A chi si applica il regolamento DORA e perché nessuno te lo notificherà

Il Regolamento (UE) 2022/2554, la normativa DORA, è stato pubblicato il 27 dicembre 2022. Banca d’Italia lo riassume senza margini di interpretazione: «ai sensi dell’articolo 64 del Regolamento DORA, le previsioni in esso contenute si applicano a decorrere dal 17 gennaio 2025». Quello che non è arrivato insieme al regolamento è un elenco di destinatari.

La CNMV (Comisión Nacional del Mercado de Valores, l’autorità spagnola dei mercati) lo mette nero su bianco nel suo documento di domande frequenti sul Regolamento DORA. Alla domanda se esista un registro ufficiale che permetta di consultare le entità soggette all’ambito di applicazione, la risposta è no: spetta alle stesse entità finanziarie stabilire se la normativa le riguarda ed essere proattive per conformarsi, senza attendere che l’autorità comunichi loro l’applicabilità.

Questo sposta un compito che di solito viene trattato come formalità preliminare e lo trasforma nel primo obbligo sostanziale. Questo articolo non ripercorre i cinque pilastri del regolamento e non entra nei test di resilienza operativa digitale. Delimita a chi si applica il regolamento DORA, chi resta fuori e il motivo per cui l’obbligo finisce per raggiungere fornitori tecnologici che non sono entità finanziarie.

A chi si applica il regolamento DORA?

DORA è il regolamento europeo che fissa requisiti comuni di resilienza operativa digitale per il settore finanziario. L’articolo 2 elenca le categorie di entità finanziarie che rientrano nell’ambito di applicazione, e l’elenco è lungo.

Rientrano gli enti creditizi, gli istituti di pagamento e di moneta elettronica, le imprese di investimento, i fornitori di servizi per le cripto-attività, i depositari centrali di titoli, le controparti centrali, le sedi di negoziazione, le società di gestione e i gestori di fondi di investimento alternativi, le imprese di assicurazione e riassicurazione, gli intermediari assicurativi, i fondi pensione aziendali o professionali, i fornitori di servizi di comunicazione dati e i fornitori di servizi di crowdfunding.

Anche il criterio geografico è ampio. Il regolamento riguarda le entità finanziarie che offrono servizi nell’Unione europea, e le succursali restano obbligate come parte integrante dell’entità. I loro sistemi si integrano nel quadro di gestione dei rischi della casa madre, i loro dipendenti devono conoscere le politiche di sicurezza applicabili e partecipare ai relativi piani di formazione.

La vigilanza, invece, non è centralizzata. Segue la ripartizione già esistente per tipo di entità, quindi l’autorità che può chiederti conto di DORA è la stessa che ti vigila oggi.

Autorità competente in Italia	Entità vigilate
Banca d’Italia	Enti creditizi, istituti di pagamento e di moneta elettronica, intermediari finanziari
Consob	Imprese di investimento, fornitori di servizi per le cripto-attività, infrastrutture di mercato, società di gestione e gestori di fondi di investimento alternativi
IVASS (Istituto per la Vigilanza sulle Assicurazioni)	Imprese di assicurazione e riassicurazione e intermediari assicurativi
COVIP (Commissione di Vigilanza sui Fondi Pensione)	Fondi pensione aziendali o professionali

Chi resta fuori dall’ambito di applicazione?

Le esclusioni esplicite esistono, e conviene leggerle con attenzione perché sono strette.

L’articolo 2, paragrafo 3, lettera a) esclude i gestori di fondi di investimento alternativi di cui all’articolo 3.2 della Direttiva 2011/61/UE, purché i portafogli gestiti non superino i 100 milioni di euro complessivi, oppure i 500 milioni quando siano composti esclusivamente da fondi non caratterizzati da leva finanziaria e senza diritti di rimborso esercitabili per un periodo minimo di cinque anni dall’investimento iniziale. Queste entità possono comunque adottare il quadro su base volontaria, scelta ragionevole se prevedono una crescita che le porti sopra le soglie.

Fuori da questi casi, la dimensione non funziona come via d’uscita. Ad alcune entità, come le imprese di investimento piccole e non interconnesse e le microimprese, si applica il quadro semplificato di gestione del rischio ICT dell’articolo 16, e l’articolo 4 introduce il principio di proporzionalità. Nessuna delle due cose è un’esenzione: la proporzionalità calibra l’intensità delle misure sul profilo di rischio e sulla complessità delle operazioni, non l’elenco degli articoli da rispettare. Per dare una misura, il regolamento considera microimpresa l’entità finanziaria che occupa meno di dieci persone e il cui fatturato annuo o totale di bilancio annuo non supera i due milioni di euro.

Perché il tuo fornitore ICT rientra anche lui

Qui si trova il tratto di perimetro che viene calcolato male più spesso. DORA definisce i servizi ICT in modo deliberatamente ampio, come i servizi digitali e di dati forniti tramite sistemi ICT a uno o più utenti su base continuativa. Con quella definizione quasi ogni piattaforma che un’entità finanziaria usa nell’operatività quotidiana entra nel discorso, e l’obbligo raggiunge i fornitori con tre intensità diverse.

