Quanto è pronta la tua banca a DORA e alle disposizioni di Banca d'Italia?

Aree di valutazione

• GOV – Organo di gestione e responsabilità
  L'art. 5 DORA attribuisce all'organo di gestione la responsabilità ultima del rischio ICT: approva quadro, strategia, tolleranza al rischio, politica sui fornitori e piano di audit ICT, e mantiene competenze aggiornate. In Italia le Disposizioni di vigilanza (Circ. 285, Parte Prima, Tit. IV, Cap. 1 e 3) restano il riferimento per il ruolo di organo con funzione di supervisione strategica e di gestione: rendere tracciabili le delibere e il flusso informativo verso il CdA.
• RMF – Quadro di gestione del rischio ICT
  Art. 6 DORA e Reg. del. (UE) 2024/1774 (Titolo II per le banche: il quadro semplificato del Titolo III/art. 16 non si applica agli enti creditizi). Con il 51 aggiornamento della Circ. 285 (03/02/2026) le Sezioni del Cap. 4 sul governo e sulla gestione del rischio ICT sono state abrogate e sostituite dal rinvio a DORA: riallineare l'impianto normativo interno alle singole disposizioni dell'RTS, eliminando i rinvii alla disciplina previgente.
• ASS – Identificazione di asset e funzioni essenziali o importanti
  Art. 8 DORA e artt. 4-5 Reg. del. 2024/1774: censire funzioni operative, ruoli, asset informativi e ICT, interdipendenze e fornitori, classificando la criticità. La mappa delle funzioni essenziali o importanti (FEI) è il perno di tutto il resto (BIA, registro, contratti, test): deve essere unica e coerente tra ICT, continuità ed esternalizzazioni.
• SEC – Protezione e prevenzione
  Art. 9 DORA e artt. 6-21 Reg. del. 2024/1774: crittografia, sicurezza delle operazioni ICT, vulnerabilità e patch, rete, accessi e identità, sviluppo sicuro, gestione dei cambiamenti, sicurezza fisica e risorse umane. Nei rilievi di vigilanza ricorrono gestione degli accessi privilegiati, ritardi nel patching e change non governati (circa il 30% dei gravi incidenti 2025 segnalati a Banca d'Italia è legato a modifiche ICT).
• DET – Rilevamento
  Art. 10 DORA e artt. 12 e 23 Reg. del. 2024/1774: logging, monitoraggio, soglie di allerta e criteri per individuare attività anomale. L'analisi orizzontale 2025 di Banca d'Italia segnala che circa il 28% degli incidenti gravi è stato individuato oltre 24 ore dopo l'evento: la tempestività di rilevazione condiziona i termini di notifica.
• BCM – Continuità operativa, risposta e ripristino
  Artt. 11-12 DORA e artt. 24-26 Reg. del. 2024/1774 per la continuità ICT; Circ. 285, Parte Prima, Tit. IV, Cap. 5 (riformato dal 51 aggiornamento) per la politica di continuità operativa generale coordinata con DORA e per i processi a rilevanza sistemica (Allegato A, Sez. III, invariata). Adeguamento al nuovo Cap. 5 entro sei mesi dall'entrata in vigore dell'aggiornamento; ISO 22301 clausola 8 offre la struttura (BIA, strategie, piani, esercitazioni).
• INC – Gestione e classificazione degli incidenti
  Art. 17-18 DORA e Reg. del. (UE) 2024/1772: un processo unico di gestione degli incidenti ICT (inclusi quelli operativi e di sicurezza dei pagamenti) con registrazione, classificazione secondo criteri e soglie dell'RTS e analisi delle cause. La classificazione deve essere ripetibile e documentata: è il punto di partenza dei termini di notifica.
• REP – Segnalazione a Banca d'Italia / BCE e CSIRT Italia
  Art. 19-20 DORA, Reg. del. (UE) 2025/301 e Reg. di esecuzione (UE) 2025/302; istruzioni operative Banca d'Italia (canale INFOSTAT) e art. 4 D.Lgs. 23/2025 (notifica iniziale anche a CSIRT Italia per il settore bancario). Termini: notifica iniziale entro 4 ore dalla classificazione e non oltre 24 ore dalla conoscenza, intermedia entro 72 ore, finale entro un mese. Per le banche significative l'autorità competente è la BCE: le segnalazioni sono trattate dalle autorità nazionali per conto della BCE.
• TST – Test di resilienza operativa digitale e TLPT
  Artt. 24-27 DORA e Reg. del. (UE) 2025/1190: programma di test basato sul rischio, test almeno annuali sui sistemi a supporto di FEI e, per le banche identificate dall'autorità, TLPT almeno triennali secondo la Guida nazionale TIBER-IT v2.0 (novembre 2025), strumento metodologico unico per TLPT obbligatori e volontari in Italia.
• TPR – Rischio ICT da terzi – strategia e politica
  Area presidiata dalla funzione Esternalizzazioni: art. 28-29 DORA e Reg. del. (UE) 2024/1773 per i servizi ICT; per le esternalizzazioni non ICT restano la Circ. 285, Parte Prima, Tit. IV, Cap. 3, Sez. IV (che recepisce gli Orientamenti EBA sull'esternalizzazione del 2019) e, prospetticamente, i nuovi Orientamenti EBA sul rischio di terze parti non ICT (rapporto finale 18/09/2026). La Banca d'Italia ha chiarito che le procedure di comunicazione preventiva/divieto previste dalla Circ. 285 non si applicano più ai servizi ICT a supporto di FEI, sostituite dall'obbligo informativo dell'art. 28(3) DORA.
• REG – Registro delle informazioni
  Art. 28(3) DORA e Reg. di esecuzione (UE) 2024/2956: registro di tutti gli accordi con fornitori ICT a livello individuale e, per i gruppi, sub-consolidato e consolidato. Invio annuale a Banca d'Italia tramite INFOSTAT in formato xBRL-CSV: dal 2026 entro il 15 marzo con data di riferimento 31 dicembre dell'anno precedente (prima raccolta 2025: entro il 15/04/2025, data di riferimento 31/03/2025). I dati alimentano la designazione dei CTPP da parte delle ESA.
• CTR – Contratti con fornitori ICT, subappalto e uscita
  Area della funzione Esternalizzazioni: art. 30 DORA (clausole minime e rafforzate per FEI), Reg. del. (UE) 2025/532 (subappalto di servizi a supporto di FEI) e art. 28(7)-(8) (risoluzione e strategie di uscita). Il repapering va tracciato contratto per contratto con una gap analysis clausola per clausola; per il cloud le banche significative tengono conto della Guida BCE sull'esternalizzazione di servizi cloud (2025).
• CTP – Fornitori terzi critici (CTPP)
  Artt. 31-44 DORA: il 18/11/2025 le ESA hanno designato i primi 19 fornitori terzi critici di servizi ICT (CTPP), sottoposti alla sorveglianza del Lead Overseer. La designazione non sposta la responsabilità dalla banca: occorre mappare l'esposizione verso i CTPP, recepire raccomandazioni ed esiti della sorveglianza e valutare il rischio di concentrazione.
• AUD – Controlli interni e revisione interna
  Art. 6(4) e 6(6)-(7) DORA, art. 27 Reg. del. 2024/1774 e Circ. 285, Parte Prima, Tit. IV, Cap. 3 (sistema dei controlli interni, ora comprensivo della sezione sul sistema di gestione dei dati): tre linee di difesa, funzione di controllo del rischio ICT indipendente, audit ICT con piano approvato dall'organo di gestione e follow-up formale dei rilievi.
• ISH – Condivisione delle informazioni, autorità e quadro nazionale
  Art. 45 DORA (accordi di condivisione di informazioni sulle minacce, con comunicazione all'autorità), D.Lgs. 23/2025 (autorità competenti, poteri, sanzioni) e coordinamento con il regime NIS2 nazionale (D.Lgs. 138/2024), per il quale DORA opera come atto settoriale speciale per le entità finanziarie. Mantenere un presidio di regulatory watch su Q&A ESA, comunicazioni Banca d'Italia e proposte UE (Digital Omnibus).

