DORA: il primo regolamento orizzontale sulla cibersicurezza della finanza dell'UE

Prima di DORA, i requisiti di rischio TIC per le entità finanziarie erano sparsi in almeno nove diversi atti giuridici dell'UE: CRD IV, MiFID II, Solvency II, UCITS, AIFMD, PSD2, EMIR, CSDR, il Regolamento CRA e il Regolamento sui benchmark. Ogni atto affrontava il rischio operativo e TIC diversamente, creando frammentazione normativa per i gruppi transfrontalieri e protezione disuniforme tra i sottosettori.

DORA sostituisce tutte queste disposizioni con un unico regolamento direttamente applicabile. In quanto regolamento (non direttiva), entra in vigore in ogni Stato membro senza trasposizione nazionale, creando un vero Regolamento unico per la resilienza operativa digitale (considerandi 9-14).

DORA è lex specialis rispetto a NIS 2 (Direttiva (UE) 2022/2555): quando DORA si applica alle entità finanziarie, i suoi obblighi più specifici in materia di rischio TIC e comunicazione degli incidenti prevalgono su NIS 2, mentre le entità finanziarie rimangono parte dell'ecosistema NIS 2 per la cooperazione intersettoriale e l'apprendimento (considerando 16).

La Direttiva complementare (UE) 2022/2556 modifica otto direttive del settore finanziario (UCITS, Solvency II, AIFMD, CRD IV, BRRD, MiFID II, PSD2, IORP II) per allineare le loro disposizioni in materia di rischio operativo a DORA e inserire un rimando incrociato ad essa. DORA stesso modifica cinque regolamenti (Regolamento CRA 1060/2009, EMIR 648/2012, MiFIR 600/2014, CSDR 909/2014, BMR 2016/1011) restringendo o sostituendo le loro disposizioni correlate alle TIC.

L'organo di amministrazione ha la responsabilità ultima per il rischio TIC. Deve definire, approvare e sorvegliare il quadro di gestione del rischio TIC, fissare la tolleranza al rischio, approvare la politica di continuità aziendale TIC più i piani di risposta e ripristino, allocare il budget TIC, approvare la politica TIC sui terzi e mantenersi aggiornato sul rischio TIC (Art 5(4)).

Le entità finanziarie diverse dalle microimprese devono istituire un ruolo dedicato per monitorare gli accordi con terzi TIC, o designare un membro della direzione responsabile di quell'esposizione (Art 5(3)).

Deve essere solido, completo e ben documentato. Riesaminato almeno annualmente, più dopo ogni incidente grave correlato alle TIC o risultanza di vigilanza. Soggetto a audit interno (Art 6(6)). Deve includere una strategia di resilienza operativa digitale (Art 6(8)) che copra la tolleranza al rischio, gli obiettivi di sicurezza, l'architettura TIC di riferimento, i meccanismi di rilevamento, lo stato di resilienza attuale, il piano di test e la strategia di comunicazione.

Le microimprese e le entità piccole o non interconnesse seguono un quadro semplificato (Art 16) - gli articoli 5-15 non si applicano; al loro posto una serie più snella di otto obblighi.

Art 8 (identificazione): mappare tutte le funzioni aziendali supportate dalle TIC, classificare le informazioni e gli asset TIC, identificare tutte le dipendenze da terzi TIC, condurre valutazione del rischio su ogni cambiamento importante, condurre valutazioni annuali del rischio TIC sui sistemi legacy.

Art 9 (protezione): politica di sicurezza delle informazioni, gestione della rete e dell'infrastruttura, controllo dell'accesso, autenticazione forte, crittografia, gestione dei cambiamenti TIC e patch management. Le reti devono essere progettate per essere istantaneamente separabili o segmentabili per prevenire il contagio.

Art 10 (rilevamento): meccanismi per rilevare attività anomale, controlli multi-livello, soglie di avviso, escalation automatica.

Art 11 (risposta e ripristino): politica di continuità aziendale TIC, piani di risposta e ripristino, analisi dell'impatto aziendale (BIA), capacità TIC ridondanti, test almeno annualmente compresi scenari di attacco informatico e passaggi dal sito principale a quello ridondante per le non-microimprese, funzione di gestione della crisi.

