DORA è applicabile dal 17 gennaio 2025, mentre il termine per il recepimento nazionale della direttiva NIS2 è stato il 17 ottobre 2024. Le due normative hanno ambiti differenti, ma condividono un cambiamento sostanziale: la sicurezza digitale non viene più trattata come un problema esclusivamente tecnico. Diventa un dovere di governance, controllo e continuità.
Indice degli argomenti:
il nuovo scenario della compliance europea tra Dora e Nis2
DORA, regolamento europeo sulla resilienza operativa digitale del settore finanziario, crea un quadro armonizzato per gestione del rischio ICT, incident reporting, test di resilienza e controllo dei fornitori tecnologici. NIS2 amplia invece il livello comune di cybersicurezza per soggetti essenziali e importanti in numerosi settori.
L’impatto dei regolamenti comunitari sulla governance e sulla resilienza operativa
Entrambe le discipline richiedono che la sicurezza sia integrata nei processi decisionali. DORA attribuisce all’organo di gestione la responsabilità di definire e approvare il quadro di gestione del rischio ICT. NIS2 prevede che gli organi direttivi approvino le misure di gestione del rischio e ne supervisionino l’attuazione.
Il Board deve quindi comprendere quali servizi siano essenziali, quali dipendenze li sostengano e quali conseguenze possano derivare dalla loro indisponibilità. Non è sufficiente ricevere un rapporto dopo l’incidente.
Quali sono le aziende coinvolte e le scadenze normative da rispettare
DORA riguarda un ampio insieme di entità finanziarie, tra cui banche, assicurazioni, imprese di investimento, fornitori di servizi per cripto-attività e altre organizzazioni disciplinate dal regolamento. Coinvolge inoltre i fornitori ICT attraverso obblighi contrattuali e un sistema europeo di sorveglianza dei prestatori critici.
NIS2 si applica, secondo categorie e dimensioni definite dalla direttiva e dalle norme nazionali, a settori quali energia, trasporti, sanità, infrastrutture digitali, servizi ICT gestiti, pubblica amministrazione e produzione di beni critici. Lo stato del recepimento deve essere verificato nel singolo Paese: nel 2025 la Commissione aveva avviato procedure nei confronti di Stati che non avevano notificato una trasposizione completa.
Sanzioni e i rischi di business legati alla mancata conformità
Le conseguenze non si limitano alle sanzioni. Un’organizzazione non conforme può affrontare prescrizioni correttive, controlli rafforzati, contenziosi e difficoltà nei rapporti con clienti, partner e assicuratori.
La responsabilità diretta dei manager e degli organi di controllo aziendali
La responsabilità del management implica approvazione delle politiche, supervisione e adeguata formazione. Delegare l’esecuzione al reparto IT non elimina l’obbligo di controllo.
NIS2 prevede sanzioni amministrative massime differenziate per entità essenziali e importanti, secondo soglie stabilite dalla direttiva e dal recepimento nazionale. DORA utilizza il sistema di vigilanza finanziaria e introduce specifici poteri nei confronti delle entità e dei fornitori ICT critici.
Le valutazioni devono quindi essere effettuate con consulenti legali e autorità competenti, evitando equivalenze automatiche tra i due regimi.
La gestione del rischio informatico lungo tutta la catena di fornitura
Le dipendenze esterne sono centrali. Contratti, livelli di servizio, localizzazione dei dati, accesso alle informazioni, assistenza durante gli incidenti e strategie di uscita devono essere governati prima che si verifichi una crisi.
DORA dedica requisiti specifici al rischio ICT di terze parti e ai contratti relativi a funzioni critiche o importanti. NIS2 include la sicurezza della supply chain tra le misure di gestione del rischio.
I pilastri di Dora e Nis2 per la continuità dei servizi digitali
Le normative richiedono un sistema composto da prevenzione, rilevamento, risposta, recupero e apprendimento. La documentazione deve dimostrare che i processi funzionano, non soltanto che esistono formalmente.
