DE
EN
FR
العربيةConformità DORA
Il DORA è ormai parte del vostro lavoro quotidiano. Lo rendiamo più leggero.
Tenere aggiornato il registro delle informazioni, segnalare gli incidenti nei tempi previsti, mantenere sotto controllo le terze parti: sapete esattamente cosa va fatto. Ciò che spesso manca è un sistema in grado di tenere insieme tutti questi elementi. La piattaforma SwissGRC® riunisce i vostri temi DORA in un unico luogo: strutturati, collegati e pronti a rispondere in qualsiasi momento.
Il DORA nel 2026
Dalla preparazione alla supervisione operativa
Il DORA non è più un tema futuro. Le autorità di supervisione stanno effettuando i controlli, il registro delle informazioni viene trasmesso annualmente e i fornitori terzi critici di servizi ICT sono sotto supervisione europea diretta. Chi lavora ancora con fogli di calcolo resta indietro.
Il DORA entra in vigore
Il regolamento (UE) 2022/2554 entra in vigore il 16 gennaio 2023. Gli enti finanziari e i fornitori ICT hanno due anni per allineare la governance, i processi e i contratti ai cinque pilastri della resilienza digitale. Parallelamente, le ESA definiscono in dettaglio i requisiti attraverso norme tecniche di regolamentazione e di attuazione (RTS e ITS).
Il DORA diventa applicabile: obblighi di segnalazione e registro delle informazioni diventano realtà
Il DORA è applicabile dal 17 gennaio 2025. Gli enti finanziari segnalano gli incidenti ICT rilevanti entro termini stretti e trasmettono per la prima volta il registro delle informazioni relativo a tutti gli accordi contrattuali con i fornitori terzi di servizi ICT. Le autorità di supervisione individuano già dal primo ciclo di trasmissione errori ricorrenti: registri incompleti, strategie di uscita mancanti e contratti non ancora conformi al contenuto minimo previsto dagli RTS.
Le ESA designano 19 fornitori terzi critici di servizi ICT
Il 18 novembre 2025, EBA, ESMA ed EIOPA pubblicano il primo elenco dei fornitori terzi critici di servizi ICT (CTPP), che comprende importanti piattaforme cloud, operatori di reti e data center e fornitori specializzati di dati finanziari. Questi fornitori sono ora sottoposti a supervisione europea diretta. È importante sottolineare che la responsabilità operativa del rischio derivante da terzi rimane interamente in capo all'ente finanziario.
Inizia la supervisione operativa
Le ESA istituiscono squadre di esame congiunte (Joint Examination Teams) e nominano un supervisore capofila (Lead Overseer) per ciascun fornitore terzo critico di servizi ICT, con ampi poteri di informazione, controllo e ispezione. Contemporaneamente, è in corso il secondo ciclo di trasmissione del registro delle informazioni, che viene ora trasmesso alle ESA ogni anno. Le autorità nazionali, come la BaFin, organizzano workshop affinché gli errori del primo ciclo non si ripetano.
Supervisione più approfondita e ambito di applicazione in espansione
La prassi di supervisione si intensifica: controlli più approfonditi, elenchi dei CTPP aggiornati annualmente e un'attenzione crescente ai test di penetrazione guidati da minacce (TLPT) per gli istituti significativi. In Germania, il FinmadiG amplia inoltre il perimetro di applicazione. Le organizzazioni che trattano il DORA come un processo continuo, e non come un progetto, ne trarranno vantaggio.
I cinque pilastri di DORA
Cinque pilastri, una sola piattaforma
DORA ripartisce i propri requisiti su cinque ambiti di intervento. La SwissGRC® Platform li collega in un unico modello di dati integrato: rischi, incidenti, test e terze parti si intrecciano invece di restare in silos separati. Scelga un pilastro per vedere come si traduce in pratica l'implementazione.
Pilastro 1 · Fondamenta
Gestione del rischio ICT
Le entità finanziarie devono gestire un quadro di gestione del rischio ICT solido e documentato: censire sistemi e asset, identificare, valutare, trattare e monitorare continuamente i rischi, con una chiara responsabilità a livello dell'organo di gestione.
Come implementarlo con la SwissGRC® Platform
- Inventario ICT connesso: censisca asset protetti, sistemi e processi e li colleghi a rischi, controlli e fornitori.