Art 12 (backup): sistemi di backup separati fisicamente e logicamente dai sistemi TIC di origine. I CSD devono mantenere almeno un sito di elaborazione secondario a una distanza geografica dal primario, con piena capacità di continuità (Art 12(5)).

Art 13 (apprendimento): riesami post-incidente, feedback sulle lezioni apprese nel quadro, programmi di consapevolezza sulla sicurezza TIC e formazione sulla resilienza operativa digitale come moduli obbligatori per il personale (Art 13(6)) che coprano tutti i dipendenti e la direzione senior.

Art 14 (comunicazione): piani di comunicazione della crisi per la divulgazione responsabile di incidenti gravi o vulnerabilità. Almeno una persona responsabile della funzione di comunicazione pubblica e ai media.

Sei criteri determinano se un incidente si qualifica come incidente grave correlato alle TIC (che richiede comunicazione obbligatoria) o una minaccia informatica significativa:

• Numero o rilevanza dei clienti o controparte finanziarie interessate; transazioni interessate; impatto reputazionale
• Durata e interruzione del servizio
• Diffusione geografica, in particolare se interessa più di due Stati membri
• Perdite di dati (che interessano disponibilità, autenticità, integrità o riservatezza)
• Criticità dei servizi interessati, compresi quelli per funzioni critiche o importanti
• Impatto economico: diretto e indiretto, assoluto e relativo

Comunicazione obbligatoria degli incidenti gravi all'autorità competente (un'unica autorità nazionale è designata laddove l'entità abbia molteplici organi di vigilanza). Tre fasi:

• Notifica iniziale - non appena vengono raggiunte le soglie di materialità
• Relazione o relazioni intermedie - ogni volta che lo stato cambia significativamente
• Relazione finale - dopo l'analisi della causa radice, con cifre di impatto effettive

Le minacce informatiche significative possono essere notificate volontariamente. Gli impatti transfrontalieri fluiscono attraverso EBA, ESMA o EIOPA agli Stati membri interessati. Gli istituti di credito significativi secondo la vigilanza unica segnalano all'autorità competente nazionale, che immediatamente trasmette alla BCE. Le soglie di materialità, i tempi limite e i moduli sono fissati da RTS e ITS (Art 20), presentati alla Commissione entro 17 luglio 2024.

Art 21: Le ESA dovevano valutare entro 17 gennaio 2025 se fosse fattibile un unico hub dell'UE per la comunicazione degli incidenti gravi correlati alle TIC - per razionalizzare la comunicazione attraverso le molteplici autorità competenti attualmente coinvolte.

Art 23: Gli istituti di credito, gli istituti di pagamento, i prestatori di servizi di informazioni su conti e gli istituti di moneta elettronica ora segnalano gli incidenti operativi e di sicurezza correlati ai pagamenti secondo DORA che erano precedentemente segnalati secondo l'articolo 96 della PSD2 - indipendentemente dal fatto che siano correlati alle TIC. DORA consolida e sostituisce quell'obbligo di segnalazione della PSD2.

Un programma di test completo come parte integrante del quadro di gestione del rischio TIC. Basato sul rischio ed eseguito da parti indipendenti (interne o esterne). Ampio menu di strumenti: valutazioni di vulnerabilità e scansioni, analisi open-source, valutazioni della sicurezza della rete, analisi di gap, revisioni della sicurezza fisica, questionari, software di scansione, revisioni del codice sorgente se fattibili, test basati su scenari, test di compatibilità, test di prestazioni, test end-to-end e test di penetrazione. Almeno annualmente test su tutti i sistemi e le applicazioni TIC che supportano funzioni critiche o importanti.

I CSD e i CCP devono eseguire valutazioni di vulnerabilità prima di qualsiasi distribuzione o ridistribuzione di componenti di applicazioni e infrastrutture nuove o esistenti.

Test di penetrazione basati sulle minacce mimano le tattiche, le tecniche e le procedure dei minaccianti della vita reale, fornendo un test controllato, personalizzato e guidato dall'intelligence (team rosso) dei sistemi di produzione critica dell'entità finanziaria.

