che europeo, negli ultimi anni, ha regolato la materia attraverso numerose normative con l’ovvia conseguenza di creare un quadro regolamentare frammentario e difficilmente gestibile dalle organizzazioni.

Oltre quanto già sopra evidenziato, volendo riferirsi anche al quadro normativo applicabile non solo all’ambito bancario e assicurativo, la frammentarietà della normativa applicabile impatta in modo “esplosivo” nella classificazione e nelle modalità di segnalazione degli incidenti:

1. a livello europeo la PSD2 (art. 96 e Linee Guida EBA 10 giugno 2021) classifica gli incidenti sulla base di 8 criteri con le relative soglie, e la segnalazione dei «major incidents» avviene entro 4 ore;
2. il GDPR definisce il data breach e prevede la notifica al Garante (e agli interessati in casi gravi) entro 72 ore;
3. la Direttiva NIS2, pubblicato lo scorso 27/12/2022, classifica gli incidenti sulla base di 3 criteri, e prevede la segnalazione all’Autorità nazionale competente (o al CSIRT nazionale) «senza ingiustificato ritardo».

In ambito nazionale, Banca d’Italia classifica gli incidenti sulla base di 10 criteri con relative soglie e la segnalazione avviene entro 2 ore (4 ore per le entità «less significant»); il Perimetro Nazionale di Sicurezza Cibernetica, inoltre, riporta la propria «tassonomia degli incidenti» in funzione della quale calibrare le tempistiche di segnalazione al CSIRT (da 1 a 6 ore).

Come già sottolineato, con lo scopo di armonizzare ed uniformare le precedenti disposizioni, il Regolamento DORA pone, a differenza delle altre normative, l’accento sulla resilienza del mercato finanziario europeo nel suo complesso, offrendo alle entità finanziarie strumenti comuni per la classificazione e segnalazione degli incidenti, oltre ad un modello di processo per una efficace gestione degli stessi.

Infatti, i requisiti del Capo II «Gestione dei Rischi relativi alle TIC» e del Capo III «Incidenti connessi alle TIC», delineano un processo di gestione, reporting e segnalazione degli incidenti semplificabile nelle 6 macro-fasi trattate precedentemente (Identificazione, Protezione e Prevenzione, Individuazione, Risposta e Ripristino, Apprendimento ed Evoluzione, Reporting e Comunicazione), ognuna delle quali è profondamente interconnessa con le altre.

Ne consegue che, la corretta strutturazione del processo e l’adozione delle tecnologie, abilitano la tempestiva ed efficace risposta in caso di incidente, preservando la continuità dei servizi erogati. Il Regolamento Dora identifica i seguenti adempimenti per una corretta prevenzione e gestione degli incidenti:

1. stabilire procedure per identificare, seguire, registrare, categorizzare e classificare gli incidenti connessi alle TIC in base alla loro priorità, nonché alla gravità e alla criticità dei servizi colpiti;
2. assegnare i ruoli e le responsabilità che è necessario attivare per i diversi scenari e tipi di incidenti connessi alle TIC;
3. elaborare piani per la comunicazione al personale e agli stakeholders esterni, e per la notifica ai clienti, nonché per le procedure di attivazione dei livelli successivi di intervento, compresi i reclami dei clienti in materia di TIC, e la comunicazione di informazioni alle entità finanziarie che agisce da controparti, a seconda dei casi;
4. assicurare la segnalazione degli incidenti gravi connessi alle TIC agli alti dirigenti interessati e informare l’organo di gestione in merito a detti incidenti, illustrandone l’impatto e la risposta e i controlli supplementari da introdurre;
5. stabilire procedure di risposta agli incidenti connessi alle TIC per attenuarne l’impatto e garantire tempestivamente l’operatività e la sicurezza dei servizi.

Infine, un ulteriore aspetto innovativo riportato dal regolamento, relativo alla fase di comunicazione, riguarda l’introduzione del principio di “Responsible Disclosure”, nonché di requisiti specifici per un’adeguata comunicazione interna.

In particolare, dovranno essere chiaramente distinte le comunicazioni verso i soggetti che si occupano della gestione dei rischi e dell’incidente, da quelle verso il resto il personale che dovrà essere informato sull’evento; inoltre, dovrà essere identificata almeno una figura che gestisca la comunicazione verso il pubblico e i media, sulla base di procedure e modalità predefinite.

Classificazione degli incidenti

All’interno del quadro per la gestione degli incidenti, la prima e fondamentale attività da svolgere è l’identificazione e classificazione.