I requisiti di monitoraggio continuo e la segnalazione tempestiva degli incidenti
Il monitoraggio deve identificare rapidamente anomalie e incidenti, classificandoli secondo criteri verificabili. NIS2 prevede una sequenza di comunicazioni per gli incidenti significativi, comprendente una prima segnalazione tempestiva e rapporti successivi. DORA stabilisce un sistema armonizzato per la notifica degli incidenti ICT rilevanti nel settore finanziario.
Il rispetto dei tempi dipende dalla capacità di consolidare dati tecnici, impatti e servizi coinvolti. Informazioni frammentate aumentano il rischio di ritardi o comunicazioni incomplete.
I test di resilienza e i piani di ripristino delle infrastrutture critiche
DORA prevede programmi di test della resilienza operativa digitale e, per alcuni soggetti, test avanzati basati su minacce. NIS2 richiede continuità operativa, backup, disaster recovery e gestione delle crisi.
I test devono considerare scenari realistici: indisponibilità di un provider, corruzione dei dati, compromissione delle identità o interruzione simultanea di più componenti. Il risultato deve produrre correzioni, non una semplice attestazione.
Come automatizzare la conformità a Dora e Nis2 attraverso AIops
La conformità non può essere delegata a una piattaforma, ma l’automazione può migliorare raccolta delle evidenze, rilevamento degli incidenti e tracciabilità.
Semplificare il reporting normativo grazie alla correlazione intelligente degli eventi
L’AIOps può consolidare alert provenienti da strumenti differenti e associare l’incidente ai servizi aziendali coinvolti. Questo riduce il lavoro necessario per ricostruire sequenza temporale, causa probabile e perimetro.
Per comprendere il legame tra incidente tecnico e impatto economico è utile fare riferimento al metodo di calcolo del cost of downtime e della continuità operativa, che consente di attribuire priorità alle anomalie in base ai processi compromessi.
Ridurre i tempi di notifica dei disservizi con il rilevamento precoce di AIOps
Il rilevamento precoce può anticipare la classificazione, ma non sostituisce la valutazione giuridica. Il sistema deve fornire dati affidabili su durata, utenti, territori, funzioni e gravità, lasciando ai responsabili la decisione sulla notificabilità.
Garantire la conformità continua con l’approccio predittivo di AIOps
La logica dei controlli annuali è insufficiente per infrastrutture che cambiano ogni giorno. Configurazioni, fornitori, vulnerabilità e dipendenze devono essere osservati continuativamente.
Superare la logica dei controlli periodici grazie al monitoraggio infrastrutturale costante
Un inventario aggiornato e una telemetria integrata permettono di individuare deviazioni dalle configurazioni approvate. I controlli continui possono segnalare servizi non censiti, agenti disattivati o backup non eseguiti.
Il valore probatorio dipende da integrità, conservazione e accessibilità dei log. La conformità richiede quindi anche governance del dato e segregazione degli accessi.
Ottimizzare la gestione delle vulnerabilità e prevenire i fermi macchina operativi
L’analisi predittiva può correlare vulnerabilità, esposizione, criticità dell’asset e segnali operativi. In questo modo le patch vengono prioritarizzate in base al rischio reale e non soltanto al punteggio teorico.
DORA e NIS2 non rendono impossibili gli incidenti. Richiedono che l’impresa sia in grado di prevederli, contenerli, documentarli e apprendere da essi. La conformità diventa così una misura della qualità della governance tecnologica.
Fonti e riferimenti
- Unione europea, Regolamento (UE) 2022/2554 — DORA, 14 dicembre 2022.
- Commissione europea, NIS2 Directive: securing network and information systems.
- EIOPA, Digital Operational Resilience Act — DORA.
- Unione europea, Regolamento delegato (UE) 2024/1773 sui fornitori ICT, 2024.
Partecipa alla community