- ISMS integrato: sicurezza delle informazioni e rischio ICT in un unico modello di dati, incluso il tracciamento delle misure.
- Reporting per l'organo di gestione: cruscotti e report che rispondono sia ai requisiti di vigilanza sia alle aspettative del consiglio.
Pilastro 2 · Capacità di risposta
Gestione e segnalazione degli incidenti connessi alle ICT
Gli incidenti devono essere rilevati e classificati, e i casi rilevanti segnalati all'autorità competente entro scadenze ravvicinate: notifica iniziale, rapporto intermedio e rapporto finale, coerenti e tracciabili.
Come implementarlo con la SwissGRC® Platform
- Gestione integrale degli incidenti: dalla rilevazione alla classificazione fino all'analisi delle cause in un unico workflow.
- Scadenze sotto controllo: processi di reporting strutturati con responsabilità chiare, in modo che la notifica iniziale parta in tempo.
- Collegamento con la gestione dei rischi: ogni incidente alimenta la catena causa, evento e impatto e affina la sua visione del rischio.
Pilastro 3 · Resilienza
Test della resilienza operativa digitale
Test regolari, dalle valutazioni delle vulnerabilità ai penetration test guidati da minacce (TLPT) per le istituzioni significative, garantiscono che le capacità di protezione, rilevamento e ripristino funzionino nella pratica.
Come implementarlo con la SwissGRC® Platform
- Pianificazione e follow-up dei test: documenti centralmente tipologie, cicli e risultati dei test e gestisca i rilievi come misure.
- BCM integrato: crei e testi piani di emergenza e reintegri direttamente gli insegnamenti nei rischi e nei controlli.
- Evidenze pronte per l'audit: una cronologia completa di tutti i test e le misure per audit e vigilanza.
Pilastro 4 · Focus di vigilanza 2026
Gestione del rischio delle terze parti ICT
Il registro delle informazioni relativo a tutti gli accordi contrattuali con fornitori terzi ICT viene trasmesso ogni anno alle autorità di vigilanza. Vi si aggiungono la due diligence, il contenuto minimo dei contratti, il rischio di concentrazione e le strategie di uscita per le funzioni critiche. Con la vigilanza delle ESA sui CTPP, questo pilastro assume un ruolo centrale nel 2026.
Come implementarlo con la SwissGRC® Platform
- Registro delle informazioni ai sensi di DORA: lo censisca in modo strutturato, lo mantenga aggiornato e sempre pronto per l'invio.
- Gestione del rischio delle terze parti: valuti e monitori i fornitori e renda visibile il rischio di concentrazione, incluse le dipendenze dai CTPP.
- Strategie di uscita documentate: registri i piani di uscita per i servizi critici e li mantenga aggiornati.
Pilastro 5 · Difesa collettiva
Condivisione delle informazioni sulle minacce informatiche
DORA incoraggia lo scambio volontario di informazioni sulle minacce tra entità finanziarie, all'interno di comunità di fiducia e in conformità con la protezione dei dati. Chi condivide e riceve individua prima gli schemi di attacco.
Come implementarlo con la SwissGRC® Platform
- Documentare il quadro delle minacce: raccolga in modo strutturato le informazioni esterne e le colleghi ai propri rischi e scenari.
- La conoscenza diventa azione: gli allarmi si trasformano in attività tracciabili invece che in email dimenticate.
- Una visione unica per tutti: minacce, incidenti e rischi in una visione coerente per specialisti e dirigenza.
La soluzione
Conformità DORA con la SwissGRC® Platform
Sei funzionalità, un unico modello di dati integrato. Ogni requisito DORA trova una collocazione precisa nella SwissGRC® Platform, e ogni collocazione è collegata alle altre. Questo riduce il lavoro duplicato e, quando le autorità di vigilanza pongono domande, la risposta è già pronta.
DORA Compliance Check
Tracciate l'attuazione di ogni requisito del regolamento (UE) 2022/2554, comprese le relative RTS e ITS. Le lacune diventano visibili, le misure vengono assegnate e l'avanzamento resta trasparente per l'organo di gestione.
Gestione dei rischi ICT e ISMS
Censite e collegate tra loro l'intero ecosistema informatico. Identificate, valutate e monitorate i rischi ICT in un ISMS integrato e prendete decisioni fondate per migliorare la vostra postura di sicurezza.
