Il Regolamento DORA : Gestione degli incidenti ICT

DORA Pilastro 3: Gestione degli Incidenti – protocolli, notifiche e misure correttive 

Quando il rischio si materializza, conta la capacità di reagire: tempestività, metodo e conformità regolamentare. Anche i migliori modelli di governance e di gestione del rischio non eliminano del tutto la possibilità che si verifichino incidenti ICT.​

Il terzo pilastro del Regolamento DORA parte proprio da questa evidenza e introduce requisiti stringenti su come gli intermediari finanziari devono reagire, documentare e comunicare gli incidenti quando accadono. Per gli intermediari finanziari ex art. 106 TUB, la gestione degli incidenti non è più una questione esclusivamente tecnica: DORA la trasforma in un processo regolamentato, soggetto a obblighi di notifica, tracciabilità e verifica da parte delle Autorità.​

Cosa richiede il DORA in materia di Gestione degli Incidenti?

Ogni intermediario deve disporre di procedure documentate che disciplinino l’intero ciclo di vita dell’incidente ICT, includendo:

• rilevamento tempestivo tramite sistemi di monitoring, alerting e segnalazioni interne
• contenimento immediato per limitare l’impatto operativo e reputazionale
• analisi e investigazione delle cause, del perimetro e degli effetti dell’incidente
• comunicazione interna strutturata verso management, organi aziendali e funzioni di controllo
• remediation e ripristino sicuro dei servizi
• documentazione completa e tracciabile di ogni fase dell’evento

DORA richiede che questi processi siano testati, aggiornati e conosciuti dalle funzioni coinvolte.​

Un elemento cruciale introdotto dal DORA è l'obbligo di notificare gli incidenti ICT alle autorità competenti, in base alla loro significatività. Questo include:​

• Notifiche all'Autorità di Vigilanza: incidenti significativi devono essere riportati alle autorità bancarie/finanziarie
• Notifiche ad altre autorità: in certi casi, possono essere necessarie notifiche anche all'Agenzia per la Cybersicurezza Nazionale o al Garante per la Protezione dei Dati Personali
• Classificazione e tempistiche: il DORA definisce criteri specifici per determinare quali incidenti richiedano notifica e con quali tempistiche

Errori di valutazione o ritardi nella notifica possono tradursi in rilievi regolamentari e sanzioni.​

Dopo ogni incidente, l'organizzazione deve implementare misure correttive per:

• eseguire un’analisi delle root cause
• prevenire le ricorrenze
• migliorare i controlli e i processi che sono stati coinvolti nell’incidente

Le principali criticità per gli intermediari ex 106 TUB:

1. 1. Classificazione dell’incidente: una delle domande critiche è: quale incidente richiede notifica? I criteri possono essere ambigui.
   2. Velocità di risposta: il DORA richiede notifiche tempestive, incompatibili con processi decisionali lenti.
   3. Coordinamento tra funzioni: una gestione efficace degli incidenti richiede coordinamento rapido fra IT, compliance, risk, legal e management.
   4. Comunicazione trasparente: notificare incidenti alle autorità significa ammettere vulnerabilità, generando a volte tensioni interne.
   5. Gestione dei dati personali: se l'incidente coinvolge dati personali, entra in gioco anche la normativa GDPR, con ulteriori obblighi di notifica ai soggetti interessati.
2.  

Come strutturare una Gestione degli incidenti DORA-compliant :

1. Redigere una policy di gestione degli incidenti che includa procedure dettagliate, con ruoli chiari e responsabilità definite
2. Istituire un Incident Response Team: assicurare che l'organizzazione abbia un team dedicato, con tutte le funzioni necessarie rappresentate
3. Definire le soglie e i criteri di notifica: essere chiari su quali incidenti richiedono escalation e notifica
4. Registro incidenti: implementare un tool per registrare e gestire gli incidenti
5. Formazione dell’Incident Response Team: formare le funzioni coinvolte e condurre simulazioni di incident response
6. Post-incident review: è necessaria un’analisi post incidente strutturata, integrando le lesson learned

Il ruolo centrale del monitoraggio continuo

Una risposta efficace presuppone una capacità di rilevamento adeguata. DORA richiede quindi:

• sistemi di monitoring continuo dei servizi critici
• gestione centralizzata e sicura dei log
• alerting evoluto, in grado di distinguere eventi rilevanti da falsi positivi

Il monitoraggio è il primo anello della catena di resilienza.​

Augeos affianca gli intermediari finanziari ex art. 106 TUB nella progettazione e implementazione di sistemi di Gestione degli Incidenti ICT pienamente conformi al Regolamento DORA.

Nel prossimo approfondimento analizzeremo il Pilastro 4 – Test di Resilienza Operativa Digitale, essenziale per verificare in anticipo l’efficacia dei presidi prima che l’incidente accada.​