# La direzione regolamentare europea per il 2026 lancia un messaggio chiaro: la resilienza operativa non può più essere frammentata > SwissGRC® spiega l'agenda 2026 delle ESA: DORA, supervisione ICT e responsabilità della direzione rendono la resilienza operativa una questione di governance integrata per gli istituti finanziari. - URL: https://swissgrc.com/it/resilienza-operativa-agenda-2026-esa/ - Editore: SwissGRC® - Pubblicato: 2026-05-07 - Ultimo aggiornamento: 2026-05-07 ## Punti chiave - Nella loro agenda 2026 le Autorità europee di vigilanza (ESA) indicano resilienza operativa digitale, supervisione ICT, gestione degli incidenti e responsabilità del management come priorità normative centrali. - La Financial Conduct Authority ha sanzionato TSB Bank per 48,65 milioni di sterline dopo un fallimento nella migrazione IT che ha provocato un collasso della resilienza operativa. - Nell'era DORA il rischio ICT richiede supervisione con controlli dimostrabili e la segnalazione degli incidenti deve avvenire entro tempi regolamentari stringenti. - Le ESA rafforzano l'EU Systemic Cyber Incident Coordination Framework (EU-SCICF) per coordinare la risposta a incidenti informatici su larga scala nel sistema finanziario. - Le organizzazioni devono dimostrare sei capacità di governance: visibilità a livello aziendale, monitoraggio delle terze parti, risposta agli incidenti, test di resilienza, segnalazione regolamentare e responsabilità della direzione. - Una piattaforma GRC integrata riunisce rischio operativo, conformità, ISMS, controlli interni, continuità operativa, audit, rischio di terze parti e tracciamento degli incidenti. **Un’interruzione tecnologica è ormai un evento regolamentare. Un fallimento di terze parti è ormai un fallimento di governance. L’orientamento regolamentare europeo per il 2026 chiarisce un punto: la resilienza operativa non può più essere considerata un problema altrui.** Le Autorità europee di vigilanza (ESA) hanno inviato un messaggio chiaro con la loro agenda 2026: le istituzioni finanziarie stanno entrando in una nuova era della governance in cui la resilienza operativa digitale, la supervisione ICT, la gestione degli incidenti e la responsabilità del management non sono più questioni periferiche, ma priorità normative centrali. Questo cambiamento non consiste semplicemente nell'aggiungere nuove regole. Riflette una trasformazione più ampia nel modo in cui le autorità di vigilanza considerano il rischio operativo in un ecosistema finanziario digitalmente interconnesso. Per le organizzazioni che gestiscono ancora la governance in compartimenti stagni, l'adeguamento sarà significativo. ## Da ambiti frammentati a una governance integrata Per anni le organizzazioni hanno trattato cybersicurezza, rischio di terze parti, conformità, resilienza operativa e continuità operativa come discipline separate, gestite da team diversi, con sistemi disconnessi, strutture di reporting frammentate e modelli di controllo isolati. La trasformazione digitale ha cambiato radicalmente la natura stessa del rischio. Un'interruzione tecnologica può trasformarsi in un evento regolamentare nel giro di una notte. Un fallimento di un fornitore terzo può propagarsi a più funzioni aziendali. Un incidente informatico può degenerare rapidamente in danno reputazionale e instabilità finanziaria. £48,65MSANZIONE FCA **TSB Bank: una carenza di governance, non solo un guasto informatico.** Le autorità britanniche hanno sanzionato TSB per 48,65 milioni di sterline in seguito a un fallimento nella migrazione IT che è degenerato in un collasso completo della resilienza operativa, con impatti su clienti, continuità operativa e fiducia regolamentare. Il caso ha creato un precedente: gli incidenti tecnologici vengono ormai valutati come eventi di governance. [Fonte: Financial Conduct Authority (FCA)](https://www.fca.org.uk/) La resilienza operativa non è più una responsabilità esclusivamente IT, ma una responsabilità di governance. Le autorità di vigilanza chiedono un'integrazione più forte, una responsabilità più chiara e una supervisione continua su tutte