Registro delle informazioni ai sensi di DORA
Costruite e mantenete il registro di tutti gli accordi contrattuali con i fornitori terzi ICT: raccolta strutturata, aggiornamenti regolari e piena tracciabilità, pronti per la trasmissione annuale.
Gestione degli incidenti
Rilevate, classificate e segnalate gli incidenti in conformità a DORA. Integrata senza soluzione di continuità con la gestione dei rischi, copre l'intera catena di causa, evento e impatto fino al rapporto finale.
Gestione della continuità operativa
Pianificate e testate le misure di emergenza affinché la vostra organizzazione continui a operare anche in caso di crisi. I risultati dei test confluiscono direttamente nei rischi e nelle misure e rafforzano nel tempo la vostra resilienza.
Gestione del rischio dei fornitori terzi
Adottate un approccio incentrato sui dati per tutti i rischi legati ai fornitori terzi ICT: due diligence, monitoraggio continuo, rischio di concentrazione e strategie di uscita, incluse le vostre dipendenze dai fornitori critici sotto la sorveglianza delle ESA.
Interattivo · 2 minuti
Quanto è pronta la sua organizzazione al DORA?
Sei domande basate sulle priorità di verifica delle autorità di vigilanza. Ottiene subito una valutazione, in forma anonima e senza registrazione.
Come tiene aggiornato il registro delle informazioni sui fornitori terzi ICT?
Sarebbe in grado di segnalare un incidente ICT grave all'autorità di vigilanza entro quattro ore dalla classificazione?
Conosce le sue dipendenze dai 19 fornitori terzi ICT critici sotto sorveglianza delle ESA?
Quanto sono collegati tra loro il suo inventario ICT, i rischi e i controlli?
Con quale sistematicità verifica la resilienza operativa digitale della sua organizzazione?
Il suo organo di gestione riceve regolarmente rendicontazioni affidabili sull'attuazione del DORA?
Il readiness check è un'autovalutazione non vincolante e non sostituisce una consulenza normativa. Nessuna risposta viene memorizzata o trasmessa.
Domande frequenti
Capire il DORA, nel 2026
Le domande chiave sul Digital Operational Resilience Act, aggiornate con gli ultimi sviluppi: dalla sorveglianza dei CTPP alla trasmissione annuale del registro delle informazioni.
Cos'è il Digital Operational Resilience Act (DORA)?
Il DORA è il regolamento (UE) 2022/2554. È entrato in vigore il 16 gennaio 2023 ed è applicabile dal 17 gennaio 2025. Armonizza i requisiti di resilienza operativa digitale per circa 20 tipologie di entità finanziarie nell'UE, dalle banche alle compagnie di assicurazione, dagli istituti di pagamento ai fornitori di servizi per le cripto-attività, e fa entrare direttamente nel proprio ambito di applicazione anche i fornitori terzi di servizi ICT.
L'obiettivo: il settore finanziario europeo dovrebbe essere in grado di individuare, gestire e riprendersi da gravi perturbazioni digitali senza compromettere la stabilità del sistema finanziario.
Quali sono i cinque pilastri del DORA?
- Gestione del rischio ICT: un quadro documentato per identificare, valutare, gestire e monitorare il rischio ICT.
- Gestione e segnalazione degli incidenti: gli incidenti ICT di rilievo sono classificati e segnalati all'autorità competente entro le scadenze previste.
- Test di resilienza digitale: test regolari, fino ai test di penetrazione basati sulle minacce (TLPT) per gli istituti significativi.
- Gestione del rischio derivante da terze parti ICT: incluso il registro delle informazioni, il contenuto minimo contrattuale, il rischio di concentrazione e le strategie di uscita.
- Condivisione delle informazioni: scambio volontario di informazioni sulle minacce informatiche tra entità finanziarie.
Cosa è cambiato con l'elenco dei CTPP di novembre 2025?
Il 18 novembre 2025, le autorità europee di vigilanza EBA, ESMA e EIOPA hanno designato per la prima volta 19 fornitori terzi di servizi ICT come critici (CTPP), dagli hyperscaler agli operatori di reti e data center, fino ai fornitori specializzati di dati e servizi finanziari. Dal 2026, questi fornitori sono soggetti alla sorveglianza diretta delle ESA, tramite Lead Overseer e Joint Examination Teams.
