Sulla base della ricerca del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Dal 17 gennaio 2025 è diventato vincolante in tutti gli Stati membri dell'UE: si tratta del Digital Operational Resilience Act, in breve DORA. Per banche, assicurazioni, imprese di investimento e decine di altri operatori finanziari, ciò significa un quadro giuridico fondamentalmente nuovo per la sicurezza informatica e l'operatività digitale – direttamente applicabile, senza necessità di recepimento nazionale, con sanzioni severe in caso di violazione.

Quello che in precedenza in Germania era considerato come circolare dell'autorità di vigilanza – la BAIT per le banche, la VAIT per le assicurazioni – è stato sostituito da un regolamento UE che è notevolmente più concreto, vincolante e rigoroso. Teichmann ha analizzato sistematicamente il DORA in diversi contributi scientifici. Il messaggio per la pratica è chiaro: chi interpreta il DORA come un semplice aggiornamento dei precedenti requisiti IT sottovaluta la portata del cambiamento.

Cos'è il DORA – e perché è nato

Il Digital Operational Resilience Act (Regolamento UE 2022/2554) è il risultato di una lunga consapevolezza: il settore finanziario è di rilevanza sistemica e, al contempo, tecnologicamente dipendente come nessun altro. Un grave blackout informatico presso una grande banca o un fornitore centrale di servizi di pagamento può minacciare la stabilità dell'intero sistema finanziario. La regolamentazione precedente era frammentata: diversi requisiti nazionali, linee guida settoriali, standard non uniformi. Il DORA crea per la prima volta un quadro UE armonizzato e vincolante per la resilienza operativa digitale dell'intero settore finanziario (Teichmann, Digital Operational Resilience Act – EU-weit einheitliche IT-Sicherheitsregeln für Finanzinstitute, BB 2025, pagg. 2760–2770).

L'urgenza politica era reale: la Banca Centrale Europea, nel suo Financial Stability Review del 2022, aveva messo in guardia contro l'aumento dei rischi informatici e la crescente necessità di investimenti nella sicurezza IT. Attacchi hacker di matrice statale nel contesto di conflitti geopolitici, attacchi ransomware contro infrastrutture di rilevanza sistemica e la crescente dipendenza dal cloud computing hanno reso evidente che le normative nazionali locali non erano più sufficienti.

Il DORA persegue un duplice obiettivo: in via preventiva, le imprese finanziarie devono implementare robusti quadri di gestione del rischio TIC per evitare incidenti o limitarne gli effetti. In via reattiva, processi uniformi di risposta agli incidenti e di gestione delle crisi devono garantire azioni rapide e coordinate in caso di emergenza (Teichmann, BB 2025, pagg. 2760–2770).

Chi è interessato: Quasi l'intero settore finanziario

L'ambito di applicazione del DORA è notevolmente ampio. Sono interessate oltre 20 tipologie di imprese finanziarie, tra cui enti creditizi, istituti di pagamento e di moneta elettronica, imprese di investimento, imprese di assicurazione e riassicurazione, società di gestione di fondi di investimento, depositari centrali, controparti centrali, fornitori di servizi di cripto-attività ai sensi del MiCA, agenzie di rating, nonché sedi di negoziazione e altre infrastrutture dei mercati finanziari (Teichmann, BB 2025, pagg. 2760–2770).

Particolarmente importante: il DORA non riguarda solo le imprese finanziarie stesse, ma si rivolge, attraverso la gestione dei rischi derivanti da terzi, anche ai loro fornitori di servizi informatici: fornitori di cloud, gestori di data center, sviluppatori di software. I fornitori terzi critici di servizi TIC possono persino essere sottoposti a una supervisione europea diretta. Questa è una delle novità più rilevanti del DORA: per la prima volta, l'intera catena di fornitura IT viene regolamentata a livello sistemico.

In Germania, le linee guida VAIT, KAIT e ZAIT sono state abrogate con effetto dal 17 gennaio 2025. Le BAIT rimangono in vigore in via transitoria fino alla fine del 2026 per alcuni istituti di minori dimensioni. Per la stragrande maggioranza degli istituti finanziari, già oggi il DORA costituisce la normativa principale (Teichmann, DORA – Teil 1: Ein einheitlicher Rechtsrahmen für die IT- und Cybersicherheit, ZRFC 2025, pagg. 172–175).

I cinque pilastri del DORA

Primo pilastro: Gestione del rischio TIC. Il fulcro del DORA è l'obbligo di un quadro completo di gestione del rischio TIC. Tutte le imprese finanziarie devono costantemente identificare, analizzare, valutare, trattare e monitorare i rischi TIC. Ciò comprende una strategia TIC come parte integrante della strategia aziendale complessiva, responsabilità chiare a livello di consiglio di amministrazione, gestione sistematica delle vulnerabilità, crittografia dei dati, segmentazione della rete e gestione dei firewall. Una novità rilevante: il DORA richiede espressamente che vengano esaminati in modo specifico anche i sistemi legacy e le nuove tecnologie – il regolamento riconosce che molti istituti finanziari lavorano con infrastrutture IT obsolete e rende la gestione del rischio di questi vecchi sistemi un obbligo esplicito.

Secondo pilastro: Obblighi di segnalazione degli incidenti TIC. Il DORA introduce una procedura di segnalazione armonizzata a tre fasi per i gravi incidenti TIC. Entro quattro ore dalla classificazione, deve essere trasmessa una segnalazione iniziale alla BaFin. Entro 72 ore segue una segnalazione intermedia ed entro un mese una relazione finale. Cosa sia considerato grave viene definito dal DORA sulla base di criteri concreti: numero di clienti interessati, portata dell'interruzione operativa, danni reputazionali, impatti finanziari. Il DORA prevale come lex specialis – la segnalazione alla BaFin sostituisce in linea di principio la segnalazione NIS-2 al BSI (Teichmann, BB 2025, pagg. 2760–2770).