• Eseguiti almeno ogni 3 anni (la frequenza può essere adattata dall'autorità competente)
• Richiesti solo per le entità finanziarie identificate dall'autorità competente in base a: impatto sul settore finanziario, possibili preoccupazioni per la stabilità finanziaria compreso il carattere sistemico, profilo di rischio TIC e maturità TIC
• Devono coprire diverse o tutte le funzioni critiche o importanti
• TLPT condiviso permesso (Art 26(4)) dove la partecipazione di terzi TIC potrebbe avversamente interessare altri clienti
• Testatori interni consentiti con approvazione previa di vigilanza, nessun conflitto di interessi, rotazione periodica (testatori esterni richiesti ogni tre test - Art 26(8))
• Istituti di credito significativi secondo la vigilanza unica: solo testatori esterni
• Attestazione fornita dall'autorità per mutuo riconoscimento nell'UE; l'entità finanziaria rimane pienamente responsabile
• Allineato con il quadro TIBER-UE (BCE)

I testatori TLPT devono dimostrare: massima idoneità e reputabilità, competenza in intelligence sulle minacce, test di penetrazione e test di team rosso, certificazione da un organismo di accreditamento dello Stato membro o adesione a codici di condotta formali, assicurazione sottoposta a revisione sulla gestione del rischio e assicurazione della responsabilità civile professionale che copra la negligenza nelle attività di test.

L'entità finanziaria rimane in ogni momento pienamente responsabile della conformità a DORA - l'outsourcing non trasferisce gli obblighi. Gli artefatti obbligatori includono:

• Strategia sul rischio TIC dei terzi, riesaminata regolarmente dall'organo di amministrazione
• Registro delle informazioni di tutti gli accordi contrattuali sull'uso di servizi TIC, distinguendo quelli che supportano funzioni critiche o importanti da quelli che non lo fanno; comunicabile annualmente all'autorità competente (Art 28(3))
• Due diligence pre-contrattuale: valutazione della criticità, condizioni di sorveglianza, analisi del rischio di concentrazione TIC, due diligence sul fornitore terzo prospettico, screening dei conflitti di interesse (Art 28(4))
• Fattori scatenanti della rescissione (Art 28(7)): violazione significativa da parte del terzo, cambiamenti materiali che influenzano le prestazioni, debolezze di gestione del rischio TIC evidenziate, incapacità dell'autorità competente di vigilare efficacemente l'entità finanziaria
• Strategie di uscita per i servizi TIC che supportano funzioni critiche o importanti (Art 28(8)) - complete, documentate, sufficientemente testate

Analisi pre-contrattuale: il contratto comporterebbe una dipendenza da un terzo che non è facilmente sostituibile, o da molteplici contratti di funzioni critiche con lo stesso terzo o terzi strettamente collegati? L'analisi della subcontrattazione è richiesta soprattutto laddove il subappaltatore sia in un paese terzo - tenendo conto della legge sull'insolvenza di quel paese, dell'applicazione della protezione dei dati e della lunghezza e complessità delle catene di subappalto.

Ogni contratto per servizi TIC deve includere come minimo: descrizione completa delle funzioni e dei servizi; ubicazioni dell'elaborazione e dell'archiviazione dei dati; disposizioni su disponibilità, autenticità, integrità e riservatezza; accesso ai dati, recupero e restituzione in caso di insolvenza o rescissione; descrizioni dei livelli di servizio; assistenza del terzo durante gli incidenti TIC; piena cooperazione con le autorità competenti e di risoluzione; diritti di rescissione con preavviso minimo; condizioni per la partecipazione del terzo ai programmi di formazione dell'entità finanziaria.

Per i servizi TIC che supportano funzioni critiche o importanti, inoltre: obiettivi di prestazioni SLA quantitativi e qualitativi precisi; periodi di preavviso sui sviluppi che influenzano materialmente la fornitura del servizio; piani di contingenza aziendale; partecipazione a TLPT; diritti illimitati di accesso, ispezione e audit da parte dell'entità finanziaria, dell'autorità competente e dell'Autorità responsabile della sorveglianza; periodi di transizione adeguati nelle strategie di uscita. Le microimprese possono delegare i diritti di audit a una terza parte indipendente nominata dal terzo (Art 30(3)).

