Resilienza operativa digitale: cos’è, perché è importante e cosa impone DORA

Il settore finanziario oggi è sempre più legato alla tecnologia. Questo rende le realtà finanziarie particolarmente vulnerabili ad attacchi informatici: se non gestiti correttamente, i rischi relativi alle ICT (Information and Communication Technology) possono infatti causare l’interruzione dei servizi con impatti a cascata su altre aziende o settori. Ecco perché si è reso necessario rafforzare la capacità di risposta e resilienza operativa nel settore finanziario. Per farlo l’Unione Europea ha introdotto il regolamento DORA (Digital Operational Resilience Act), entrato in vigore il 17 gennaio 2025. Da allora la resilienza operativa digitale ha acquisito un ruolo centrale nelle politiche di sicurezza delle entità finanziarie europee. Oltre a rafforzare la sicurezza informatica, infatti, il regolamento sulla resilienza operativa digitale definisce obblighi stringenti per garantire che banche, compagnie assicurative e imprese di investimento possano resistere, rispondere e riprendersi da possibili attacchi o guasti ai propri sistemi, assicurando che rimangano operativi anche in situazioni critiche.

Cosa si intende per resilienza operativa digitale

La resilienza operativa digitale è la capacità di un’organizzazione di prevenire, resistere, adattarsi e riprendersi in modo efficace da interruzioni operative causate da incidenti dell’ICT, come attacchi informatici o problemi tecnici che coinvolgono i processi digitali. In sostanza, si tratta di garantire che le operazioni aziendali possano continuare anche in caso di eventi imprevisti, mantenendo l’integrità e la continuità operativa.

La resilienza operativa digitale non va confusa però con la resilienza informatica; si tratta infatti di due concetti correlati ma distinti. Nello specifico:

• La resilienza operativa digitale include la capacità di un’organizzazione di far fronte a interruzioni operative e incidenti di diversa natura, come attacchi alla sicurezza informatica, violazione dei dati, disastri naturali o problemi alla supply chain.
• La resilienza informatica riguarda invece la capacità di resistere e riprendersi da attacchi informatici (virus, malware, phishing, attacchi di social engineering, furto e compromissione delle credenziali di accesso ai sistemi IT aziendali).

Dalla perdita di dati sensibili alle interruzioni prolungate del servizio, un attacco informatico può avere conseguenze gravi e difficili da superare anche a livello di reputazione aziendale. Ecco perché il concetto di resilienza digitale non riguarda solo l’IT, ma coinvolge tutti quei professionisti o manager che devono garantire la protezione del patrimonio digitale della propria impresa.

La compromissione della resilienza digitale può includere:

• un’interruzione dei sistemi in Cloud;
• dipendenza da fornitori di servizi ICT che non soddisfano adeguati standard di sicurezza;
• errori di configurazione;
• incendi, inondazioni o interruzioni di corrente che possono compromettere le infrastrutture IT e interrompere i servizi;
• un cyberattacco (ransomware, malware, phishing e altre minacce informatiche);
• test di resilienza inadeguati o assenti.

Il regolamento sulla resilienza operativa digitale (DORA)

Il concetto di resilienza operativa digitale è stato ulteriormente sviluppato e normato con l’introduzione del regolamento europeo DORA.

La normativa stabilisce e armonizza attraverso un codice unico le norme relative alla resilienza operativa digitale per il settore finanziario in Europa. Applicabile a banche, assicurazioni, istituti di pagamento, piattaforme di cripto-attività e fornitori di servizi ICT, ha l’obiettivo di garantire che queste aziende e istituti siano in grado di resistere, adattarsi e riprendersi da interruzioni operative causate da incidenti dell’ICT, come attacchi informatici o violazione dei dati. Il DORA ridefinisce e rafforza l’idea di resilienza operativa: il suo scopo è quello di creare un ecosistema più sicuro e resiliente, capace cioè di gestire efficacemente i rischi legati alla tecnologia e di rispondere adeguatamente agli incidenti operativi, garantendo la continuità aziendale anche davanti alle situazioni più gravi.

