Il DORA ha un impatto sul settore dei servizi finanziari dell’UE e questa normativa sta per scuotere il mondo della finanza. Ecco una panoramica di alcuni degli obblighi previsti dal DORA a cui gli istituti finanziari devono attenersi.
Il settore dei servizi finanziari è da tempo all’avanguardia nell’innovazione tecnologica e tra i primi a sperimentare nuove soluzioni. I progressi nel campo bancario e finanziario hanno fatto sì che la trasformazione digitale del settore abbia fatto passi da gigante. Ma le nuove tecnologie e i nuovi modi di lavorare attirano i criminali informatici. Il risultato è che gli attacchi contro il settore finanziario stanno aumentando vertiginosamente.
Nel 2021, il settore bancario ha registrato unaumento del 1.318% degli attacchi ransomware, e il 65% delle grandi organizzazioni finanziarie ha subito un attacco informatico nel 2020. La gravità degli attacchi informatici, sempre più complessi e dannosi nel settore finanziario, ha portato all’introduzione di una nuova normativa nel panorama della regolamentazione dei servizi finanziari: si chiama DORA (Digital Operational Resilience Act).
Nozioni di base su DORA
La prima bozza della DORA è stata pubblicata il 24 settembre 2020 e il 10 settembre 2022 il Parlamento europeo l’ha approvata. La normativa avrà un ruolo centrale nel “pacchetto sulla finanza digitale”, pensato per favorire l’innovazione e la concorrenza nel settore della finanza digitale, mitigando al contempo i rischi derivanti dalla digitalizzazione del settore.
Per questo, l’articolo 114 del Trattato sul funzionamento dell’Unione europea (TFUE) costituisce la base giuridica del DORA; la normativa punta ad armonizzare le linee guida sulla sicurezza informatica in tutto il settore.
L’UE ama ricorrere a strumenti normativi per consolidare e armonizzare le migliori pratiche; il GDPR è un esempio di normativa armonizzata sulla protezione dei dati; il DORA rappresenta il tentativo dell’UE di consolidare e potenziare la gestione dei rischi ICT in tutto il settore finanziario, con il DORA che ha un impatto sulle società di servizi finanziari dell’UE e sui loro fornitori (critici) di servizi ICT.
Il DORA imporrà alle aziende del settore finanziario di adottare misure che le proteggano dai rischi legati alle tecnologie dell’informazione e della comunicazione: in questo senso, il DORA estende i requisiti anche a soggetti terzi, come i fornitori di servizi cloud.
Quali obblighi impone la DORA al settore finanziario?
L’obiettivo è creare un ambiente resiliente in tutto l’ecosistema dei servizi finanziari. Il quadro di riferimento alla base di DORA si fonda su una serie di regole pensate per aiutare gli istituti finanziari a sviluppare processi di gestione del rischio solidi. Tra i requisiti fondamentali e gli ambiti di applicazione di DORA ci sono:
Ambito di applicazione del DORA
Quasi tutti i tipi di enti finanziari rientreranno nell’ambito di applicazione del DORA. Tra gli enti interessati ci sono istituti di credito, istituti di pagamento, emittenti di moneta elettronica, società di investimento, fornitori di servizi relativi alle cripto-attività, fondi di investimento alternativi, gestori assicurativi, ecc. Fanno eccezione i revisori dei conti, che al momento non sono soggetti alle norme del DORA, ma la situazione potrebbe cambiare nelle future versioni della legge. Per l’elenco completo dei soggetti interessati, dai un’occhiata all’articolo 2 del DORA.
Anche i fornitori di servizi ICT che prestano assistenza alle entità soggette alla DORA devono rispettare la legge. I fornitori di servizi ICT sono considerati fondamentali per il settore finanziario e, in quanto tali, sono soggetti a norme rigorose previste dalla DORA. I fornitori di servizi ICT critici con sede al di fuori dell’UE che prestano servizi a entità finanziarie nell’UE devono costituire una filiale all’interno dell’UE.
