Il Regolamento DORA: gestione degli incidenti ICT

DORA Pilastro 3: gestione degli incidenti – Protocolli, notifiche e misure correttive 

Quando il rischio si materializza, conta la capacità di reagire: tempestività, metodo e conformità regolamentare. Anche i migliori modelli di governance e di gestione del rischio non eliminano del tutto la possibilità che si verifichino incidenti ICT.​

Il terzo pilastro del Regolamento DORA parte proprio da questa evidenza e introduce requisiti stringenti su come gli intermediari finanziari devono reagire, documentare e comunicare gli incidenti quando accadono. Per gli intermediari finanziari ex art. 106 TUB, la gestione degli incidenti non è più una questione esclusivamente tecnica: DORA la trasforma in un processo regolamentato, soggetto a obblighi di notifica, tracciabilità e verifica da parte delle Autorità.​

Cosa richiede il DORA in materia di Gestione degli Incidenti?

A) Protocolli di gestione degli incidenti

Ogni intermediario deve disporre di procedure documentate che disciplinino l’intero ciclo di vita dell’incidente ICT, includendo:

• rilevamento tempestivo tramite sistemi di monitoring, alerting e segnalazioni interne,
• contenimento immediato per limitare l’impatto operativo e reputazionale,
• analisi e investigazione delle cause, del perimetro e degli effetti dell’incidente,
• comunicazione interna strutturata verso management, organi aziendali e funzioni di controllo,
• remediation e ripristino sicuro dei servizi,
• documentazione completa e tracciabile di ogni fase dell’evento.

DORA richiede che questi processi siano testati, aggiornati e conosciuti dalle funzioni coinvolte.​

B) Obblighi di notifica

Un elemento cruciale introdotto dal DORA è l'obbligo di notificare gli incidenti ICT alle autorità competenti, in base alla loro significatività. Questo include:​

• Notifiche all'Autorità di Vigilanza: incidenti significativi devono essere riportati alle autorità bancarie/finanziarie.
• Notifiche ad altre autorità: in certi casi, possono essere necessarie notifiche anche all'Agenzia per la Cybersicurezza Nazionale o al Garante per la Protezione dei Dati Personali.
• Classificazione e tempistiche: il DORA definisce criteri specifici per determinare quali incidenti richiedano notifica e con quali tempistiche.

Errori di valutazione o ritardi nella notifica possono tradursi in rilievi regolamentari e sanzioni.​

C) Misure correttive

Dopo ogni incidente, l'organizzazione deve implementare misure correttive per:

• eseguire un’analisi delle root cause,
• prevenire le ricorrenze,
• migliorare i controlli e i processi che sono stati coinvolti nell’incidente.

Le 5 principali criticità per gli intermediari ex 106 TUB

1. Classificazione dell’incidente: una delle domande critiche è: quale incidente richiede notifica? I criteri possono essere ambigui.
2. Velocità di risposta: il DORA richiede notifiche tempestive, incompatibili con processi decisionali lenti.
3. Coordinamento tra funzioni: una gestione efficace degli incidenti richiede coordinamento rapido fra IT, compliance, risk, legal e management.
4. Comunicazione trasparente: notificare incidenti alle autorità significa ammettere vulnerabilità, generando a volte tensioni interne.
5. Gestione dei dati personali: se l'incidente coinvolge dati personali, entra in gioco anche la normativa GDPR, con ulteriori obblighi di notifica ai soggetti interessati.
6.  

Come strutturare una gestione degli incidenti DORA-compliant in 6 step

1. Redigere una policy di gestione degli incidenti che includa procedure dettagliate, con ruoli chiari e responsabilità definite.
2. Istituire un Incident Response Team: assicurare che l'organizzazione abbia un team dedicato, con tutte le funzioni necessarie rappresentate.
3. Definire le soglie e i criteri di notifica: essere chiari su quali incidenti richiedono escalation e notifica.
4. Registro incidenti: implementare un tool per registrare e gestire gli incidenti.
5. Formazione dell’Incident Response Team: formare le funzioni coinvolte e condurre simulazioni di incident response.
6. Post-incident review: è necessaria un’analisi post incidente strutturata, integrando le lesson learned.

Il ruolo centrale del monitoraggio continuo

Una risposta efficace presuppone una capacità di rilevamento adeguata. DORA richiede quindi:

• sistemi di monitoring continuo dei servizi critici,
• gestione centralizzata e sicura dei log,
• alerting evoluto, in grado di distinguere eventi rilevanti da falsi positivi.

Il monitoraggio è il primo anello della catena di resilienza.​

Augeos affianca gli intermediari finanziari ex art. 106 TUB nella progettazione e implementazione di sistemi di gestione degli incidenti ICT pienamente conformi al Regolamento DORA.

Nel prossimo approfondimento analizzeremo il Pilastro 4 – Test di Resilienza Operativa Digitale, essenziale per verificare in anticipo l’efficacia dei presidi prima che l’incidente accada.​