DORA — 2026-10-09
DORA: cinque passaggi per collegare requisiti, evidenze e decisioni
Una traccia operativa per definire il perimetro applicabile, collegare servizi e fornitori, documentare il rischio TIC e verificare incidenti e continuità operativa con fonti ufficiali.
Redazione Norma
1330 parole · 7 min di lettura · stima
In sintesi
Parti dall’entità e dal regime applicabile: DORA distingue perimetri, proporzionalità e un quadro semplificato per categorie specifiche. La scelta del percorso precede la preparazione di checklist e strumenti.EUR-Lex · Reg. (UE) 2022/2554, artt. 2, 4, 16 e 24–25
Collega il registro delle informazioni a servizi, funzioni e fornitori. Identificativi coerenti e dati aggiornati rendono i collegamenti verificabili; l’elenco dei contratti richiede qualità e manutenzione nel tempo.EUR-Lex · Reg. di esecuzione (UE) 2024/2956, artt. 3–5
Organizza gli incidenti distinguendo dati accertati e stime, poi aggiorna le informazioni nelle fasi previste. Per la segnalazione servono i modelli ufficiali e i canali della rispettiva autorità competente.EUR-Lex · Reg. di esecuzione (UE) 2025/302, artt. 1 e 4
Approfondisci DORA e confronta domande e fonti nella community
1. Definire il perimetro prima della checklist
Il primo controllo riguarda il soggetto e la sua attività. L’articolo 2 del regolamento DORA identifica le categorie interessate e le esclusioni; l’articolo 4 introduce la proporzionalità. L’articolo 16 prevede un quadro semplificato per categorie determinate. Una piccola dimensione, da sola, non permette di scegliere quel regime. Occorre verificare la qualificazione concreta dell’entità e le disposizioni pertinenti prima di assegnare requisiti ai responsabili.EUR-Lex · Reg. (UE) 2022/2554, artt. 2, 4, 16 e 24–25
La pagina DORA di ESMA distingue gestione del rischio TIC, rischio dei fornitori, test, incidenti e altri elementi del quadro. Come proposta organizzativa, prepara una mappa delle fonti: per ogni tema indica atto, articolo, argomento e data del controllo. Conserva separati regolamento, norme tecniche e materiali di vigilanza. Questa distinzione aiuta chi revisiona a riconoscere la base di una frase e a tornare al documento pertinente.ESMA · DORA: quadro normativo e materiali di vigilanza
La politica per i servizi TIC a supporto di funzioni essenziali o importanti richiede una metodologia per determinarli e indicare quando valutazione e riesame avvengono. Come metodo di lavoro, scrivi chi motiva tale classificazione, quale funzione viene supportata e quali documenti sono stati consultati. Una scheda così costruita rende leggibile la decisione al collega che la riprende, evitando etichette prive di spiegazione o una classificazione affidata soltanto al nome del software.EUR-Lex · Reg. delegato (UE) 2024/1773, art. 3
2. Collegare servizi, funzioni e fornitori
Il registro delle informazioni segue i modelli del regolamento di esecuzione 2024/2956. Comprende i servizi TIC dei fornitori diretti e, nel perimetro previsto, i subappaltatori con un ruolo effettivo nel supporto di funzioni essenziali o importanti. Accuratezza e coerenza richiedono riesami periodici e correzioni tempestive. Come proposta operativa, tratta ogni identificativo come un collegamento stabile: entità, accordo contrattuale, funzione e fornitore devono poter essere ricondotti agli stessi documenti.EUR-Lex · Reg. di esecuzione (UE) 2024/2956, artt. 3–5
EBA mette a disposizione modello dati, pacchetti tecnici, regole di validazione e materiali sulla qualità del registro. Per preparare un’esportazione, individua il pacchetto pertinente al periodo e le istruzioni della tua autorità. Come procedura interna, registra quale versione hai usato, conserva l’esito dei controlli e assegna ogni errore a un responsabile. Un file che supera una verifica tecnica resta comunque da confrontare con contratti, funzioni effettive e informazioni ricevute dai fornitori.EBA · Risorse per la segnalazione del registro delle informazioni
Per il subappalto dei servizi TIC a supporto di funzioni essenziali o importanti, il regolamento delegato 2025/532 disciplina valutazioni prima dell’accordo e modifiche sostanziali successive. Come esempio di organizzazione, apri una scheda quando il fornitore comunica un cambiamento: descrivi servizio coinvolto, informazioni ricevute, impatto da valutare e decisione da assumere. Collega la scheda al contratto e alle evidenze disponibili, mantenendo visibile ciò che manca e chi deve richiederlo.EUR-Lex · Reg. delegato (UE) 2025/532, artt. 3 e 5
3. Motivare rischi e controlli
Nel quadro ordinario, l’articolo 3 del regolamento delegato 2024/1774 collega tolleranza al rischio, valutazione delle minacce e vulnerabilità, trattamento e rischio residuo. Come proposta operativa, descrivi uno scenario concreto: quale servizio può interrompersi, quali conseguenze attendi, quale controllo interviene e quale evidenza ne dimostra il funzionamento. Registra anche il limite del controllo. Un indicatore è più utile quando chi lo legge comprende il rischio che rappresenta e la decisione che orienta.EUR-Lex · Reg. delegato (UE) 2024/1774, artt. 3 e 25
