L'impatto del Dora su banche e assicurazioni: gestire fornitori e IT

Il regolamento DORA (Digital Operational Resilience Act) è una normativa fondamentale per le banche e le assicurazioni.

Questo regolamento mira a garantire che le istituzioni finanziarie siano preparate a gestire rischi informatici e a mantenere la continuità operativa anche in situazioni di crisi.

In sintesi

• DORA richiede alle banche di rafforzare la loro resilienza digitale per proteggere le operazioni.

• La gestione dei rischi ICT è essenziale per prevenire interruzioni e garantire la sicurezza dei dati.

• Il procurement e il finance giocano un ruolo fondamentale nell'assicurare la conformità con DORA.

• Monitorare e auditare i fornitori di servizi ICT è cruciale per mantenere alti standard di sicurezza.

• La condivisione delle informazioni sugli incidenti informatici aiuta a migliorare la risposta collettiva.

L'importanza della resilienza digitale per le banche

Ruolo della resilienza digitale

La resilienza digitale è fondamentale per le banche moderne. Con l'aumento delle minacce cibernetiche, le banche devono essere pronte a rispondere rapidamente e in modo efficace. Questo non solo protegge i dati sensibili, ma garantisce anche la continuità dei servizi offerti ai clienti.

Impatto sulla continuità operativa

L'integrazione delle esigenze di sicurezza e resilienza fisica e digitale nelle banche è cruciale alla luce del DORA e della circolare 285 della Banca d'Italia. Una solida resilienza digitale permette alle banche di mantenere le operazioni anche durante eventi imprevisti, riducendo al minimo le interruzioni e le perdite finanziarie.

Benefici a lungo termine

Investire nella resilienza digitale offre benefici a lungo termine. Le banche non solo migliorano la loro sicurezza informatica, ma rafforzano anche la fiducia dei clienti e degli investitori. Inoltre, una buona resilienza digitale può portare a una riduzione dei costi operativi nel tempo, grazie a una gestione più efficiente dei rischi.

Gestione dei rischi ICT con il regolamento DORA

Identificazione dei rischi ICT

Il regolamento DORA richiede alle banche e alle assicurazioni di identificare e valutare i rischi legati alle tecnologie dell'informazione e della comunicazione (ICT). Questo include la valutazione periodica dei rischi e l'implementazione di controlli di sicurezza per mantenere l'integrità e la disponibilità dei sistemi informativi.

Strategie di mitigazione

Per mitigare i rischi ICT, le istituzioni finanziarie devono sviluppare strategie efficaci. Queste strategie possono includere l'adozione di protocolli di risposta alle minacce e la definizione di misure di sicurezza adeguate. È fondamentale che ogni istituzione finanziaria disponga di un sistema di gestione dei rischi ben strutturato.

Monitoraggio continuo

Il monitoraggio continuo è essenziale per garantire che le misure di sicurezza siano efficaci. Le banche e le assicurazioni devono monitorare costantemente i loro sistemi ICT per rilevare eventuali vulnerabilità e rispondere prontamente a qualsiasi minaccia. Questo processo include anche la revisione e l'aggiornamento periodico delle strategie di sicurezza.

Ruolo del procurement e della finanza nell'implementazione di DORA

Il regolamento DORA introduce cambiamenti significativi nelle attività di procurement all'interno delle istituzioni finanziarie, sottolineando l'importanza della resilienza digitale e della sicurezza informatica. Anche se può sembrare che sia rivolto ai reparti IT, DORA coinvolge in modo significativo l'ufficio acquisti e finance. L'IT si occupa dell'architettura e delle operazioni tecnologiche, ma il mantenimento di rapporti conformi con le terze parti spetta ai responsabili di procurement e finance.

Monitoraggio e auditing dei fornitori di servizi ICT

Criteri di selezione dei fornitori

La valutazione iniziale e monitoraggio continuo dei fornitori di servizi ICT è essenziale per garantire la sicurezza e l'efficienza operativa delle banche. È importante definire un processo di selezione che includa la mappatura dei contratti con i fornitori terzi, valutandone la criticità rispetto all'operatività del business. Questo permette di pianificare adeguate strategie di contenimento del rischio.

Procedure di auditing

Le procedure di auditing devono essere esaustive e solide. Le autorità di sorveglianza possono richiedere tutte le informazioni e la documentazione pertinenti, condurre indagini e ispezioni, anche nei paesi terzi. Questo garantisce che i fornitori di servizi ICT critici abbiano predisposto norme e meccanismi efficaci.

Gestione delle non conformità

In caso di non conformità, è fondamentale avere una strategia di rinegoziazione dei contratti e individuare clausole critiche. Le autorità di vigilanza finanziaria hanno il potere di specificare le azioni correttive ed emettere raccomandazioni per mitigare i rischi derivanti dalla dipendenza da fornitori terzi di servizi ICT.

La sorveglianza a livello europeo per i fornitori terzi di servizi ICT critici armonizza gli aspetti contrattuali chiave per garantire un monitoraggio adeguato.

Condivisione delle informazioni sugli incidenti informatici

Importanza della trasparenza

La trasparenza nella condivisione delle informazioni sugli incidenti informatici è cruciale per migliorare la sicurezza complessiva del settore finanziario. Quando le banche e le assicurazioni condividono dati sugli attacchi subiti, possono identificare tendenze comuni e sviluppare strategie di difesa più efficaci.

Procedure di segnalazione

DORA impone la tempestiva segnalazione di incidenti informatici significativi alle autorità competenti. Questo aiuta a mitigare i potenziali impatti e a migliorare gli sforzi complessivi di sicurezza informatica. Le procedure di segnalazione devono essere chiare e ben definite per garantire una risposta rapida e coordinata.

Collaborazione tra istituti finanziari

DORA incoraggia gli istituti finanziari a condividere approfondimenti, informazioni sulle minacce e migliori pratiche con i colleghi. Questa collaborazione migliora la resilienza collettiva della sicurezza informatica, consentendo alle istituzioni di stare al passo con le minacce emergenti e di rispondere efficacemente agli incidenti informatici.

Un dato preoccupante emerge dalla difficoltà di raccogliere dati affidabili sulla criminalità informatica, spesso sottostimata o non denunciata, proiettando un'ombra sulla reale portata del problema.

Sanzioni e misure correttive previste da DORA

Tipologie di sanzioni

Le autorità competenti hanno il potere di imporre sanzioni e misure correttive alle realtà finanziarie che violano le disposizioni del regolamento DORA. Queste sanzioni possono includere multe significative, restrizioni operative, o addirittura la revoca delle licenze. È fondamentale che le istituzioni siano consapevoli delle loro responsabilità e adottino pratiche di sicurezza robuste per evitare tali conseguenze.

Processo di applicazione

In relazione al quadro sanzionatorio, si precisa che seppur il Regolamento DORA detti i criteri di calcolo delle sanzioni, la loro specifica identificazione è lasciata alle autorità di vigilanza. Pertanto, per comprenderne con precisione la portata sarà necessario monitorare le posizioni e le indicazioni che saranno fornite dalle Autorità di Vigilanza europee.

Misure correttive efficaci

Le aziende che risultano non conformi al DORA saranno soggette a multe significative e prolungate. Analogamente alla non conformità al GDPR, non è prevista una sanzione fissa. Le multe saranno invece proporzionate.

In vigore il 17 gennaio 2025, DORA obbligherà banche, assicurazioni e società di investimento a saper affrontare le minacce in modo efficace.