DORA, pubblicate nuove norme tecniche e linee guida: ecco come cambia la gestione del rischio

Le Autorità europee di vigilanza (le ESA) hanno lanciato, lo scorso 8 dicembre, una consultazione pubblica sul second batch di norme di secondo livello ai sensi del Digital Operational Resilience Act (DORA). Il “pacchetto” comprende quattro progetti di norme tecniche di regolamentazione (RTS), un progetto di norma tecniche di attuazione (ITS) e due linee guida (GL). Vediamo nel dettaglio i documenti:

1. RTS e ITS sul contenuto, tempistica e modelli di notifica degli incidenti di sicurezza;
2. linee guida su costi e perdite aggregati derivanti dagli incidenti gravi;
3. RTS sugli accordi di subfornitura di servizi ICT critici;
4. RTS sull’armonizzazione della vigilanza;
5. linee generali sulla cooperazione in materia di vigilanza tra le AEV e le autorità competenti;
6. RTS sui test di penetrazione guidati dalle minacce (TLPT).

Le entità finanziarie sono invitate a presentare le loro considerazioni o domande entro il 4 marzo 2024 attraverso il form messo a disposizione sul sito delle ESA. Inoltre, è previsto un momento di pubblica udienza il 23 gennaio 2024 a cui è possibile registrarsi.

Benvenuto il DORA per quelli che sono rimasti indietro. Ma basterà?

DORA: in attesa dei regolamenti definitivi

Si attende gennaio 2024 per i regolamenti definitivi posti in consultazione lo scorso settembre. Il primo gruppo di norme tecniche di regolamentazione, attuazione e linee guida proposto, prevede strumenti che mirano a garantire un quadro giuridico coerente e armonizzato per la gestione del rischio ICT.

Terminata la consultazione, le Autorità sono quindi chiamate ad adottare gli atti definitivi delle seguenti norme:

1. RTS sul quadro di gestione del rischio ICT e RTS sul quadro semplificato di gestione del rischio ICT (Art. 15 e 16 DORA);
2. RTS sui criteri per la classificazione degli incidenti legati alle TIC (Art. 18 DORA);
3. ITS per stabilire i modelli per il registro delle informazioni dei servizi prestati da fornitori terzi (Art. 28 DORA);
4. RTS per specificare la politica sui servizi ICT prestati da fornitori terzi (Art. 28 DORA).

Si prevede che la documentazione definitiva cambi di poco rispetto alle bozze che abbiamo avuto modo di esaminare, comportando che le entità finanziarie possono adottare sin da ora un approccio proattivo per non trovarsi impreparati all’applicazione dei requisiti previsti dal Regolamento, che ricordiamo diventerà vincolante da gennaio 2025.

Sarà necessario, perciò, adottare azioni preliminari per quanto attiene i rapporti con le terze parti, dove, nello specifico, dovranno valutarsi:

1. la mappatura dei fornitori di servizi ICT (se esistente) e dei fornitori di servizi esternalizzati;
2. se gli accordi contrattuali riguardino una funzione critica o importante;
3. i dispositivi di governance per la gestione dei rischi relativi agli accordi contrattuali già esistenti, compresa la possibilità che tali accordi possano aggravare il rischio di concentrazione delle TIC.

Allo stesso tempo, per quanto riguarda gli adempimenti relativi al registro delle informazioni ai sensi dell’articolo 28 del Regolamento DORA, le entità finanziarie potrebbero già iniziare a recepire e personalizzare il modello di template fornito dall’ITS pubblicato dalle ESA.

Le nuove norme di secondo livello per il DORA

Per quanto riguarda l’ultima pubblicazione da parte delle ESA, in questa sede ci limiteremo ad illustrare brevemente il contenuto dei documenti in consultazione di maggiore interesse per le entità finanziarie e che riguardano i seguenti standard

RTS e ITS sul contenuto, tempistica e modelli di notifica degli incidenti di sicurezza

La bozza di RTS relativa ai dettagli di segnalazione degli incidenti gravi ai sensi del DORA copre tre aspetti distinti:

1. il contenuto dei rapporti sugli incidenti ICT classificati come gravi;
2. i termini per la presentazione di una notifica iniziale, dei rapporti intermedi e finali per ogni incidente grave;
3. il contenuto della notifica delle minacce informatiche significative.

La bozza di RTS rispecchia la proporzionalità e garantisce la coerenza con l’approccio alla segnalazione degli incidenti adottato nella direttiva (UE) 2022/2555 (NIS2).

