Conformità DORA, dalla norma ai sistemi

No, e nessuno può farlo: per il DORA non esiste una certificazione. La conformità resta una responsabilità dell’ente finanziario e del suo organo di gestione, verificata dall’autorità di vigilanza. AtWorkStudio realizza e gestisce le misure tecniche e produce le evidenze (configurazioni, registri, esiti dei test) che l’ente porta alle verifiche.

Il Regolamento (UE) 2022/2554 si applica dal 17 gennaio 2025 agli enti finanziari elencati all’articolo 2: banche, SIM, SGR, istituti di pagamento e di moneta elettronica, imprese di assicurazione e riassicurazione, fondi pensione, prestatori di servizi per le cripto-attività e altri. Per alcune entità minori l’articolo 16 prevede un quadro semplificato di gestione del rischio ICT. Le aziende IT che servono questi enti non sono soggette direttamente, ma ricevono i requisiti tramite i contratti.

Le clausole contrattuali dell’articolo 30 (descrizione del servizio, luoghi di trattamento dei dati, livelli di servizio, assistenza in caso di incidente, diritti di audit, recesso e strategia di uscita) e le informazioni che l’ente deve inserire nel registro delle informazioni, compresa la catena di subfornitura. La vigilanza diretta delle autorità europee riguarda solo i fornitori designati come critici: il primo elenco, pubblicato dalle ESA il 18 novembre 2025, conta 19 fornitori. AtWorkStudio aiuta anche le aziende IT a preparare risposte e misure tecniche credibili.

Secondo il Regolamento delegato (UE) 2025/301: notifica iniziale entro 4 ore dalla classificazione come grave e comunque entro 24 ore da quando l’ente ne è venuto a conoscenza, relazione intermedia entro 72 ore dalla notifica iniziale, relazione finale entro un mese dall’ultima relazione intermedia. La notifica spetta all’ente; AtWorkStudio fornisce i dati tecnici necessari a classificare l’incidente e a compilare le relazioni.

Gli alert li analizza il team AtWorkStudio in orario di lavoro. Fuori orario lavorano gli automatismi: isolano il dispositivo, bloccano l’account compromesso, fermano i processi malevoli e inviano la notifica ai referenti indicati dall’ente. Per gli enti che devono poter classificare un incidente anche fuori orario, la reperibilità e le coperture estese si definiscono nel contratto, insieme alla procedura di escalation verso chi decide la classificazione e la notifica.

I test avanzati basati su minacce reali (TLPT, articolo 26) sono richiesti solo agli enti individuati dall’autorità, almeno ogni tre anni, e vanno condotti da tester con i requisiti dell’articolo 27. AtWorkStudio esegue vulnerability assessment, penetration test e test di ripristino, prepara l’ambiente al TLPT e realizza le correzioni che ne emergono.

Per il settore finanziario il DORA è la norma specifica e prevale sulla NIS2 per gestione del rischio ICT e notifica degli incidenti. Molte misure tecniche sono comuni (backup, gestione delle identità, rilevamento, gestione dei fornitori), quindi un gruppo con società in entrambi i perimetri può impostare un solo programma tecnico.

No. La ISO/IEC 27001 copre buona parte della gestione del rischio ICT, ma il DORA aggiunge obblighi propri: classificazione e notifica degli incidenti con tempi stabiliti, programma di test di resilienza, registro delle informazioni sui fornitori, clausole contrattuali obbligatorie. Il sistema di gestione di AtWorkStudio, certificato ISO/IEC 27001, 27017, 27018 e ISO 9001, è una base solida per la due diligence che l’ente svolge su di noi.