le funzioni di governance. ## Il DORA sta ridefinendo le aspettative in materia di governance Al centro dell'agenda 2026 delle ESA vi è la continua operatività del **Digital Operational Resilience Act (DORA)**. Le autorità di vigilanza non si limitano più a preparare le organizzazioni alla conformità DORA in teoria: si stanno orientando attivamente verso attività di supervisione, controllo, analisi degli incidenti, test di resilienza ed enforcement. | Ambito di governance | Aspettativa precedente | Aspettativa nell'era DORA | | --- | --- | --- | | Rischio ICT | Autovalutazione interna | Supervisione con controlli dimostrabili | | Rischio di terze parti | Due diligence contrattuale | Monitoraggio continuo e visibilità regolamentare | | Segnalazione degli incidenti | Registrazione interna | Segnalazione strutturata entro tempi regolamentari stringenti | | Test di resilienza | Test periodici e isolati | Framework TLPT formali con coordinamento tra entità | | Responsabilità | Responsabilità del reparto IT | Governance a livello esecutivo e responsabilità personale | EU-SCICF: coordinamento transfrontaliero delle crisi informatiche Le ESA stanno rafforzando l'EU Systemic Cyber Incident Coordination Framework (EU-SCICF), un meccanismo collaborativo per risposte coordinate durante incidenti informatici su larga scala che colpiscono l'ecosistema finanziario. Le organizzazioni non sono più tenute a gestire internamente incidenti isolati: devono dimostrare escalation strutturata, trasparenza operativa e resilienza coordinata all'interno di ecosistemi digitali interconnessi. Per molti aspetti, il DORA sta trasformando la governance da attività orientata alla conformità a **disciplina operativa continua**. Per una visione più ampia di come questo si colleghi alla pratica GRC quotidiana, si veda il nostro articolo [Quando il GRC ha smesso di essere periodico ed è diventato lavoro quotidiano](https://swissgrc.com/it/when-grc-stopped-being-periodic-and-became-everyday-work/). --- ## L'ascesa della governance continua I modelli di governance tradizionali sono stati progettati per ambienti operativi che evolvono più lentamente. Audit periodici, revisioni annuali del rischio, controlli statici e strutture di reporting frammentate non sono più adeguati in un contesto in cui le operazioni digitali evolvono continuamente. L'attenzione delle ESA per il 2026 riflette direttamente questa realtà: le organizzazioni devono ora dimostrare sei capacità di governance interconnesse: 01 **Visibilità a livello aziendale** Una visione completa e aggiornata dei rischi operativi in tutta l'organizzazione 02 **Monitoraggio delle terze parti** Tracciamento continuo delle dipendenze da fornitori ICT esterni 03 **Risposta agli incidenti** Capacità strutturate e testate, non semplici procedure documentate e lasciate inutilizzate 04 **Test di resilienza** Framework TLPT formali con risultati documentati e coordinamento tra entità 05 **Segnalazione regolamentare** Segnalazione tempestiva e accurata di incidenti e rischi alle autorità di vigilanza 06 **Responsabilità della direzione** Responsabilità di governance dimostrabile a livello esecutivo e di consiglio di amministrazione La governance non opera più silenziosamente in sottofondo come mera funzione di conformità. Sta diventando una capacità aziendale strategica, direttamente legata alla fiducia operativa, alla fiducia dei clienti e alla resilienza a lungo termine. ## Perché un GRC integrato sta diventando essenziale Con l'evoluzione delle aspettative regolamentari, le organizzazioni si trovano di fronte a una realtà difficile: una governance frammentata crea pericolosi punti ciechi. Sistemi disconnessi rendono difficile individuare i rischi emergenti, coordinare le risposte, gestire efficacemente gli incidenti o mantenere una visibilità a livello aziendale su conformità, resilienza operativa, cybersicurezza e [controllo delle terze parti](https://swissgrc.com/it/tprm-software/). Una [piattaforma GRC integrata](https://swissgrc.com/it/solutions/) colma queste lacune unificando ciò che oggi è tipicamente disperso tra più