Le tre ESA, tramite il loro Comitato congiunto, su raccomandazione del Forum di sorveglianza (Art 32), designano un fornitore terzo di servizi TIC come critico in base a quattro criteri:

• Impatto sistemico sulla stabilità, continuità o qualità dei servizi finanziari in caso di fallimento del fornitore
• Carattere sistemico delle entità finanziarie che dipendono da esso (G-SII, O-SII e le loro interdipendenze)
• Dipendenza delle entità finanziarie dai suoi servizi per funzioni critiche o importanti
• Grado di sostituibilità - alternative limitate, quota di mercato, complessità tecnica, costo e rischio della migrazione

L'elenco dei CTPP è pubblicato annualmente. I fornitori terzi di servizi TIC non automaticamente designati possono optare mediante domanda (Art 31(11)). I CTPP di paesi terzi devono istituire una filiale nell'UE entro 12 mesi dalla designazione (Art 31(12)) e possono continuare a fornire servizi dall'esterno dell'Unione, ma la presenza di sorveglianza nell'UE è obbligatoria.

Esclusi (Art 31(8)): entità finanziarie che forniscono servizi TIC ad altre entità finanziarie, fornitori già sotto sorveglianza dell'ESCB (TARGET, T2S ecc.), fornitori all'interno del gruppo e fornitori attivi solo in uno Stato membro che servono entità attive solo in quello Stato membro.

• Comitato congiunto (ESA) - coordinamento intersettoriale, posizioni congiunte su CTPP
• Forum di sorveglianza - sottocomitato; prepara posizioni congiunte; include i Presidenti delle tre ESA, un rappresentante di alta dirigenza di un'autorità competente nazionale per Stato membro, e BCE, ESRB, ENISA e Commissione come osservatori
• Rete comune di sorveglianza (JON, Art 34) - coordina i tre Responsabili della sorveglianza per l'allineamento operativo

Per ogni CTPP, l'Autorità responsabile della sorveglianza è l'ESA (EBA, ESMA o EIOPA) responsabile del sottosettore di entità finanziarie le cui entità insieme detengono la quota più ampia del totale degli attivi tra le entità finanziarie che utilizzano quel CTPP. L'Autorità responsabile della sorveglianza è il punto di contatto primario per il CTPP e conduce la valutazione della governance, della gestione del rischio TIC, della continuità aziendale, della sicurezza fisica, della gestione degli incidenti, della portabilità dei dati, dei test, degli audit e degli standard.

L'Autorità responsabile della sorveglianza adotta un piano di sorveglianza individuale annuale per ogni CTPP (Art 33(4)); il CTPP può presentare una dichiarazione motivata entro 15 giorni di calendario prima dell'adozione.

• Richieste di informazioni e documentazione (Art 37): tutti i registri pertinenti, politiche, accordi
• Indagini generali (Art 38): esaminare i registri, fare copie, convocare rappresentanti, intervistare persone, richiedere record del traffico dati
• Ispezioni in loco e fuori sede (Art 39): accedere ai locali commerciali, sigillare locali, libri e registri durante l'ispezione
• Raccomandazioni: su standard di sicurezza TIC, termini di servizio che prevengono singoli punti di guasto o amplificazione sistemica, subappalto pianificato compresi i paesi terzi, e (più potente) richiedere al CTPP di astenersi da un ulteriore accordo di subappalto laddove riguardi una funzione critica o importante e pone un rischio chiaro e grave alla stabilità finanziaria dell'Unione
• Sanzioni amministrative periodiche: fino al 1% del fatturato giornaliero medio mondiale, giornalmente, per un massimo di 6 mesi (Art 35(8))

L'Autorità responsabile della sorveglianza può esercitare questi poteri al di fuori dell'Unione (Art 36) se il CTPP acconsente e l'autorità del paese terzo interessato non si oppone, soggetto ad accordi di cooperazione amministrativa.

