Regolamento DORA

Adozione un quadro di governance e organizzazione interna, che garantisca un controllo efficace e prudente di tutti i rischi ICT. A tal fine, è necessario attribuire specifici compiti all’”organo di gestione” dell’ente finanziario, il quale deve essere incaricato dell’approvazione e applicazione di tutte le disposizioni relative al suddetto quadro

 Le entità finanziarie predispongono un quadro per la gestione dei rischi informatici solido, esaustivo e adeguatamente documentato, che consenta loro di affrontare i rischi informatici in maniera rapida, efficiente ed esaustiva. Il quadro per la gestione dei rischi informatici comprende almeno strategie, politiche, procedure, protocolli e strumenti in materia di TIC necessari per proteggere debitamente e adeguatamente tutti i patrimoni informativi e risorse TIC tra i quali politiche adeguate di continuità operativa e piani di ripristino in caso di disastro

Classificazione gli incidenti connessi ai fornitori ICT e le minacce informatiche secondo i criteri indicati dal legislatore. Le entità finanziarie devono classificare le minacce informatiche in base alla criticità dei servizi a rischio, ivi comprese le operazioni dell’ente, il numero e/o la rilevanza di clienti o controparti finanziarie interessati e l’estensione geografica delle aree a rischio

Creazione di un sistema di notifica degli incidenti informatici, attuando un processo di monitoraggio, registrazione e gestione costante degli incidenti, al fine di notificarli alle autorità competenti. In ultimo, devono essere stabilite procedure di risposta agli incidenti per attenuarne l’impatto e garantirne tempestivamente l’operatività e la sicurezza dei servizi

Svolgimento di test di resilienza operativa digitale, Le entità devono effettuare test regolari per garantire la resilienza dei loro sistemi TIC secondo un approccio risk-based e proporzionale rispetto alle dimensioni, alla tipologia di attività e al profilo di rischio dell’operatore finanziario.  Il programma di test di resilienza operativa digitale prevede valutazione e scansione delle vulnerabilità, analisi open source, valutazioni della sicurezza delle reti, analisi delle carenze, esami della sicurezza fisica, questionari e soluzioni di scansione del software, esami del codice sorgente, ove fattibile, test basati su scenari, test di compatibilità, test di prestazione, test end-to-end e penetration test.

Le entità finanziarie dovranno adottare un processo di due diligence e di gestione dei rischi nei quali rientrano l’identificazione, la classificazione e la documentazione di tutti i processi dipendenti da fornitori terzi di servizi TIC. DORA stabilisce che le istituzioni finanziarie devono avere contratti chiari e vincolanti con i fornitori di servizi TIC quando le entità finanziarie ricorrono a fornitori terzi di servizi TIC a supporto delle loro funzioni essenziali o importanti. Questi contratti dovranno essere rinegoziati e adeguati al fine di includere gli obblighi previsti dal regolamento, con un focus particolare sulla resilienza operativa e la gestione dei rischi ICT

Miglioramento della collaborazione tra le entità finanziarie e le autorità competenti, nonché tra gli operatori del settore in caso di incidenti. il DORA prevede l’istituzione di un programma su base volontaria che consenta agli attori finanziari di prevedere accordi per la condivisione e lo scambio di informazioni di cyber threat intelligence.