Cos’è il DORA?

Il DORA (Digital Operational Resilience Act (UE) 2022/2554) stabilisce standard uniformi nel settore dei servizi finanziari, con un focus specifico sulla gestione della cybersicurezza e la protezione dei dati personali. Il Regolamento è entrato in vigore il 16 gennaio 2023, ma è applicabile dal 17 gennaio 2025. L’impianto normativo “DORA” è costituito da due atti legislativi principali:

• Il Regolamento (UE) 2022/2554 relativo alla resilienza operativa digitale per il settore finanziario, che si applica direttamente negli Stati Membri (Italia compresa, naturalmente).
• La Direttiva (UE) 2022/2556, che modifica una serie di direttive esistenti per allinearle ai requisiti del Regolamento, che deve essere recepita in ogni Stato Membro con un atto legislativo ad hoc (solitamente, in Italia, con un decreto legislativo).

È fondamentale sottolineare che, essendo un regolamento e non una direttiva, il DORA ha efficacia giuridica diretta in tutti gli Stati membri dell’UE, senza la necessità di essere recepito nella legislazione nazionale. Ciò garantisce una completa armonizzazione e un’applicazione uniforme delle regole, al pari del GDPR o dell’AI Act e a differenza di una direttiva come la NIS2, che richiede il recepimento in ciascun ordinamento nazionale, portando a possibili variazioni e peculiarità di ciascuno Stato nell’attuazione e applicazione della normativa.

In un mercato unico come quello europeo, l’obiettivo del DORA è uniformare il più possibile i livelli di sicurezza e la capacità di risposta alle minacce informatiche, considerando la crescente dipendenza degli istituti finanziari dai sistemi digitali, il rapido aumento dell’uso di tecnologie innovative ormai indispensabili, e i continui scambi tra Stati membri, in applicazione della libertà di circolazione dei capitali. Prima dell’entrata in vigore del DORA, le istituzioni finanziarie europee gestivano rischi operativi e rischi di sicurezza autonomamente e in maniera eterogenea. La normativa precedente presentava infatti una frammentazione critica, carente di requisiti specifici e uniformi. L’assenza di regole armonizzate, per esempio, rendeva impossibile ottenere una visione d’insieme sulla frequenza e gravità degli incidenti informatici, limitando gravemente la condivisione delle minacce e la relativa gestione del rischio in un ecosistema interconnesso e interdipendente come quello finanziario.

Ma perché questo settore è così rilevante? Come ribadito dal Parlamento Europeo, “i servizi finanziari costituiscono un elemento essenziale nel quadro degli sforzi dell’UE volti a completare il mercato interno, nell’ambito della libera circolazione di servizi e capitali”. Proprio data la sua importanza e l’enorme quantità di dati sensibili che tratta, il settore finanziario rappresenta da sempre uno dei bersagli degli attacchi informatici.