Una risposta finale delle ESAs sulla separazione della rete di amministrazione chiarisce che le scelte dipendono dall’ambiente e dalla valutazione del rischio. Nel caso esaminato, una VLAN può richiedere controlli aggiuntivi per un isolamento adeguato. L’indicazione pratica è documentare la motivazione dell’architettura e verificare il risultato richiesto. La presenza di una tecnologia o di una casella selezionata nella checklist non dimostra da sola l’efficacia della misura adottata.Joint ESAs · Q&A 2024_7178, risposta finale 25 luglio 2025
Per i servizi che supportano funzioni essenziali o importanti, la politica sui fornitori deve essere riesaminata dall’organo di gestione almeno annualmente e aggiornata se necessario. Come proposta interna, collega alla revisione le decisioni aperte, i cambiamenti contrattuali e le informazioni ancora da ottenere. Questo rende il riesame un’occasione per decidere su elementi specifici, con una motivazione consultabile in seguito.EUR-Lex · Reg. delegato (UE) 2024/1773, art. 3
4. Preparare il percorso degli incidenti
Per gli incidenti gravi, il regolamento di esecuzione 2025/302 definisce un modello per notifica iniziale, relazione intermedia e relazione finale. Nelle prime fasi sono ammesse stime, quando mancano dati accurati, secondo le condizioni previste; le informazioni vengono poi aggiornate. Come metodo operativo, marca ogni valore come accertato o stimato, indica origine e momento della rilevazione e conserva le correzioni. Per l’invio usa il canale sicuro messo a disposizione dalla rispettiva autorità competente.EUR-Lex · Reg. di esecuzione (UE) 2025/302, artt. 1 e 4
La relazione finale prevista dal regolamento delegato 2025/301 comprende cause, risoluzione, date e ore pertinenti, costi e perdite, oltre agli altri elementi applicabili. Come proposta di lavoro, raccogli questi dati durante la gestione dell’evento in un fascicolo ordinato: cronologia, decisioni, azioni e riferimenti alle evidenze. Distingui il ripristino del servizio dal trattamento della causa: una descrizione chiara permette di capire quali problemi sono risolti e quali richiedono ancora un intervento.EUR-Lex · Reg. delegato (UE) 2025/301, artt. 4 e 5
Lo stesso regolamento disciplina i termini di segnalazione e le condizioni particolari. Prima di attivare promemoria, verifica classificazione, momento di conoscenza dell’incidente, fase del rapporto e regole applicabili all’entità. Come proposta interna, annota il riferimento normativo e il calcolo adottato per ogni scadenza. Un messaggio automatico può richiamare l’attenzione; il responsabile deve poter controllare presupposti, informazioni e canale dell’invio.EUR-Lex · Reg. delegato (UE) 2025/301, artt. 4 e 5
5. Verificare ripristino e riesame
Il capo IV di DORA disciplina i test di resilienza operativa digitale, con distinzioni e proporzionalità previste dal testo. Gli esiti devono alimentare la gestione delle carenze nel perimetro applicabile. Come proposta pratica, associa ogni test a una domanda verificabile: il servizio riparte, i dati necessari sono disponibili, i ruoli riescono a coordinarsi? Scrivi prima il risultato atteso e confrontalo con quanto osservato, conservando l’esito e le deviazioni da analizzare.EUR-Lex · Reg. (UE) 2022/2554, artt. 2, 4, 16 e 24–25
Per i test dei piani di continuità operativa, il regolamento delegato 2024/1774 richiama analisi di impatto, valutazione del rischio e scenari severi ma plausibili. I risultati devono essere documentati e le carenze affrontate. Come esempio organizzativo, usa una scheda con scenario, prerequisiti, obiettivi di recupero, esito, evidenze e interventi da assegnare. Questi campi rendono confrontabili prove successive senza introdurre un tempo di ripristino universale, indipendente da servizio e contesto.EUR-Lex · Reg. delegato (UE) 2024/1774, artt. 3 e 25
Come proposta organizzativa, collega ogni intervento alla prova che ne verifica l’esito e programma il riesame dei punti aperti. La scheda deve mostrare documenti mancanti, decisioni da prendere e responsabile: riprendere una politica richiede informazioni consultabili e aggiornate.EUR-Lex · Reg. delegato (UE) 2024/1773, art. 3
Domande e risposte
Un registro completo dimostra la conformità a DORA?
Il registro serve anche a monitorare il rischio dei fornitori e a supportare la vigilanza, come spiega EBA. La sua qualità è quindi un risultato specifico da verificare. Non basta per concludere che ogni elemento del quadro DORA sia soddisfatto. Come proposta di revisione, distingui l’esito dei controlli sul file dalle valutazioni su rischi, controlli e attività operative, mantenendo riferimenti ed evidenze per ciascuno.EBA · Risorse per la segnalazione del registro delle informazioni
Esiste una configurazione tecnica adatta a ogni entità?
La Q&A delle ESAs sulla rete di amministrazione richiama un approccio basato sui principi e neutrale rispetto alla tecnologia. La sufficienza dei controlli dipende dal contesto e dalla valutazione del rischio. Questo chiarimento riguarda il caso esaminato: non costituisce una certificazione generale di prodotti o architetture. La scelta tecnica richiede una motivazione e una verifica dell’efficacia rispetto al requisito applicabile, anche quando la soluzione utilizza componenti molto diffusi.Joint ESAs · Q&A 2024_7178, risposta finale 25 luglio 2025
Preparato con assistenza AI, rivisto dalla redazione