Gli obblighi imposti da DORA alle aziende

Il DORA prevede una serie di obblighi nella gestione della resilienza operativa digitale nel settore finanziario. Vediamo quali.

Gestione dei rischi ICT

Le aziende devono identificare, valutare e mitigare i rischi legati a infrastrutture e processi ICT e integrare la gestione ICT nella governance aziendale, definendo ruoli e responsabilità chiare del management. In sostanza la DORA impone alle organizzazioni finanziarie l’obbligo di:

• attuare misure di controllo che garantiscano una gestione efficace e prudente dei rischi informatici;
• garantire che l’organo di gestione definisca, approvi e sovrintenda tutte le disposizioni pertinenti;
• predisporre un quadro completo per la gestione dei rischi informatici contenente: strategie, politiche, procedure, protocolli e strumenti necessari per rispondere rapidamente ed efficacemente;
• mantenere aggiornati protocolli e sistemi informatici;
• utilizzare strumenti appropriati, affidabili e tecnologicamente resilienti;
• individuare tempestivamente le attività sospette e le potenziali vulnerabilità;
• sviluppare politiche di backup e procedure di ripristino e recupero;
• elaborare piani di comunicazione per comunicare ai clienti i principali incidenti o vulnerabilità.

Continuità operativa

Le aziende devono inoltre adottare misure per garantire la disponibilità e il rapido ripristino dei servizi oltre a preparare strategie di risposta agli incidenti su scenari critici, verificati con stress-test e audit periodici.

Test di resilienza operativa digitale

Il regolamento prevede un programma di test strutturati (ad esempio penetration test, simulazioni di attacchi o controllo del perimetro d’attacco esterno per visualizzare le vulnerabilità e l’esposizione ad attacchi) da effettuare almeno ogni tre anni solo da soggetti autorizzati.

Lo scopo è quello di verificare l’efficacia delle misure di resilienza, identificare vulnerabilità nei sistemi ICT critici e testare la capacità operativa sotto stress.

Monitoraggio e reportistica

A ciascuna interruzione o incidente ICT significativo deve seguire:

• notifica tempestiva all’autorità competente (entro tempi prefissati);
• report intermedi e finali sulle cause e misure adottate;
• trasparenza e condivisione delle informazioni.

Adeguarsi alla normativa: azioni concrete per la resilienza digitale

Adeguarsi al Digital Operational Resilience Act non è più un’opzione, ma un obbligo. Il percorso di adeguamento per conformarsi alla normativa ormai in vigore da gennaio 2025, prevede un approccio strutturato basato su strategie come:

• Mappatura dei sistemi critici: fare un inventario di tutte le infrastrutture, le applicazioni e i servizi essenziali per il funzionamento dell’organizzazione;
• Definizione di un piano di continuità operativa: stabilire politiche, procedure di backup e ripristino, e tempi di recupero verificati da test specifici;
• Integrazione della sicurezza nei processi ICT: garantire governance, controlli e responsabilità che includano gestione del rischio, resilienza e compliance;
• Formazione e sensibilizzazione del personale attraverso regolari programmi di formazione sulla cybersecurity.
• Adozione di strumenti avanzati come TeamSystem Cybersecurity, una piattaforma all’avanguardia in grado di aiutare le aziende a gestire la sicurezza in modo semplice ed efficace.

Progettato e pensato su misura per Piccole e Medie imprese, Big Corporate e Studi professionali il software di sicurezza di TeamSystem offre una protezione completa dalle minacce informatiche e aiuta le aziende a rispettare il regolamento sulla resilienza operativa digitale.
Oltre a garantire controlli automatici, aggiornamenti continui e il monitoraggio dei principali asset aziendali (dati sensibili, server DNS, FTP, AS), è infatti in linea con le direttive DORA e NIS2, assicurando così conformità alla normativa vigente.