Scadenze normative

Domande frequenti

Altri assessment

• EU AI Act – Reg. (UE) 2024/1689 con il Digital Omnibus – mappato su ISO/IEC 42001:2023. Per organizzazioni di tutta l'UE (contenuti in inglese).
• GDPR – Regolamento (UE) 2016/679 e linee guida EDPB – mappato su ISO/IEC 27701:2025 (contenuti in inglese).
• NIS2 Directive – Direttiva (UE) 2022/2555 e Reg. di esecuzione 2024/2690 – mappato su ISO/IEC 27001:2022 (contenuti in inglese).
• DORA – Regolamento (UE) 2022/2554 e RTS/ITS – mappato su ISO/IEC 27001:2022 e ISO 22301:2019 (contenuti in inglese).
• AI Act – Italia – AI Act, L. 132/2025, D.Lgs. 160/2026 e 179/2026 – mappato su ISO/IEC 42001:2023 (contenuti in italiano).
• ISO/IEC 27001 readiness – Gap analysis del SGSI rispetto a ISO/IEC 27001:2022 – clausole 4-10 e 93 controlli dell'Annex A, in vista della certificazione (contenuti in inglese).
• ISO/IEC 42001 readiness – Gap analysis del sistema di gestione dell'IA rispetto a ISO/IEC 42001:2023 – clausole 4-10 e 38 controlli dell'Annex A, in vista della certificazione (contenuti in inglese).
• ISO/IEC 20000-1 / ITSM maturity – Gap analysis del SMS rispetto a ISO/IEC 20000-1:2018 e maturità dei processi ITSM, con riferimenti alle pratiche ITIL, in vista della certificazione (contenuti in inglese).
• Swiss nFADP (nLPD) – Nuova Legge federale sulla protezione dei dati (nLPD, RS 235.1) e Ordinanza OPDa (RS 235.11) – mappata su ISO/IEC 27701:2025 (contenuti in inglese).
• EU laws for Swiss companies – Quali leggi UE si applicano a un'azienda svizzera: GDPR, AI Act, NIS2, DORA e Cyber Resilience Act – verifica rapida di applicabilità e prontezza (contenuti in inglese).
• NIST CSF 2.0 – NIST Cybersecurity Framework 2.0 – maturità per funzione (Govern, Identify, Protect, Detect, Respond, Recover) con i Tier NIST, mappato su ISO/IEC 27001:2022 (contenuti in inglese).
• SOC 2 Type II readiness – SOC 2 Type II readiness – gap analysis sui Trust Services Criteria AICPA (Security, Availability, Confidentiality, Processing Integrity, Privacy), mappata su ISO/IEC 27001:2022 (contenuti in inglese).