Regolamento Dora e sicurezza della supply chain ICT
Il Regolamento DORA richiede alle organizzazioni finanziarie di controllare i rischi legati ai fornitori di servizi ICT, dai quali dipendono spesso attività e funzioni essenziali.
La sicurezza di un’organizzazione non scaturisce soltanto dalla protezione dei propri sistemi, ma anche dall’affidabilità dei soggetti che forniscono infrastrutture, software, servizi Cloud e altre risorse tecnologiche. Un incidente presso uno di questi fornitori può compromettere la continuità operativa, la disponibilità dei dati e i servizi offerti ai clienti.
Il riferimento normativo è il Regolamento (UE) 2022/2554, noto come Digital Operational Resilience Act, in vigore dal 16 gennaio 2023 e pienamente applicabile dal 17 gennaio 2025. Gli articoli 28, 29 e 30 disciplinano la gestione del rischio derivante dai fornitori terzi di servizi ICT, con obblighi relativi alla valutazione delle dipendenze tecnologiche, ai rapporti contrattuali e al monitoraggio dei rischi associati alle forniture.
In vista della chiusura dell’esercizio 2026, è quindi opportuno verificare la completezza delle informazioni sui fornitori e sui relativi accordi contrattuali. Il 31 dicembre è la data di riferimento per il Registro delle informazioni da trasmettere alla Banca d’Italia entro il 15 marzo 2027.
La verifica permette anche di individuare eventuali lacune nella documentazione e affrontare le criticità ancora aperte.
DORA: il regolamento e gli obblighi per la gestione del rischio ICT
La gestione del rischio legato ai fornitori terzi di servizi ICT è uno degli elementi centrali del Regolamento DORA. La normativa rafforza il controllo sulla catena di approvvigionamento, richiedendo alle entità finanziarie di conoscere le proprie dipendenze tecnologiche, valutare i partner esterni e verificare che gli accordi contrattuali garantiscano adeguati livelli di sicurezza e continuità operativa.
La responsabilità della conformità rimane in capo all’organizzazione anche quando un servizio viene affidato a un soggetto esterno. Tra gli obblighi rientrano la valutazione preventiva dei rapporti di fornitura, l’analisi delle dipendenze da singoli fornitori e la tenuta del Registro delle informazioni.
Per i servizi che supportano funzioni essenziali o importanti, occorre verificare con particolare attenzione le garanzie di continuità operativa, i diritti di accesso e audit, le condizioni di subappalto e le modalità di cessazione del rapporto. Questi aspetti contribuiscono a valutare se l’organizzazione sia in grado di controllare il servizio e gestire eventuali interruzioni.
Come mappare la filiera ICT e identificare i fornitori
La prima attività consiste nel ricostruire i servizi ICT impiegati dall’organizzazione e i rapporti contrattuali attraverso i quali vengono erogati. È necessario raccogliere e confrontare le informazioni provenienti dalle funzioni IT, cybersecurity, acquisti, ufficio legale e risk management, collegando i contratti ai servizi effettivamente usati.
La mappatura dovrebbe comprendere fornitori di servizi cloud, software aziendali, infrastrutture, telecomunicazioni, gestione dei sistemi, monitoraggio della sicurezza e assistenza tecnica.
Per ogni rapporto occorre identificare il servizio erogato, il fornitore, le condizioni contrattuali, i dati trattati e le attività aziendali coinvolte. È importante ricostruire anche le dipendenze dai subfornitori, soprattutto quando partecipano all’erogazione di servizi rilevanti.
Un passaggio essenziale è collegare ogni servizio alle funzioni aziendali supportate, distinguendo quelle essenziali o importanti dalle altre. Questa classificazione consente di stabilire le priorità delle verifiche in base alle conseguenze che un’interruzione potrebbe avere sull’operatività.
Le informazioni raccolte devono confluire nel Registro delle informazioni DORA, previsto dall’articolo 28, paragrafo 3, e strutturato secondo i modelli stabiliti dal Regolamento di esecuzione (UE) 2024/2956. Il registro deve essere mantenuto aggiornato e coerente con gli accordi contrattuali effettivi: non è un semplice elenco di fornitori, ma uno strumento per conoscere le dipendenze tecnologiche dell’organizzazione.