Infatti, per quanto riguarda le tempistiche di segnalazione, la bozza di RTS propone delle tempistiche armonizzate.

Invece, per quanto riguarda il contenuto delle notifiche relative agli incidenti, la bozza di RTS mira a trovare il giusto equilibrio tra il consentire alle autorità competenti di ricevere le informazioni essenziali relative a ciascun incidente e il non imporre oneri di segnalazione alle entità finanziarie – ad esempio, le notifiche di minacce informatiche significative devono essere segnalate su base volontaria.

RTS sugli accordi di subfornitura di servizi ICT critici

La bozza di RTS fornisce ulteriori specifiche su come determinare e valutare quando è possibile subappaltare servizi ICT che supportano funzioni critiche o importanti.

In linea con i principi posti dal Regolamento DORA, la bozza di RTS si concentra sui servizi ICT che supportano funzioni critiche o importanti o parti sostanziali di esse fornite da subappaltatori di servizi ICT.

La bozza di RTS segue il ciclo di vita degli accordi tra le entità finanziarie e i fornitori di servizi ICT di terze parti quando subappaltano servizi che supportano funzioni critiche o importanti, e stabilisce i requisiti chiave per le entità finanziarie sull’uso di servizi subappaltati o parti rilevanti di essi, coprendo:

1. la valutazione del rischio prima di consentire il subappalto di servizi ICT che supportano funzioni critiche o importanti;
2. i requisiti sugli accordi contrattuali;
3. il monitoraggio degli accordi di subappalto;
4. gli obblighi di informazione nel caso di modifiche rilevanti;
5. le exit strategy e gli accordi di risoluzione.

RTS sui test di penetrazione guidati dalle minacce (TLPT)

Conformemente al quadro “TIBER-UE”, la bozza di RTS specifica ulteriormente i criteri utilizzati per l’identificazione delle entità finanziarie tenute a effettuare la TLPT.

All’interno del documento, vengono stabiliti gli standard che disciplinano l’uso dei test, i requisiti relativi all’ambito di applicazione, la metodologia di test e l’approccio (gestionale) per ciascuna fase del test, i risultati, la chiusura e le fasi di remediation, nonché il tipo di vigilanza e altra cooperazione pertinente necessaria.

In breve, il documento è volto a garantire in modo proporzionale l’attuazione dei TLPT facilitando la cooperazione tra entità finanziarie, fornitori di servizi di terze parti e Autorità.

Stato dell’arte e azioni imminenti

Le tecnologie dell’informazione e della comunicazione supportano sistemi complessi utilizzati per le attività quotidiane del settore finanziario.

L’ampio utilizzo dei sistemi ICT aumenta l’efficienza dei processi interni e migliora l’esperienza degli utenti/clienti, ma introduce anche rischi e vulnerabilità che possono esporre le entità finanziarie ad attacchi e incidenti informatici.

Se non gestiti correttamente, i rischi ICT potrebbero portare all’interruzione dei servizi finanziari, spesso offerti a livello transfrontaliero, con effetti di vasta portata su altre aziende, settori o addirittura sul resto dell’economia. Il rischio di tali interruzioni transfrontaliere e intersettoriali evidenzia l’importanza della resilienza operativa digitale del settore finanziario.

Il DORA converge verso l’armonizzazione delle regole relative alla resilienza operativa per il settore finanziario, che si applicano a 21 diversi tipi di entità finanziarie, coprendo temi vitali per l’entità (ad esempio, la gestione del rischio ICT, la gestione e la segnalazione degli incidenti ICT, la verifica della resilienza operativa digitale dei sistemi ICT, la gestione dei rischi ICT di terzi).

Per rendere tutto ciò operativo le ESA, fino a gennaio 2025, saranno impegnate nella redazione e poi pubblicazione di standard tecnici e linee guida, come quelli che abbiamo appena esaminato; ciò non significa che le entità finanziarie possono aspettare la data di applicazione vincolante delle norme senza mettere in atto delle azioni.

Le entità finanziarie, nel percorso di adeguamento al Regolamento DORA, dovranno pertanto procedere attraverso un approccio multidisciplinare svolgendo un assessment iniziale per valutare il proprio livello di conformità (in termini di organizzazione, processi, sistemi e patrimonio informativo) per poi definire successivamente il modello sulla gestione della resilienza operativa per l’intera organizzazione.