La cybersicurezza non è più soltanto una questione tecnologica, affidata alle competenze dei reparti IT ma è diventata una responsabilità che coinvolge la direzione aziendale, i processi organizzativi, i rapporti con i fornitori e la capacità di garantire la continuità delle attività anche in presenza di un attacco informatico. E, in questo scenario, si inseriscono due importanti riferimenti del quadro normativo europeo: il regolamento DORA e la direttiva NIS2.
DORA e NIS2, di cosa parliamo
Pur condividendo l’obiettivo di innalzare il livello di sicurezza digitale e rafforzare la capacità delle organizzazioni di prevenire, gestire e superare gli incidenti informatici, le due discipline presentano differenze sostanziali in termini di ambito di applicazione, adempimenti, scadenze e sistema sanzionatorio.
Il regolamento DORA, acronimo di Digital Operational Resilience Act, è stato introdotto con il Regolamento (UE) 2022/2554 e si concentra sulla resilienza operativa digitale del settore finanziario. La direttiva NIS2, Direttiva (UE) 2022/2555, stabilisce invece un quadro più ampio per la sicurezza delle reti e dei sistemi informativi nei settori considerati essenziali per il funzionamento dell’economia e della società. In Italia, il recepimento della NIS2 è avvenuto attraverso il Decreto legislativo 4 settembre 2024, n. 138.
Il messaggio che emerge da entrambe le normative è chiaro: non basta più intervenire quando si verifica un incidente. Le organizzazioni devono dimostrare di avere strutture, procedure e controlli adeguati a ridurre il rischio e a limitare le conseguenze di eventuali interruzioni.
DORA: la resilienza digitale diventa un obbligo per il settore finanziario
Il regolamento DORA si applica a numerose categorie di entità finanziarie, tra cui banche, imprese di investimento, istituti di pagamento, istituti di moneta elettronica, imprese di assicurazione e riassicurazione, gestori di fondi e altri operatori individuati dall’articolo 2 del regolamento. Il perimetro comprende inoltre specifici fornitori di servizi ICT, secondo le disposizioni applicabili, mentre i fornitori terzi critici sono sottoposti a un regime europeo di sorveglianza diretta.
DORA è applicabile dal 17 gennaio 2025 e introduce un quadro unitario per la gestione dei rischi legati alle tecnologie dell’informazione e della comunicazione. Il suo obiettivo non è soltanto proteggere sistemi e dati, ma assicurare che un’organizzazione finanziaria sia in grado di continuare a erogare i propri servizi, oppure di ripristinarli in tempi adeguati, anche dopo un evento grave.
Il primo pilastro della disciplina è rappresentato dalla gestione del rischio ICT. Le entità interessate devono dotarsi di un sistema documentato di governance, controllo e monitoraggio, proporzionato alle dimensioni, alla complessità e al profilo di rischio dell’organizzazione. L’organo di gestione mantiene un ruolo centrale: deve definire e approvare il quadro di riferimento, attribuire responsabilità, assicurare risorse adeguate e supervisionare l’efficacia delle misure adottate.
Gli obblighi comprendono l’identificazione dei sistemi e degli asset critici, la protezione delle informazioni, il controllo degli accessi, la gestione delle vulnerabilità, il monitoraggio delle minacce e la predisposizione di procedure per affrontare gli incidenti. A questi si aggiungono piani di continuità operativa, sistemi di backup, procedure di ripristino e verifiche periodiche della capacità di recuperare dati, applicazioni e servizi.
Un secondo pilastro riguarda i test di resilienza digitale. Non è sufficiente dichiarare che i sistemi sono sicuri ma occorre verificarne concretamente la tenuta attraverso attività di valutazione e test adeguati al rischio. Per determinate entità finanziarie individuate sulla base dei criteri normativi e di vigilanza, DORA prevede anche test avanzati basati su minacce reali, i cosiddetti Threat-Led Penetration Test (TLPT), da effettuare almeno ogni tre anni secondo le condizioni previste dalla disciplina.
Particolare attenzione è riservata, inoltre, ai fornitori terzi di servizi ICT. L’esternalizzazione di un servizio non elimina la responsabilità dell’entità finanziaria rispetto ai rischi connessi. Le organizzazioni devono quindi valutare le dipendenze tecnologiche, disciplinare i rapporti contrattuali, verificare le garanzie offerte dai fornitori e mantenere un registro degli accordi relativi ai servizi ICT. La gestione dei rischi deve considerare anche le condizioni di uscita dai contratti e la possibilità di trasferire un servizio senza compromettere la continuità operativa.