Nel regolamento DORA i criteri per la classificazione degli incidenti sono 6, e sono riportati nell’articolo 18:

1. il numero di utenti o controparti finanziarie colpiti dalla perturbazione provocata dall’incidente connesso alle TIC e il fatto che tale incidente abbia provocato o meno un impatto reputazionale
2. la durata dell’incidente connesso alle TIC, compreso il periodo di inattività del servizio
3. l’estensione geografica dell’incidente connesso alle TIC, con riferimento alle aree colpite, in particolare se interessa più di due Stati membri
4. le perdite di dati derivanti dall’incidente connesso alle TIC, come la perdita di integrità, riservatezza o disponibilità
5. la criticità dei servizi colpiti, comprese le operazioni dell’entità finanziaria
6. l’impatto economico dell’incidente connesso alle TIC in termini sia assoluti che relativi

Segnalazione degli incidenti gravi

Dal punto di vista della segnalazione all’autorità competente degli «incidenti gravi» (la cui definizione che leggiamo è all’articolo 3, comma 10) è disciplinata all’articolo 19, e prevede modalità e tempistiche differenziate:

1. notifica iniziale, senza indugio e in ogni caso entro la fine del giorno lavorativo oppure entro quattro ore dall’inizio del giorno lavorativo successivo (nel caso di un incidente grave che si sia verificato meno di due ore prima della fine del giorno lavorativo) e in ogni caso (qualora non siano disponibili canali di segnalazione) non appena questi diventino disponibili;
2. relazione intermedia, entro una settimana dalla notifica iniziale (seguita, a seconda dei casi, da notifiche aggiornate ogni qualvolta sia disponibile un aggiornamento della situazione), nonché su specifica richiesta dell’autorità competente;
3. relazione finale, quando l’analisi delle cause di fondo sia stata completata (indipendentemente dal fatto che le misure di attenuazione siano già state attuate) e quando al posto delle stime siano disponibili i dati dell’impatto effettivo, ma in ogni caso entro un mese dall’invio della notifica iniziale.

Per ultimo, il Regolamento Dora prevede che “Le entità finanziarie possono, su base volontaria, notificare le minacce informatiche significative all’autorità competente interessata qualora ritengano che la minaccia sia rilevante per il sistema finanziario, gli utenti dei servizi o i clienti.” (art. 19, comma 2), inviando in tal modo le entità finanziarie ad una maggiore responsabilizzazione e, quindi, a superare un approccio puramente passivo agli adempimenti richiesti.

Test di resilienza operativa digitale

Dopo aver inquadrato dettagliatamente il processo di gestione e comunicazione di eventuali incidenti, il Regolamento DORA ritorna, puntualmente ad insistere sui metodi di prevenzione degli stessi, introducendo, al capo IV, il “programma di test di resilienza operativa digitale”: non quindi una semplice “prova di funzionamento”, ma un vero e proprio sistema che “comprende una serie di valutazioni, test, metodologie, pratiche e strumenti da applicare conformemente agli articoli 25 e 26”.

Quindi, al fine di “valutare la preparazione alla gestione degli incidenti connessi alle TIC, di identificare punti deboli, carenze e lacune della resilienza operativa digitale e di attuare tempestivamente misure correttive” (art. 24, comma 1), le entità finanziare saranno obbligate a svolgere periodicamente “test adeguati, tra cui valutazione e scansione delle vulnerabilità, analisi open source, valutazioni della sicurezza delle reti, analisi delle carenze, esami della sicurezza fisica, questionari e soluzioni di scansione del software, esami del codice sorgente, ove fattibile, test basati su scenari, test di compatibilità, test di prestazione, test end-to-end e test di penetrazione” (art 25, comma 1) e “test avanzati sotto forma di test di penetrazione basati su minacce (TLPT) con cadenza almeno triennale”, la cui periodicità potrà essere modificata dall’autorità competente in base alle circostanze operative dell’entità finanziaria (art. 26, comma 1).

A questo punto è evidente come anche i fornitori di servizi terzi, sia che eroghino servizi TIC sia che siano responsabili dell’effettuazione dei TLPT, rivestano un ruolo fondamentale per il raggiungimento degli obiettivi posti dalla nuova normativa dovranno, infatti, quantomeno dimostrare di avere le caratteristiche minime per permettere all’entità finanziaria di rispettare il Regolamento DORA e i requisiti richiesti per lo svolgimento dei test. Alla gestione di tali “terze parti” dedicheremo il prossimo approfondimento.

L’approccio integrato

Da questa overview generale sulla gestione degli incidenti e sulla loro prevenzione, si evince chiaramente la complessità della governance di tali tematiche che devono essere affrontate in maniera integrata lavorando sulle leve di organizzazione, ruoli e responsabilità, processo e strumenti.

Ancora una volta sono richiamate competenze progettuali, informatiche, legali, di governance. E quando si parla di prevenzione e gestione delle minacce informatiche, soprattutto nel delicatissimo ambito finanziario, tutti le parti coinvolte, dall’entità finanziarie ai fornitori TIC e di sicurezza informatica, devono dimostrare di essere all’altezza di tale complessità. Ancora di più nelle relazioni con le Autorità Competenti.