Fornitori di servizi ICT e DORA
La gestione dei rischi legati a terze parti è una parte fondamentale del DORA. L’attenzione rivolta ai fornitori di ICT è una risposta all’aumento degli attacchi alla catena di approvvigionamento, come quello legato all’aggiornamento del software Orion di SolarWinds. L’Agenzia dell’Unione europea per la sicurezza informatica (ENISA) ha segnalato un aumento della sofisticazione e del volume degli attacchi alla catena di approvvigionamento, con gli hacker che prendono di mira la catena di approvvigionamento per rubare dati e risorse finanziarie. Il DORA coordina i requisiti utilizzando quadri normativi esistenti, come le Linee guida sull’outsourcing dell’Autorità bancaria europea (EBA). (Vedi anche l’articolo 14 del DORA)
Ai sensi del DORA, le società finanziarie possono definire alcuni fornitori di servizi ICT come “critici”. Di conseguenza, un fornitore di servizi ICT critico che presta servizi a un soggetto soggetto al DORA sarà soggetto a norme rigorose applicate tramite un coinvolgimento diretto con le autorità dell’UE competenti in materia di servizi finanziari.
Misure chiave per la sicurezza informatica
I valori fondamentali della normativa DORA sono il mantenimento di sistemi ICT resilienti. Per raggiungere questo obiettivo, sono state definite le seguenti linee guida:
Gestione dei rischi e resilienza
Al centro della DORA ci sono le linee guida sulla gestione del rischio, pensate per aiutare il settore dei servizi finanziari a costruire infrastrutture più resilienti. I programmi e le valutazioni di gestione del rischio che ne derivano servono come base per i test di resilienza. Inoltre, la normativa prevede che si debbano effettuare analisi dell’impatto aziendale basate su scenari di “grave interruzione dell’attività”.
I test di resilienza e vulnerabilità dovrebbero essere effettuati da esperti indipendenti e includere test di penetrazione periodici basati sulle minacce. È importante sottolineare che tutti i sistemi ICT critici dovrebbero essere sottoposti a test ogni anno.
Misure di protezione (vedi anche l’articolo 8)
Ecco alcuni esempi delle misure di protezione richieste:
- Adotta politiche adeguate ed esaustive per le patch e gli aggiornamenti.
- Attuare politiche e protocolli per meccanismi di autenticazione avanzati
- Adotta un approccio basato sul rischio per garantire una gestione efficace della rete e delle infrastrutture
- Adotta misure che limitino l’accesso fisico e virtuale alle risorse e ai dati dei sistemi ICT
- Prevenire la fuga di informazioni
Gestione degli incidenti ICT
L’articolo 15 contiene dettagli sui requisiti per la gestione e il controllo degli incidenti di sicurezza, comprese le procedure per “individuare, gestire e segnalare gli incidenti relativi alle TIC e predisporre indicatori di allerta precoce come avvisi”.
Segnalazione di incidenti di sicurezza informatica
Le entità interessate devono predisporre un sistema per monitorare, descrivere e segnalare alle autorità competenti eventuali incidenti significativi legati alle TIC. Le regole di segnalazione sono molto rigide per i fornitori di servizi ICT critici. Prevedono che la notifica iniziale venga effettuata entro la fine della giornata lavorativa oppure, se l’incidente significativo si è verificato meno di 2 ore prima della fine della giornata lavorativa, entro 4 ore dall’inizio della giornata lavorativa successiva.
Da quel momento in poi, devi presentare una relazione intermedia entro e non oltre una settimana dalla notifica iniziale; a questa seguirà una relazione finale una volta completata l’analisi delle cause alla radice, entro e non oltre un mese dall’invio della relazione iniziale.
Responsabilità gestionale e di sicurezza
DORA attribuisce la responsabilità dei rischi legati alle TIC e alle minacce informatiche al gruppo dirigente dei servizi finanziari. Offrire corsi di formazione sulla consapevolezza della sicurezza contribuirà a garantire che i dirigenti di alto livello e l’intera azienda prestino la dovuta attenzione alla sicurezza.
Il regolamento DORA tratta anche aspetti fondamentali della gestione e della risposta in materia di sicurezza informatica, come la condivisione delle informazioni (vedi articolo 40).
E adesso, cosa succederà a DORA?
Il regolamento prevede un periodo di attuazione di 24 mesi per gli enti finanziari e i loro fornitori di servizi terzi critici a partire dall’entrata in vigore della normativa. Pertanto, si consiglia ai soggetti interessati di sfruttare i 24 mesi che intercorrono tra l’entrata in vigore della normativa e l’attuazione delle misure di conformità per effettuare un’analisi delle lacune: misure quali i test di penetrazione basati sulle minacce e le rigide regole di rendicontazione potrebbero altrimenti sfuggire a tale analisi.