Importante per le entità finanziarie: la responsabilità operativa resta in capo all'entità stessa. Se si utilizza un CTPP, tale dipendenza deve essere riportata nel proprio registro e nella propria valutazione del rischio di concentrazione, e le risultanze della sorveglianza delle ESA devono confluire nella propria gestione del rischio ICT. Se un fornitore critico non si conforma alle raccomandazioni di vigilanza, le autorità nazionali possono, come misura estrema, imporre alle entità finanziarie di sospendere o cessare l'uso dei suoi servizi.
Cos'è il registro delle informazioni e cosa si applica dal 2026?
Il registro delle informazioni documenta tutti gli accordi contrattuali con i fornitori terzi di servizi ICT, segnalando in particolare i servizi che supportano funzioni critiche o importanti. Viene trasmesso ogni anno alle ESA tramite l'autorità di vigilanza nazionale.
Dal primo ciclo di trasmissione, le autorità di vigilanza hanno individuato criticità tipiche: registri incompleti (si pensi allo shadow IT), piani di uscita mancanti e contratti ancora non allineati al contenuto minimo previsto dagli standard tecnici. Per i cicli in corso, la qualità dei dati è il fattore determinante. Un registro supportato da uno strumento e collegato a contratti, rischi e funzioni riduce sensibilmente errori e onere di lavoro.
Quali sono le scadenze per la segnalazione degli incidenti ICT di rilievo?
Una volta che un incidente è classificato come rilevante, la notifica iniziale è dovuta entro quattro ore e, al più tardi, entro 24 ore dal rilevamento. Segue una relazione intermedia al più tardi entro 72 ore dalla notifica iniziale, e una relazione finale, comprensiva dell'analisi delle cause profonde, al più tardi entro un mese dall'ultima relazione intermedia. Le scadenze sono strette, motivo per cui un processo di segnalazione consolidato, supportato da uno strumento e con ruoli chiari, è determinante. La prassi lo conferma: da quando il DORA è applicabile, solo in Germania sono stati segnalati diverse centinaia di incidenti ICT rilevanti, in larga parte collegati a fornitori esterni.
Il DORA riguarda anche le aziende svizzere?
Il DORA è un regolamento dell'UE, ma i suoi effetti vanno oltre i confini dell'Unione. Sono interessate le società finanziarie svizzere con filiali o attività commerciale nell'UE, così come i fornitori ICT svizzeri che operano con entità finanziarie dell'UE: i loro clienti richiedono contratti conformi al DORA, la capacità di fornire evidenze e la collaborazione sul registro delle informazioni. Anche la prassi di vigilanza svizzera si sta progressivamente allineando a principi di resilienza operativa comparabili. Chi implementa oggi la logica del DORA è ben posizionato su entrambi i mercati.
In cosa si differenziano DORA e NIS2?
La NIS2 è una direttiva con un ambito di applicazione ampio e intersettoriale, che copre le entità essenziali e importanti. Il DORA è un regolamento che si applica specificamente e direttamente al settore finanziario. Per le entità finanziarie, il DORA prevale sulla NIS2 in quanto regime settoriale specifico. Molte organizzazioni devono comunque tenere conto di entrambi i quadri normativi, ad esempio nei gruppi che comprendono società finanziarie e non finanziarie. La piattaforma SwissGRC® integra entrambi i quadri normativi in un'unica piattaforma, così le evidenze devono essere prodotte una sola volta.
Come supporta Swiss GRC la conformità al DORA?
La piattaforma SwissGRC® copre i requisiti del DORA come un insieme coerente: una verifica di conformità DORA con monitoraggio delle misure, la gestione del rischio ICT e un ISMS, il registro delle informazioni ai sensi del DORA, una gestione degli incidenti end-to-end con relativo processo di segnalazione, la gestione della continuità operativa e la gestione del rischio derivante da terze parti, incluse le strategie di uscita e le dipendenze dai CTPP.
In quanto soluzione scalabile, cresce insieme all'organizzazione: si può iniziare con i temi centrali del DORA ed estendere progressivamente i propri processi GRC ad altri ambiti. Opzionalmente con residenza dei dati in Svizzera, e con il supporto del nostro team, che conosce il mercato regolamentato DACH grazie ad anni di esperienza concreta.
SwissGRC® Platform
Le autorità di vigilanza chiedono. Voi rispondete.
Scoprite come gestire il registro delle informazioni, la segnalazione degli incidenti e il rischio derivante da terze parti con la SwissGRC® Platform.
