DORA è il Regolamento UE 2022/2554 sulla resilienza operativa digitale del settore finanziario, in applicazione dal 17 gennaio 2025. Non chiede un documento: chiede capacità reali su cinque pilastri — rischio ICT, incidenti, test, terze parti, condivisione. In pratica: sapere cosa hai in rete, rilevare gli incidenti, testare i sistemi, controllare i fornitori. Il resto è carta.
01Cos'è DORA e perché non è l'ennesima compliance di carta?
DORA — Digital Operational Resilience Act — è il Regolamento (UE) 2022/2554, adottato il 14 dicembre 2022 ed entrato in applicazione il 17 gennaio 2025 (EUR-Lex, Reg. UE 2022/2554). Essendo un regolamento, e non una direttiva, si applica direttamente in tutti gli Stati membri: non c'è un recepimento nazionale a fare da cuscinetto, vale così com'è scritto.
La differenza con tante normative precedenti è il verbo. DORA non dice "documenta", dice "resisti, rispondi, recupera". L'obiettivo dichiarato è un livello comune elevato di resilienza operativa digitale, con requisiti uniformi sulla sicurezza dei sistemi di rete e informativi che sostengono i processi delle entità finanziarie. Tradotto: il regolatore non vuole una cartella di policy, vuole un'organizzazione che regge quando un fornitore cloud cade o un attacco entra di notte.
02A chi si applica DORA? Anche a una PMI?
Sì, e questo è il punto che molti sottovalutano. DORA non è solo roba da grandi banche. L'Articolo 2 elenca circa 21 categorie di entità finanziarie a cui si applica, a prescindere dalla dimensione: banche, imprese di investimento, assicurazioni e riassicurazioni, istituti di pagamento e di moneta elettronica, fornitori di servizi per le cripto-attività, gestori di fondi, piattaforme di crowdfunding e altri (EUR-Lex, Reg. UE 2022/2554, Art. 2).
Per le microimprese il regolamento prevede un principio di proporzionalità: alcuni requisiti più pesanti, come i test di penetrazione avanzati, non si applicano. Ma l'impianto di base — gestione del rischio ICT, notifica degli incidenti, controllo dei fornitori — resta. Se sei una PMI del settore finanziario, sei dentro.
03Quali sono i cinque pilastri di DORA?
Tutto DORA si regge su cinque pilastri. Non sono capitoli di un manuale: sono cinque capacità che devono esistere e funzionare.
- Gestione del rischio ICT. Governance, inventario dei sistemi, identificazione delle funzioni critiche. Non puoi proteggere ciò che non sai di avere.
- Gestione e notifica degli incidenti. Rilevare, classificare e notificare gli incidenti ICT gravi alle autorità competenti, con un processo armonizzato e tempi definiti.
- Test di resilienza operativa digitale. Dalla valutazione delle vulnerabilità fino al threat-led penetration testing per i soggetti maggiori.
- Gestione del rischio di terze parti ICT. Registro dei fornitori, clausole contrattuali minime, e un quadro di sorveglianza UE sui fornitori designati critici.
- Condivisione di informazioni. Scambio volontario di informazioni e intelligence sulle minacce tra entità finanziarie.
Quattro pilastri su cinque presuppongono una cosa sola, prima di ogni policy: visibilità. Senza sapere cosa c'è in rete e chi tocca cosa, gestione del rischio, notifica e controllo dei fornitori restano dichiarazioni d'intenti.
04Le date e i numeri che contano
Tre dati citabili, da fonti ufficiali, inquadrano gli obblighi senza rumore.
Il threat-led penetration testing (TLPT) va eseguito almeno ogni tre anni dalle entità identificate dall'autorità competente, su sistemi di produzione reali che sostengono funzioni critiche o importanti; le microimprese ne sono escluse (EUR-Lex, Reg. UE 2022/2554, Art. 26). Sul fronte sanzioni, i fornitori ICT designati critici rientrano nel quadro di sorveglianza delle Autorità europee di vigilanza: l'Articolo 35 prevede penalità di mora fino all'1% del fatturato medio giornaliero mondiale, applicate su base giornaliera per un massimo di sei mesi, fino al ripristino della conformità (EUR-Lex, Reg. UE 2022/2554, Art. 35).
05Perché la maggior parte dei progetti DORA fallisce sulla carta?
L'errore tipico è trattare DORA come un adempimento documentale: si scrivono le policy, si compila il registro dei fornitori, si archivia. Poi arriva l'incidente vero, e si scopre che nessuno sapeva quali sistemi fossero esposti, quali funzioni fossero critiche, quali fornitori toccassero i dati. La carta c'era. La resilienza no.
Il quadro di sorveglianza europeo sui fornitori ICT critici, gestito dalle Autorità europee di vigilanza, rende il problema strutturale: la designazione si basa su impatto sistemico, importanza delle entità che dipendono dal fornitore, concentrazione e sostituibilità (ESMA, Digital Operational Resilience Act). Se non sai chi sono i tuoi fornitori critici e cosa controllano, non stai gestendo un rischio: lo stai subendo. È lo stesso principio che difendiamo nella sovranità digitale europea: il controllo si misura su chi tocca i dati e da quale giurisdizione, non sulla bandiera del datacenter.
06Da dove iniziare, concretamente
Si parte dalla fotografia, non dalla policy. Cosa hai in rete, cosa è esposto, quali fornitori ICT tocchi, dove sono i punti ciechi. È la base dei pilastri uno (rischio ICT) e quattro (terze parti), e senza di essa il resto è teoria. Per questo proponiamo quasi sempre un audit della rete come primo passo: sette giorni, on-prem, e in mano un documento che mappa sistemi, flussi e dipendenze.
La fotografia la scatta Munin, il nostro strumento di audit e visibilità di rete: inventario di ciò che è connesso, esposizioni, dipendenze dai fornitori. Da lì la conformità a DORA diventa una lista di cose da chiudere in ordine di priorità, mappate sui pilastri, non un mostro indistinto. La parte difficile non è capire il regolamento. È sapere a che punto sei. Se vuoi un confronto sul tuo caso, scrivici o guarda i nostri prodotti cyber e AI sovrani.