team e strumenti: - Gestione del rischio operativo - Gestione della conformità - Sicurezza delle informazioni (ISMS) - Controlli interni - Gestione della continuità operativa - Gestione dell'audit - Gestione del rischio di terze parti - Segnalazione e tracciamento degli incidenti Anziché affidarsi a fogli di calcolo isolati e a un reporting frammentato, le organizzazioni ottengono visibilità centralizzata, flussi di lavoro di governance strutturati, documentazione pronta per l'audit e monitoraggio continuo, su tutti gli ambiti critici di rischio e conformità contemporaneamente. Da reattivi a resilienti Una governance integrata aiuta le organizzazioni a passare da una gestione reattiva dei problemi a una **maturità di resilienza continua**, condizione che le autorità di vigilanza considerano sempre più un requisito di base, non un traguardo. Ciò è particolarmente rilevante alla luce delle dinamiche di rischio esaminate nella nostra analisi [ERM Report 2025: perché la maggior parte delle crisi nasce dall'interno](https://swissgrc.com/it/erm-report-2025-why-most-crises-start-within/). --- ## La governance definirà la prossima generazione di istituzioni finanziarie L'orientamento regolamentare che emerge in Europa riflette una trasformazione ben più ampia, in atto a livello globale. Il futuro dei servizi finanziari non sarà definito unicamente dalla velocità dell'innovazione, dall'adozione dell'IA o dalle iniziative di trasformazione digitale. Sarà sempre più determinato dalla capacità delle organizzazioni di governare la complessità, collegando intelligence sui rischi, supervisione operativa, responsabilità delle terze parti e responsabilità della direzione in un insieme coerente e continuo. Come illustrato nel nostro articolo su [quando il lavoro sulla sicurezza esiste ma la fiducia nella sicurezza no](https://swissgrc.com/it/when-security-work-exists-but-security-confidence-doesnt/), il divario tra sforzo e garanzia è esattamente ciò che i framework di governance devono colmare. Nell'economia digitale odierna, la resilienza non è più un obiettivo puramente tecnico. Sta diventando una misura fondamentale della maturità della governance stessa, e le autorità di vigilanza cominciano a considerarla tale. Se la sua organizzazione sta valutando il proprio livello di preparazione in relazione al DORA o alle più ampie aspettative delle ESA, il nostro team è a disposizione per una [Discovery Call](https://swissgrc.com/it/discoverycall/) per esplorare come un approccio GRC integrato possa supportare la trasformazione della governance. ## Domande frequenti ### Cosa prevede l'agenda 2026 delle ESA sulla resilienza operativa? Le ESA considerano resilienza operativa digitale, supervisione ICT, gestione degli incidenti e responsabilità del management priorità normative centrali. Le autorità di vigilanza si orientano verso supervisione, controllo, analisi degli incidenti, test di resilienza ed enforcement del DORA. ### Che cosa cambia con il DORA per la governance? Il rischio ICT passa dall'autovalutazione interna a una supervisione con controlli dimostrabili. Il rischio di terze parti richiede monitoraggio continuo, i test seguono framework TLPT formali e la responsabilità sale a livello esecutivo. ### Che cos'è l'EU-SCICF? L'EU Systemic Cyber Incident Coordination Framework è un meccanismo collaborativo per risposte coordinate a incidenti informatici su larga scala che colpiscono l'ecosistema finanziario. Le organizzazioni devono dimostrare escalation strutturata, trasparenza operativa e resilienza coordinata. ### Perché il caso TSB Bank è rilevante? Le autorità britanniche hanno sanzionato TSB per 48,65 milioni di sterline dopo un fallimento nella migrazione IT. Il caso mostra che gli incidenti tecnologici vengono valutati come eventi di governance. ### Perché serve una piattaforma GRC integrata? Una governance frammentata crea punti ciechi e rende difficile coordinare risposte e gestire gli incidenti. Una piattaforma integrata offre visibilità centralizzata, flussi di lavoro strutturati, documentazione pronta per l'audit e monitoraggio continuo.