Il regolamento DORA è la normativa europea che obbliga le aziende del settore finanziario a reggere attacchi e guasti informatici senza interrompere i servizi ai propri clienti.
È entrato in applicazione il 17 gennaio 2025 come regolamento direttamente vincolante (quindi senza passare per una legge nazionale di recepimento).
Molte aziende lo hanno affrontato come un progetto tecnico da lasciare all’ufficio informatico, salvo accorgersi che tocca governance, rapporti con i fornitori e la formazione di tutto il personale.
In questo articolo, vediamo insieme i cinque pilastri su cui poggia.
1. I 5 pilastri del regolamento DORA
L’impianto normativo del regolamento DORA si regge su cinque pilastri, che insieme coprono l’intero percorso del rischio informatico, dalla prevenzione alla condivisione delle lezioni apprese.
Vediamoli nel dettaglio:
1. Gestione del rischio ICT
L’azienda deve mappare i propri sistemi, individuare le funzioni critiche e definire ruoli e responsabilità nella loro protezione, con l’organo di gestione chiamato a rispondere delle scelte.
2. Segnalazione degli incidenti
Gli incidenti informatici gravi vanno classificati secondo criteri comuni e notificati alle autorità competenti entro le tempistiche previste, seguendo un percorso di comunicazione stabilito in anticipo.
3. Test di resilienza operativa
La tenuta dei sistemi va verificata con prove periodiche, che vanno dai controlli di base fino ai test avanzati di penetrazione guidati dalle minacce, richiesti alle realtà più rilevanti.
4. Gestione del rischio dei fornitori terzi
I fornitori di servizi informatici vanno censiti e sorvegliati, con clausole contrattuali precise e un’attenzione particolare a quelli critici, da cui dipende la continuità dei servizi.
5. Condivisione delle informazioni
Le aziende possono scambiarsi in modo strutturato informazioni su minacce e tecniche di attacco, così da rafforzare la difesa collettiva del comparto.
Presi insieme, questi cinque pilastri chiedono un lavoro che nessun singolo reparto porta avanti da solo, e questo sposta la resilienza informatica dentro la responsabilità dell’intera azienda.
Richiedi maggiori informazioni
Compila il form qua sotto per scoprire come Syllog AI può supportare te e la tua azienda nella gestione della formazione in maniera centralizzata, veloce e documentata.
2. A chi si applica il regolamento DORA (e cosa cambia in azienda)
Il pubblico coinvolto è ampio.
Rientrano nel perimetro assicurazioni, società di intermediazione, società di gestione del risparmio, istituti di pagamento e di moneta elettronica, fornitori di servizi in cripto-attività e diverse altre figure del mondo finanziario.
A queste, si aggiungono fornitori terzi di servizi informatici che, pur restando fuori dal settore finanziario, rispondono ai clienti coinvolti quando forniscono servizi critici.
Il regolamento applica il principio di proporzionalità, quindi calibra i requisiti sulla dimensione e sul profilo di rischio di ciascuna azienda e chiede a una piccola realtà meno di quanto pretenda da un grande gruppo.
Il cambiamento più profondo riguarda però la titolarità del tema, dove la resilienza informatica diventa un dovere dell’organo di gestione che ne risponde in prima persona.
Da qui, nasce anche l’obbligo di preparare le persone, perché nessun vertice può sorvegliare un rischio che non comprende davvero.
Il regolamento DORA è la normativa europea che obbliga le aziende del settore finanziario a reggere attacchi e guasti informatici senza interrompere i servizi ai propri clienti.
3. L’obbligo di formazione nel regolamento DORA
L’articolo 13 mette nero su bianco ciò che gli altri pilastri lasciano intendere.
Le persone vanno formate sulla sicurezza informatica, e la formazione va commisurata al rischio che ciascuno affronta.
Questo obbligo, inoltre, ha alcuni tratti ben precisi:
- Coinvolge tutto il personale
La preparazione riguarda ogni persona dell’azienda, non soltanto chi lavora nell’informatica, perché una mail ingannevole può raggiungere qualunque scrivania.
- Include l’organo di gestione
Chi guida l’azienda deve mantenere conoscenze aggiornate sui rischi informatici, così da valutare con cognizione le misure che approva e sorveglia.
- Va documentata
Occorre poter dimostrare chi si è formato, su quali contenuti e con quale esito, perché in sede di verifica l’autorità guarda proprio a questa prova.
L’ultimo punto è quello su cui molte aziende arrivano impreparate, dato che erogare la formazione e conservarne la traccia in modo ordinato sono due lavori distinti (e il secondo viene quasi sempre sottovalutato).
Se vuoi scoprire come Syllog può aiutarti a trasformare i tuoi contenuti e renderli accessibili, contattaci:
👉 Richiedi informazioni
4. Syllog Compliance e il regolamento DORA nel settore finanziario
Immagina il responsabile compliance di una banca il giorno dopo un test di resilienza che ha fatto emergere una debolezza nella gestione degli accessi.
La correzione tecnica parte subito, ma il regolamento chiede anche che le persone coinvolte sappiano cosa è cambiato, con una profondità diversa a seconda del ruolo.
Con Syllog questo secondo passaggio procede insieme al primo.
La procedura interna aggiornata alimenta percorsi personalizzati per gli operatori di sportello, per il team informatico e per l’organo di gestione, ciascuno con il proprio livello di attenzione.
Le persone ricevono il proprio percorso e, chi presidia la conformità, legge chi lo ha completato e chi deve ancora farlo.
Quando un nuovo standard tecnico del regolamento entra in vigore (e nel caso di DORA ne arrivano a più riprese), il percorso viene aggiornato con prontezza e le persone da riallineare vengono subito avvertite.
Se un’autorità di vigilanza chiede in quale data un determinato addetto si sia formato su quella misura, la risposta è già registrata accanto al suo nome.
Per il settore finanziario, Syllog arriva tarato sul linguaggio e sui processi di banche e intermediari, con la compliance informatica che si affianca agli obblighi su AML, KYC e MiFID II già presidiati nello stesso ambiente.
In questo modo, la formazione richiesta dal regolamento raggiunge le persone che usano i sistemi ogni giorno, e resta dimostrabile nel momento in cui qualcuno la chiede.
La formazione della tua azienda sulla sicurezza informatica prevista dal regolamento DORA è davvero pronta per un controllo?
👉 Richiedi una demo personalizzata
👉 Scopri di più sulla nostra piattaforma con AI
Per il settore finanziario, Syllog arriva tarato sul linguaggio e sui processi di banche e intermediari, con la compliance informatica che si affianca agli obblighi già presidiati.
Corsi chiavi in mano in poche ore
CORSI SU MISURA
Hai un corso da erogare in tempi brevi alle persone in azienda? Ci occupiamo noi di trasformare i tuoi materiali subito in un corso interattivo in breve tempo.
Hai un corso formativo in PDF, Power Point, Word? Ci occupiamo noi di trasformarla subito in un corso interattivo in formato SCORM in breve tempo, con prezzi a partire da 500€/corso, comprensivi di:
- Raccolta documentale
- Progettazione formativa
- Contenuti personalizzati
- Supporto dedicato
👉 Scopri i corsi “chiavi in mano” Syllog AI.
Non solo:
Se hai già a disposizione del materiale formativo e vuoi renderlo conforme alle nuove norme di accessibilità, contattaci per scoprire come possiamo aiutarti.