Come valutare i rischi e l’affidabilità dei fornitori ICT
La valutazione dei fornitori deve partire dall’impatto che i servizi erogati possono avere sull’operatività dell’organizzazione. Occorre considerare le attività supportate, la sensibilità dei dati trattati e le conseguenze di un’interruzione, per stabilire quali rapporti richiedano controlli più approfonditi.
Le verifiche devono comprendere le misure di sicurezza adottate dal fornitore, la gestione delle vulnerabilità, il controllo degli accessi e le procedure di risposta agli incidenti. È importante esaminare anche i piani di continuità operativa e ripristino, verificando le evidenze disponibili attraverso audit, test e documentazione tecnica.
Certificazioni e attestazioni possono essere utili, ma vanno valutate in relazione al servizio effettivamente fornito.
Un ulteriore aspetto riguarda la dipendenza da singoli fornitori o infrastrutture. Se più servizi essenziali si basano sullo stesso soggetto, un incidente può compromettere contemporaneamente diverse attività. Occorre quindi considerare anche la possibilità di sostituire il fornitore e la disponibilità di alternative adeguate.
La valutazione deve essere aggiornata quando cambiano i servizi, i contratti, le dipendenze tecnologiche o le condizioni di fornitura.
Contratti e documentazione: quali aspetti verificare
La valutazione tecnica del fornitore deve essere accompagnata da un controllo dei contratti, per verificare che gli obblighi concordati siano adeguati al servizio e ai requisiti previsti dal Regolamento DORA. Il contratto deve definire chiaramente le prestazioni richieste, le responsabilità delle parti e le modalità di controllo.
Tra gli aspetti da verificare rientrano i livelli di servizio, le misure di sicurezza, la gestione degli incidenti e la protezione dei dati. Per i servizi che supportano funzioni essenziali o importanti, occorre prestare particolare attenzione anche ai diritti di accesso e audit, agli obblighi relativi ai subfornitori e alle condizioni di cessazione del rapporto.
Le eventuali lacune devono essere affrontate attraverso aggiornamenti contrattuali o altre misure correttive adeguate. È importante che le decisioni e gli interventi siano documentati, così da poter dimostrare come sono stati gestiti i problemi rilevati.
Come preparare la verifica della filiera ICT per il 31 dicembre 2026
Il 31 dicembre 2026 è la data di riferimento per il Registro delle informazioni DORA da trasmettere alla Banca d’Italia entro il 15 marzo 2027. Per rispettare questa tempistica, è opportuno pianificare le attività con anticipo, assegnando responsabilità e scadenze alle funzioni coinvolte.
Il lavoro può essere organizzato in tre passaggi: completare la raccolta e la verifica delle informazioni sui fornitori; affrontare le lacune più rilevanti, dando priorità ai servizi che supportano funzioni essenziali o importanti; controllare, infine, che il registro sia coerente con i rapporti contrattuali in essere e con le informazioni richieste dalla normativa.
La preparazione del registro è soltanto una tappa del processo, che non conclude le attività di gestione del rischio ICT. Il monitoraggio dei fornitori e delle relative dipendenze deve proseguire nel tempo, anche quando cambiano i servizi, i contratti o le condizioni operative.
CHIEDI UNA CONSULENZA NAMIRIAL
La gestione del rischio ICT richiede una conoscenza approfondita della propria infrastruttura tecnologica e delle potenziali vulnerabilità che potrebbero comprometterne la sicurezza. Individuare tempestivamente le criticità è fondamentale per ridurre i rischi informatici e definire interventi di protezione adeguati.
Per supportare le organizzazioni in questo percorso, Namirial mette a disposizione CyberExpert, la piattaforma di cyber security che analizza dall’esterno l’infrastruttura IT, individuando eventuali vulnerabilità ed esposizioni. La soluzione rileva possibili data breach, malware e dati esposti nel deep web, fornendo un report dettagliato con le criticità riscontrate, il relativo livello di rischio e indicazioni per affrontarle.
Per individuare le soluzioni più adatte alle esigenze della tua organizzazione e rafforzare la sicurezza della tua infrastruttura IT, compila il form e richiedi una consulenza gratuita e senza impegno con gli esperti Namirial, che ti forniranno indicazioni sulle misure più efficaci per proteggere la tua infrastruttura tecnologica.