In questa prospettiva, il rapporto con i fornitori non può più essere gestito soltanto in base al costo o alla qualità della prestazione: diventa parte integrante della strategia di resilienza dell’impresa.
NIS2: quali aziende sono coinvolte e quali misure devono adottare
La direttiva NIS2 amplia il perimetro della precedente disciplina europea e coinvolge organizzazioni appartenenti a numerosi settori strategici. Tra questi figurano energia, trasporti, sanità, gestione delle acque, infrastrutture digitali, servizi ICT, pubblica amministrazione e altri ambiti individuati dalla direttiva e dal decreto italiano di recepimento.
Le organizzazioni interessate vengono ricondotte, secondo i criteri normativi, alle categorie dei soggetti essenziali e dei soggetti importanti. L’applicabilità non dipende esclusivamente dal settore di attività: devono essere valutati anche la natura del servizio, le dimensioni dell’organizzazione, le eventuali eccezioni e le specifiche condizioni previste dalla normativa. Per questo motivo, ogni impresa deve verificare concretamente il proprio inquadramento, senza presumere di essere esclusa soltanto perché di dimensioni contenute.
Il riferimento nazionale è il Decreto legislativo n. 138/2024, che attribuisce all’Agenzia per la cybersicurezza nazionale (ACN) il ruolo di autorità nazionale competente NIS e definisce gli strumenti di vigilanza, controllo e applicazione degli obblighi.
L’articolo 21 della direttiva NIS2 individua le principali aree di intervento per la gestione del rischio. Le misure devono comprendere l’analisi dei rischi e la sicurezza dei sistemi informativi, la gestione degli incidenti, la continuità operativa, il ripristino dei servizi, la sicurezza della catena di approvvigionamento, la gestione delle vulnerabilità e la valutazione dell’efficacia delle misure di protezione.
Rientrano nel quadro anche la sicurezza nello sviluppo e nella manutenzione dei sistemi, le politiche di controllo degli accessi, la gestione degli asset, l’impiego della crittografia e, quando appropriato, l’autenticazione a più fattori o altre soluzioni di autenticazione continua. La normativa attribuisce inoltre importanza alla formazione del personale e alla capacità dell’organizzazione di riconoscere e gestire tempestivamente i rischi.
La responsabilità non può essere delegata interamente ai tecnici. Gli organi di gestione dei soggetti interessati devono approvare le misure di gestione del rischio informatico e supervisionarne l’attuazione. Sono inoltre tenuti a seguire una formazione adeguata in materia di cybersicurezza, così da poter valutare i rischi e comprendere le conseguenze delle decisioni aziendali.
La NIS2 introduce quindi una responsabilità organizzativa che richiede il coinvolgimento della direzione, delle funzioni operative, degli acquisti, delle risorse umane e dei responsabili della sicurezza. La protezione informatica diventa un processo trasversale, che deve essere integrato nelle decisioni quotidiane e non confinato a un insieme di strumenti tecnologici.
Notifica degli incidenti: tempi stretti e procedure formalizzate
Uno degli aspetti più delicati di entrambe le normative riguarda la segnalazione degli incidenti informatici. In caso di attacco, compromissione dei sistemi o interruzione dei servizi, la capacità di reagire rapidamente deve essere accompagnata da procedure che consentano di classificare l’evento, raccogliere le informazioni necessarie e rispettare le tempistiche previste.
Per la NIS2, il decreto italiano stabilisce un processo di notifica degli incidenti significativi articolato in più fasi. In linea generale, è prevista un’allerta precoce entro 24 ore dalla conoscenza dell’incidente, una notifica entro 72 ore e una relazione finale entro un mese dalla notifica, secondo le condizioni e le modalità applicabili. Il percorso serve a fornire alle autorità informazioni tempestive sull’accaduto, sugli effetti del problema e sulle misure adottate per contenerlo.
Per le entità finanziarie soggette a DORA, la segnalazione degli incidenti ICT gravi è disciplinata dall’articolo 19 del regolamento e dalle relative norme tecniche europee. Il sistema prevede una notifica iniziale, una relazione intermedia e una relazione finale, con tempistiche e contenuti definiti dalla disciplina attuativa applicabile. Il processo richiede di classificare l’incidente secondo criteri specifici e di trasmettere le informazioni attraverso i modelli previsti.
