Il Digital Operational Resilience Act (DORA) obbliga le entità finanziarie a dotarsi di un framework strutturato e documentato per la gestione del rischio ICT, integrato nella governance aziendale e soggetto ad audit interni regolari.
Il rischio ICT non riguarda solo la sicurezza IT interna aziendale, ma la sicurezza digitale estesa, che comprende il rischio operativo legato ai sistemi, il rischio da terze parti e le conseguenze sulla continuità dei servizi finanziari.
Gestirlo richiede metodo, cultura organizzativa e una valutazione rigorosa degli impatti sul business. Improvvisare espone l’organizzazione a sanzioni regolamentari e a potenziali interruzioni operative che possono propagarsi all’intero ecosistema finanziario.
Il DORA, Regolamento (UE) 2022/2554, in vigore dal 17 gennaio 2025 recepito e adeguato nell’ordinamento italiano con il Decreto Legislativo 10 marzo 2025, n. 23, impone alle entità finanziarie la capacità di resistere, rispondere e recuperare da qualunque perturbazione che coinvolga le tecnologie dell’informazione e della comunicazione (ICT).
Non si tratta di un adempimento burocratico aggiuntivo. È un cambio strutturale nel modo in cui il settore finanziario deve concepire la propria operatività digitale.
Il primo e più fondamentale dei cinque pilastri di DORA è la gestione del rischio ICT. Capire cosa significa davvero, prima di costruire framework o implementare controlli, è il punto di partenza di qualunque percorso di compliance serio.
Questa guida è pensata per chi si avvicina a DORA senza necessariamente avere un background tecnico, ma che deve comprenderne la logica, le implicazioni e le criticità, prima di agire sul piano operativo.
Indice degli argomenti
Cos’è il rischio ICT e perché è centrale in DORA
Il rischio ICT è il rischio di perdita derivante da inadeguatezze o guasti nei sistemi informativi e tecnologici di un’organizzazione, o da attività di terzi che ne dipendono. Non è una categoria residuale della gestione dei rischi operativi: secondo il Regolamento DORA diventa una priorità assoluta, con un corpus normativo specifico, standard tecnici dedicati e obblighi di governance diretti verso l’organo di gestione.
Prima di DORA, le istituzioni finanziarie gestivano i rischi operativi principalmente allocando capitale a copertura delle perdite potenziali. Questo approccio non riusciva a coprire tutti gli aspetti della resilienza operativa, in particolare quelli legati alle tecnologie dell’informazione e della comunicazione. DORA colma questa lacuna imponendo un approccio sistematico che va ben oltre la dotazione di capitale (fonte: EUR-Lex).
L’articolo 6 del Regolamento richiede alle entità finanziarie di stabilire, mantenere e aggiornare continuamente un framework di gestione del rischio ICT solido, esaustivo e documentato. Questo framework deve includere una strategia di resilienza operativa digitale che specifichi come il framework stesso verrà implementato. Non è sufficiente avere un documento: il framework deve essere integrato nella governance complessiva dell’organizzazione, revisionato regolarmente e soggetto ad audit interni da parte di figure con competenze specifiche in materia di rischio ICT.
Ci si potrebbe domandare perché questo pilastro sia centrale rispetto agli altri quattro. Il motivo è che la qualità della gestione del rischio ICT è la condizione abilitante delle conseguenti misure di sicurezza. Senza un’identificazione precisa dei sistemi critici, dei processi dipendenti, dei potenziali impatti e delle vulnerabilità esistenti, è impossibile impostare correttamente i processi di incident reporting, progettare test di resilienza significativi o valutare i rischi dei fornitori terzi. Il rischio ICT è la mappa che guida un’azione puntuale e rispettosa dell’analisi costi/benefici.
Una ricerca EBA del 2024 ha rilevato che solo il 38% delle entità finanziarie disponeva di programmi formali di formazione sul rischio ICT per i membri del consiglio di amministrazione al momento dell’entrata in vigore di DORA, indicando una lacuna significativa nella governance del settore. Questo dato illustra una criticità concreta: la gestione del rischio ICT richiede competenze a livello di board, non solo a livello tecnico. DORA lo rende esplicito all’articolo 5, richiedendo che i membri dell’organo di gestione mantengano una conoscenza e competenza sufficienti per comprendere e valutare i rischi ICT (fonte: European Securities and Markets Authority).
Tipologie di rischio ICT: cyber, operativo, terze parti
Uno degli errori più frequenti nell’interpretare DORA è ridurre il rischio ICT al solo rischio IT locale. La cyber security è una componente essenziale ma è tanto più efficace, quanto più è estesa ad elementi organizzativi, di processo e tali da ricomprendere un perimetro comprendente tre categorie distinte di rischio, ciascuna con caratteristiche e implicazioni proprie:
Il rischio cyber comprende le minacce derivanti da attori malevoli concretizzate da attacchi ransomware, phishing, compromissioni dell’infrastruttura, furti di dati. L’ENISA Threat Landscape Finance Sector del 2025 colloca il settore finanziario al terzo posto tra i settori più colpiti a livello europeo.