Entro 60 giorni di calendario, il CTPP notifica la conformità alla raccomandazione o fornisce una spiegazione motivata per non seguirla. Se la spiegazione è insufficiente, l'Autorità responsabile della sorveglianza divulga pubblicamente la non conformità.

Le autorità competenti - come misura di ultima istanza, dopo notifica e (volontaria) consultazione con le autorità NIS 2 - possono adottare una decisione (Art 42(6)) che richiede alle entità finanziarie di sospendere temporaneamente, in parte o completamente, l'uso di un servizio fornito dal CTPP, o rescindere gli accordi contrattuali pertinenti, fino a quando i rischi identificati non siano affrontati.

Art 43: Le spese dell'Autorità responsabile della sorveglianza sono completamente coperte da tariffe da CTPP, proporzionate al fatturato. L'importo e il meccanismo di pagamento sono fissati da atto delegato (scadenza: 17 luglio 2024).

Art 44: EBA, ESMA e EIOPA possono concludere accordi amministrativi con autorità normative e di vigilanza di paesi terzi per condividere le migliori pratiche sulla revisione del rischio TIC dei terzi. Una relazione confidenziale al PE, al Consiglio e alla Commissione è prodotta ogni cinque anni.

Le entità finanziarie possono volontariamente scambiare informazioni sulle minacce informatiche e intelligence all'interno di comunità fidate. L'intelligence scambiabile include: indicatori di compromissione, tattiche, tecniche e procedure, avvisi, strumenti di configurazione e informazioni su attori informatici o campagne.

Tali accordi devono essere disciplinati da norme di condotta che rispettano la riservatezza commerciale, le norme di protezione dei dati personali del GDPR e il diritto della concorrenza dell'UE (articolo 101 TFUE). La partecipazione deve essere notificata all'autorità competente. La Commissione ed ENISA agiscono come osservatori in queste comunità dove appropriato.

Testo completo del Regolamento (UE) 2022/2554 del 14 dicembre 2022 (64 articoli, 106 considerandi, 9 capi, 65 definizioni):

https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32022R2554

Numero CELEX: 32022R2554 | Riferimento GU: GU L 333/1 del 27 dicembre 2022 (79 pagine)

Direttiva (UE) 2022/2556 che modifica 8 direttive finanziarie per allinearle a DORA (UCITS, Solvency II, AIFMD, CRD IV, BRRD, MiFID II, PSD2, IORP II):

https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32022L2556

DORA e la Direttiva DORA sono stati pubblicati insieme nella GU L 333. Lo stesso numero contiene anche la Direttiva NIS 2:

https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=OJ:L:2022:333:TOC

Direttiva (UE) 2022/2555 su misure per un alto livello comune di cibersicurezza in tutta l'Unione. DORA è lex specialis vs NIS 2 per le entità finanziarie (considerando 16):

https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32022L2555

Il quadro Threat Intelligence-Based Ethical Red Teaming della BCE, adottato da DORA come la metodologia di riferimento per TLPT (Art 26):

https://www.ecb.europa.eu/paym/cyber-resilience/tiber-eu/html/index.en.html

L'Agenzia dell'Unione europea per la cibersicurezza (ENISA) agisce come osservatore al Forum di sorveglianza e pubblica intelligence sulle minacce rilevante per l'attuazione di DORA:

https://www.enisa.europa.eu

Strategia sulla finanza digitale della Commissione (il pacchetto politico entro cui DORA è stato proposto):

https://finance.ec.europa.eu/digital-finance_en

L'EU Canon è la libreria in crescita di Brubru di approfondimenti in linguaggio semplice su leggi fondamentali dell'UE. Ogni voce analizza le disposizioni operative, il contesto giuridico e il significato pratico di una legge fondamentale dell'UE, con tutti i fatti tracciati al testo fonte ufficiale EUR-Lex.

Sfoglia tutte le voci del Canon dell'UE, attualmente che copre GDPR, DSA, DMA, NIS2, DORA, AI Act, MiCA, CBAM, CRR e una serie in crescita di strumenti farmaceutici, difesa commerciale e finanza.