Terzo pilastro: Test di resilienza. Il DORA introduce test obbligatori e regolari della resilienza operativa digitale. Tutte le imprese finanziarie devono condurre test di resilienza di base almeno una volta all'anno: analisi delle vulnerabilità, test basati sulla rete, verifiche della sicurezza fisica, test basati su scenari. Per gli istituti rilevanti si aggiunge un elemento cruciale: i test di penetrazione gestiti sulla base delle minacce (Threat-Led Penetration Tests, TLPT), che devono essere eseguiti almeno ogni tre anni da tester esterni accreditati sulla base di scenari di minaccia attuali (Teichmann, DORA – Teil 2: IKT-Risikomanagement, Resilienztests und Drittparteienkontrolle, ZRFC 2025, pagg. 273–278).

Quarto pilastro: Gestione del rischio derivante da terzi TIC. Questa è forse la novità più impattante a livello pratico. Il DORA richiede che le imprese finanziarie gestiscano in modo sistematico l'intera dipendenza da fornitori esterni di servizi IT, introducendo requisiti minimi per i contratti, monitoraggio continuo, strategie di uscita e analisi della concentrazione dei rischi. In futuro, i contratti con i fornitori di servizi TIC dovranno contenere clausole minime: descrizione completa dei servizi, indicatori di prestazione, requisiti di sicurezza, diritti di ispezione per l'impresa finanziaria e l'autorità di vigilanza, nonché disposizioni sulla continuità operativa e sulla strategia di uscita. I contratti in essere dovranno essere adeguati di conseguenza. Per i fornitori TIC classificati come critici, il DORA crea uno strumento del tutto nuovo: la vigilanza europea diretta da parte di EBA, EIOPA o ESMA (Teichmann, ZRFC 2025, pagg. 273–278).

Quinto pilastro: Condivisione delle informazioni. Il DORA incoraggia espressamente le imprese finanziarie a scambiarsi informazioni sulle minacce informatiche – entro limiti legali ben definiti. Informazioni sulle minacce, pattern di attacco e insegnamenti tratti dagli incidenti devono essere condivisi per rafforzare la resilienza dell'intero settore.

Governance: La resilienza informatica diventa una priorità della direzione

Un principio cardine del DORA è la responsabilità esplicita dell'organo di gestione. L'organo di direzione detiene la responsabilità finale per la gestione dei rischi TIC. Deve definire e approvare la strategia TIC, possedere un livello adeguato di conoscenze in materia di rischi IT e ricevere sessioni regolari di formazione. Un membro del consiglio che dichiari di non intendersi di sicurezza informatica non soddisfa i requisiti del DORA (Teichmann, DORA – Teil 3: Governance-Verantwortung und Compliance-Risiken, ZRFC 2025, pagg. 279–283).

Teichmann analizza come i requisiti di governance del DORA, in combinazione con il diritto societario generale, possano portare a una responsabilità civile personale dell'organo di gestione qualora gli obblighi relativi alle TIC siano stati sistematicamente trascurati, provocando danni (Teichmann, ZRFC 2025, pagg. 279–283).

Cosa deve fare ora la pratica

Il DORA non rappresenta una novità assoluta per molti istituti finanziari – i contenuti si sovrappongono notevolmente con le linee guida BAIT, MaRisk ed EBA. La differenza decisiva risiede nel livello di vincolatività e nel dettaglio della disciplina. Ciò che prima era formulato come aspettativa di vigilanza è ora una norma regolamentare con effetto sanzionatorio diretto.

In concreto, gli istituti finanziari devono colmare soprattutto tre lacune. La prima riguarda la gestione dei terzi: i contratti esistenti con i fornitori di servizi IT devono essere verificati e adeguati per essere conformi al DORA – in particolare i contratti cloud, che spesso non prevedono diritti di audit e clausole di uscita sufficienti. La seconda lacuna risiede nel regime dei test: i test di penetrazione secondo lo standard TLPT sono una novità per molte realtà e devono essere preparati sul piano organizzativo. La terza lacuna riguarda la pianificazione delle emergenze: il DORA richiede espressamente che scenari come eventi climatici, attacchi interni e blackout elettrici su vasta scala siano considerati nei piani di continuità operativa – requisiti che molti concetti di BCM attuali non coprono (Teichmann, ZRFC 2025, pagg. 273–278).

Conclusione: Il DORA non è un mero adempimento formale – è un cambiamento culturale

Il DORA è molto più di un'altra normativa da spuntare da una lista. È il mandato all'intero settore finanziario europeo di considerare la sicurezza informatica e la resilienza operativa digitale come un compito strategico fondamentale – e non come un mero tema tecnico marginale.

La ricerca di Teichmann dimostra che gli istituti finanziari che prendono sul serio il DORA e lo implementano coerentemente diventeranno più resistenti agli attacchi informatici, più sicuri dal punto di vista legale nei rapporti con la vigilanza e, infine, più affidabili nei confronti di clienti e partner commerciali. Il DORA non è un punto di arrivo, bensì l'inizio di una nuova era di resilienza digitale regolamentata nel settore finanziario.

Tutti i riferimenti bibliografici si basano su pubblicazioni scientifiche del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliografia completa è documentata nell'elenco delle pubblicazioni (aggiornato a maggio 2026).