• Fornitore terzo di servizi ICT. Assume obblighi in via indiretta, perché l’entità finanziaria non risulti inadempiente, con determinate clausole derivanti dall’articolo 30.2 e dati come il codice LEI o EUID che servono all’entità per tenere il registro delle informazioni sugli accordi contrattuali.
• Fornitore che supporta funzioni essenziali o importanti. Gli si richiede un impianto contrattuale più stringente, quello dell’articolo 30.3, e l’allineamento alla politica di esternalizzazione e subappalto dell’entità.
• Fornitore terzo critico. Quando le Autorità europee di vigilanza lo designano come critico ai sensi dell’articolo 31, DORA gli si applica in via diretta e passa sotto il quadro di sorveglianza degli articoli da 31 a 44.

Due dettagli allargano ulteriormente il cerchio. I fornitori infragruppo contano come fornitori terzi, anche quando sono interamente di proprietà di entità dello stesso gruppo, con gli stessi requisiti applicabili. E la catena di subappalto rientra, perché il subappaltatore deve concedere all’entità finanziaria e alle autorità gli stessi diritti contrattuali di accesso e ispezione del fornitore principale.

L’effetto pratico è che un’azienda tecnologica che non è un’entità finanziaria può trovarsi i requisiti di DORA in una trattativa contrattuale, non nella Gazzetta Ufficiale. È lo stesso spostamento verso la catena di fornitura già visto analizzando gli obblighi di cybersecurity awareness della Direttiva NIS2.

Cosa chiede DORA sulle persone quando ti si applica

Definito l’ambito, l’obbligo sul personale compare con un nome preciso. L’articolo 13, paragrafo 6, stabilisce che le entità finanziarie sviluppano programmi di awareness sulla sicurezza ICT e di formazione sulla resilienza operativa digitale, che costituiscono moduli obbligatori dei programmi di formazione del personale. Il testo normativo parla di sensibilizzazione dove il settore dice cybersecurity awareness, e si riferisce alla stessa cosa.

Tre dettagli di quel paragrafo cambiano il disegno di un programma. I programmi si applicano a tutti i dipendenti e all’alta dirigenza. Devono avere un livello di complessità commisurato alle attribuzioni di ciascuna funzione, il che esclude il corso unico per l’intera popolazione aziendale. E, ove opportuno, le entità includono anche i fornitori terzi di servizi ICT nei relativi piani di formazione, così che la formazione attraversi lo stesso confine tracciato sopra.

L’alta dirigenza non resta a guardare. L’organo di gestione è il responsabile ultimo del quadro di gestione del rischio ICT e deve possedere conoscenze, competenze ed esperienza sufficienti sul rischio tecnologico e sulla resilienza digitale, oltre a mantenerle aggiornate. Nel settore finanziario è una direzione già visibile con altri quadri normativi, come ho osservato ripercorrendo il fattore umano nelle aspettative del supervisore finanziario. Come si articola un programma di questo tipo per audience è descritto nella pagina di conformità a DORA di SMARTFENSE.

Come si dimostra davanti all’autorità competente

Si dimostra attraverso registri e documentazione, e attraverso registri che descrivano chiaramente funzioni, responsabilità e attività svolte. Un punto che sorprende chi arriva da un altro quadro normativo è che una certificazione non chiude la questione: la certificazione ISO 27001, o altra equivalente, attesta un insieme di prassi standard di cybersecurity che non sono adattate agli obblighi di DORA, e le autorità si aspettano un’analisi degli scostamenti per verificare il livello di adeguatezza.

Vale anche per i fornitori, la cui certificazione può far parte della due diligence senza sostituirla. La differenza tra documentare la formazione e documentare il comportamento l’ho già trattata analizzando il controllo 6.3 della ISO 27001:2022.

Sul livello delle persone, le evidenze che sostengono la conformità poggiano di solito su questi elementi:

• Registro di chi ha ricevuto attività di sensibilizzazione e formazione, quando e su quali contenuti, con copertura dell’intera popolazione aziendale e delle succursali.
• Contenuti differenziati per funzione, con un livello di complessità giustificabile rispetto alle attribuzioni di ciascun ruolo.
• Formazione dell’organo di gestione documentata e continuativa, non una sessione isolata.
• Copertura dei fornitori terzi di servizi ICT inclusi nei piani di formazione ove opportuno.
• Tracciabilità sufficiente per alimentare la relazione sul riesame del quadro di gestione del rischio che l’autorità competente può richiedere.

A questo si aggiunge un obbligo di reporting da mettere in calendario. Le entità tengono un registro delle informazioni su tutti gli accordi contrattuali relativi all’uso di servizi ICT, che distingue quelli che supportano funzioni essenziali o importanti da quelli che non lo fanno. Le autorità lo richiedono con cadenza annuale per trasmetterlo alle Autorità europee di vigilanza ai fini della designazione dei fornitori critici. Il problema che emerge in qualsiasi audit si ripresenta qui, ed è stato evidenziato nell’articolo: le domande dell’auditor a cui un Excel non risponde.

SMARTFENSE, come piattaforma di cybersecurity awareness presente in Italia, Spagna e America Latina, è pensata perché quella traccia esista senza dover ricostruirla a mano. Ogni azione di cybersecurity awareness, ogni valutazione e ogni simulazione viene registrata e segmentata per gruppo e per funzione, in linea con l’unità organizzativa sulla quale DORA basa i propri obblighi. Il resto della mappa normativa coperta è nella pagina di conformità.

Determinare l’ambito di applicazione è la prima decisione che l’entità prende su DORA sotto la propria responsabilità, e quella che dovrà poi giustificare. Quel calcolo raramente si ferma al proprio organigramma, perché prosegue lungo la catena di fornitori che sostiene ciascuna funzione essenziale. Quando arriverà la domanda dell’autorità, conterà cosa riesci a dimostrare entro il confine che hai tracciato.