È importante sottolineare che non ogni anomalia informatica comporta automaticamente gli stessi obblighi di notifica: la significatività dell’evento e la sua classificazione devono essere valutate secondo i criteri pertinenti. Proprio per questo, le organizzazioni devono predisporre procedure di escalation, individuare i responsabili delle comunicazioni e definire in anticipo le modalità di raccolta delle informazioni.
Aspettare la conclusione dell’indagine tecnica prima di attivare il processo di notifica può compromettere il rispetto delle scadenze. La risposta deve quindi essere organizzata in modo da consentire una prima valutazione tempestiva, seguita da aggiornamenti progressivi man mano che emergono nuovi elementi.
Scadenze: cosa devono verificare le imprese nel 2026
Il calendario degli adempimenti è un elemento centrale per le organizzazioni interessate. DORA è applicabile dal 17 gennaio 2025: per le entità finanziarie rientranti nel suo ambito, gli obblighi non rappresentano più un obiettivo futuro, ma un quadro normativo già operativo.
Per la NIS2, l’attuazione italiana procede attraverso gli adempimenti e le tempistiche stabiliti dal D.Lgs. 138/2024 e dagli atti dell’ACN. Nel percorso nazionale, il 2026 rappresenta una fase importante per la gestione delle notifiche degli incidenti significativi e per l’implementazione delle misure di sicurezza richieste ai soggetti interessati. In particolare, le scadenze operative previste dal percorso nazionale hanno portato l’obbligo di notifica degli incidenti significativi a essere operativo da gennaio 2026, mentre l’attuazione delle misure di sicurezza di base è prevista entro ottobre 2026 per i soggetti interessati secondo le disposizioni applicabili.
Le imprese non dovrebbero, tuttavia, limitarsi a considerare la data finale come un termine entro il quale avviare le attività. È necessario verificare la propria posizione rispetto alle comunicazioni ricevute, alle istruzioni applicabili e alle scadenze specifiche. La pianificazione deve comprendere un’analisi degli scostamenti rispetto ai requisiti, l’assegnazione delle responsabilità, la definizione delle priorità e la documentazione delle attività svolte.
Un piano di adeguamento efficace dovrebbe prevedere verifiche periodiche, indicatori di avanzamento e un processo di aggiornamento continuo. Le misure di cybersicurezza, infatti, non possono essere considerate un progetto una tantum: sistemi, fornitori e minacce cambiano, rendendo indispensabile una revisione costante dei presidi.
Sanzioni: le conseguenze della mancata conformità
Il mancato rispetto degli obblighi può comportare conseguenze economiche e organizzative significative. Il sistema sanzionatorio della NIS2, recepito in Italia dal D.Lgs. 138/2024, distingue tra soggetti essenziali e soggetti importanti e prevede limiti massimi differenti in funzione della categoria e della violazione.
Per le principali violazioni degli obblighi di gestione del rischio e notifica, le sanzioni massime possono arrivare, per i soggetti essenziali, a 10 milioni di euro oppure al 2% del fatturato mondiale annuo totale dell’esercizio precedente, se superiore. Per i soggetti importanti, il limite può raggiungere 7 milioni di euro oppure l’1,4% del fatturato mondiale annuo, se superiore. L’applicazione concreta dipende dalla violazione contestata, dai criteri previsti dalla normativa e dalle circostanze del caso.
Oltre alle sanzioni pecuniarie, sono previste misure di vigilanza e correttive. In determinate circostanze possono inoltre emergere responsabilità per i componenti degli organi direttivi, soprattutto in relazione agli obblighi di approvazione, supervisione e attuazione delle misure di sicurezza.
DORA prevede un sistema distinto. Per le entità finanziarie, il regolamento stabilisce obblighi di vigilanza e richiede agli Stati membri di assicurare sanzioni amministrative e misure correttive effettive, proporzionate e dissuasive, attraverso le autorità competenti e nel rispetto del quadro nazionale applicabile. Anche le persone fisiche responsabili delle violazioni possono essere interessate dalle misure previste dal diritto applicabile.
Un regime specifico riguarda i fornitori terzi critici di servizi ICT sottoposti alla sorveglianza europea. Nei loro confronti, DORA prevede la possibilità di imporre penalità di mora fino all’1% del fatturato medio giornaliero mondiale dell’esercizio precedente, per un massimo di sei mesi, secondo le condizioni stabilite dal regolamento.