Pur essendo tra le industrie più mature in termini di sicurezza, le variazioni nei livelli di maturità tra le diverse entità finanziarie rimangono evidenti. Il 67% degli incidenti ICT significativi nel settore finanziario ha coinvolto lo sfruttamento di vulnerabilità note per le quali erano già disponibili patch, sottolineando l’importanza pratica dei requisiti di patch management di DORA.
Il rischio operativo ICT riguarda i malfunzionamenti, le obsolescenze tecnologiche, gli errori umani e i guasti sistemici che non necessariamente originano da un attacco malevolo.
Il primo rapporto congiunto pubblicato a giugno 2026 dalle Autorità europee di vigilanza (EBA, EIOPA ed ESMA, note come ESAs) ha registrato 3.383 incidenti riportati nel settore finanziario dell’UE nel 2025, corrispondenti a circa 282 incidenti al mese.
La compliance DORA in materia di gestione del rischio ICT non può limitarsi a cyber security, penetration testing e monitoraggio della sicurezza: sono ugualmente importanti la IT governance, il change management, la gestione dell’architettura, la pianificazione della capacità, i piani di continuità operativa e le procedure di ripristino testate regolarmente (fonte: EIOPA).
Il rischio da terze parti è forse la novità più rilevante introdotta da DORA rispetto alla normativa preesistente. Il settore finanziario dipende in misura crescente da fornitori ICT esterni per l’erogazione dei propri servizi. Questo espone le entità finanziarie a rischi ICT da terze parti, poiché la continuità dei servizi dipende da soggetti non direttamente vigilati. Quasi un terzo di tutti gli incidenti ICT maggiori riportati nel 2025 è stato attribuibile a guasti che coinvolgevano terze parti, inclusi fornitori ICT interni, altre entità finanziarie e fornitori di infrastrutture. DORA impone un registro delle informazioni sui contratti ICT con terze parti, una due diligence strutturata e un monitoraggio continuo dei fornitori critici (fonte: CSSF EIOPA).
La criticità principale in questa fase di valutazione delle tipologie di rischio è la sottostima dell’interconnessione tra le tre categorie. Un guasto tecnico in un fornitore cloud può trasformarsi in un rischio cyber (se crea una finestra di vulnerabilità) e al tempo stesso in un rischio operativo (se interrompe servizi critici). La mappatura dei rischi deve essere sistemica, non per silos.
Impatto sul business e continuità operativa
Comprendere il rischio ICT in astratto non basta. La notmativa DORA richiede come passaggio concreto la valutazione dell’impatto sul business (Business Impact Analysis, BIA), che deve determinare quali funzioni aziendali sono critiche o importanti e quale livello di perturbazione, in termini di durata, scala e conseguenze, sarebbe tollerabile prima che si producano danni irreversibili.
Quando non gestiti adeguatamente, i rischi ICT possono portare a interruzioni dei servizi finanziari erogati con conseguenze anche transfrontaliere per impatti su altre aziende, settori e sull’economia nel suo complesso, il che sottolinea l’importanza della resilienza operativa digitale dell’intero ecosistema finanziario. DORA è da intendersi quindi come una normativa di sistema. La sua logica è che un’entità finanziaria digitalmente fragile è un rischio per tutti, non solo per sé stessa (fonte: European Banking Authority).
L’articolo 7 di DORA richiede alle entità finanziarie di identificare, classificare e documentare adeguatamente tutte le funzioni aziendali supportate dall’ICT, i ruoli e le responsabilità, le risorse informative e ICT che supportano tali funzioni, e le loro dipendenze in relazione al rischio ICT.
Questo lavoro di mappatura che include asset, processi, dipendenze e scenari di perturbazione è il prerequisito della BIA e la base su cui si costruisce qualunque piano di continuità operativa credibile.
Criticità comuni da evitare
Le criticità più comuni nella fase di valutazione d’impatto sono documentate nelle prime esperienze di supervisione DORA: si va da inventari di asset incompleti o non aggiornati alla mancata distinzione tra funzioni critiche e non critiche; dai piani di continuità operativa (Business Continuity Plans) mai testati o costruiti su scenari di crisi non realistici alle dipendenze da fornitori terzi non mappate fino al livello del subappaltatore.
Nel primo trimestre del 2024, solo il 17% delle aziende dichiarava di aver completato l’identificazione delle proprie Funzioni Critiche e Importanti (CIF) come previsto dall’articolo 3 di DORA. Circa il 16% ha identificato più di 50 CIF, con forti variazioni tra le entità.
Più sono le CIF, maggiore è la difficoltà di implementazione e di assurance su di esse (fonte: DLA Piper study).
Questo dato è rivelatore di una difficoltà strutturale: la valutazione dell’impatto sul business non è un’operazione tecnica che si può delegare all’IT. Richiede il coinvolgimento del business, della compliance, dell’internal audit e dell’organo di gestione. Richiede metodo, linguaggio comune tra funzioni diverse e una governance che tenga insieme tutti questi attori.
Non è qualcosa che si improvvisa nelle settimane precedenti un audit regolamentare.
Partecipa alla community