Il rischio, quindi, non è soltanto quello di sostenere un costo economico elevato. Un’organizzazione non conforme può essere esposta anche a interventi delle autorità, richieste di adeguamento e conseguenze reputazionali, oltre agli effetti operativi di un incidente gestito in modo inefficace.
DORA e NIS2: differenze e possibili sovrapposizioni
Le due normative condividono diversi obiettivi, ma non sono intercambiabili. La NIS2 definisce un quadro generale per la sicurezza delle reti e dei sistemi informativi nei settori strategici; DORA stabilisce invece un regime settoriale specifico per la resilienza operativa digitale del comparto finanziario.
Per le entità finanziarie comprese nel perimetro di DORA, il regolamento opera come disciplina speciale rispetto agli obblighi NIS2 corrispondenti in materia di gestione del rischio ICT, segnalazione degli incidenti e test di resilienza. Ciò non significa, tuttavia, che ogni organizzazione appartenente a un gruppo finanziario sia automaticamente esonerata da qualsiasi obbligo NIS2: occorre valutare il perimetro giuridico delle singole società, le attività effettivamente svolte e le disposizioni applicabili.
Per i gruppi societari con attività diversificate, la verifica deve quindi essere condotta a livello delle singole entità, evitando di estendere automaticamente l’inquadramento normativo di una società alle altre. La mappatura dei servizi, dei processi critici, dei sistemi informativi e dei fornitori rappresenta il punto di partenza per comprendere quali requisiti si applichino e come coordinare gli adempimenti.
Dalla conformità alla strategia: le misure da adottare
Adeguarsi a DORA e NIS2 richiede un programma strutturato che colleghi governance, tecnologia e organizzazione. Il primo passo consiste nell’individuare gli asset e i processi critici, valutando quali servizi potrebbero essere compromessi da un attacco o da un’interruzione e quali conseguenze ne deriverebbero per l’azienda e i suoi interlocutori.
È quindi necessario rafforzare la gestione delle identità e degli accessi, adottare l’autenticazione a più fattori dove appropriato, applicare il principio del privilegio minimo e mantenere aggiornati sistemi e applicazioni. Il monitoraggio degli eventi deve essere accompagnato da procedure chiare per rilevare gli incidenti, contenerli, gestirne gli effetti e ripristinare i servizi.
La continuità operativa richiede piani documentati, backup adeguatamente protetti e test di ripristino che verifichino la reale capacità di recuperare dati e applicazioni. Allo stesso tempo, i rapporti con i fornitori devono essere sottoposti a una valutazione sistematica, considerando le garanzie di sicurezza, le dipendenze tecnologiche, le modalità di gestione degli incidenti e la possibilità di mantenere operativi i servizi in caso di indisponibilità di un partner.
A queste attività devono affiancarsi formazione del personale, sensibilizzazione del management, verifiche periodiche e documentazione delle decisioni. L’obiettivo non è accumulare procedure o certificazioni, ma dimostrare che le misure adottate sono coerenti con i rischi reali e che vengono mantenute efficaci nel tempo.
La cybersicurezza riguarda anche le imprese non direttamente soggette
L’impatto di DORA e NIS2 supera i confini delle organizzazioni formalmente comprese nei rispettivi perimetri. Entrambe le discipline attribuiscono infatti particolare rilievo ai rischi derivanti dalla catena di fornitura e dalle dipendenze tecnologiche.
Un’impresa che fornisce software, servizi IT o altre prestazioni a una banca, a una struttura sanitaria o a un operatore essenziale potrebbe ricevere richieste di documentazione, questionari di sicurezza, verifiche o specifiche clausole contrattuali. Questi obblighi indiretti non equivalgono automaticamente all’assoggettamento alla NIS2 o a DORA, ma possono incidere concretamente sulle condizioni di accesso e permanenza nelle filiere strategiche.
Per molte aziende, quindi, investire nella sicurezza informatica significa anche rafforzare la propria affidabilità commerciale, dimostrare la capacità di proteggere i dati dei clienti e ridurre il rischio di interruzioni nei rapporti di fornitura.
La vera sfida posta da DORA e NIS2 non consiste soltanto nel rispettare una scadenza o nell’evitare una sanzione. Consiste nel trasformare la cybersicurezza da intervento tecnico circoscritto a componente strutturale della gestione d’impresa. In un’economia sempre più interconnessa, la resilienza digitale diventa una condizione per proteggere la continuità operativa, preservare la fiducia e sostenere la competitività nel lungo periodo.
