Che cos'è la legge sulla resilienza operativa digitale (DORA)?

Il Digital Operations Resilience Act (DORA) è il tentativo dell'Unione Europea di semplificare il processo di gestione del rischio di terze parti tra le istituzioni finanziarie.

Una bozza di DORA è stata pubblicata dalla Commissione europea il 24 settembre 2020.

Senza questa legge, non esiste uno standard oggettivo di gestione del rischio delle tecnologie dell'informazione e della comunicazione (ICT) in Europa. Per ottenere una parvenza di unificazione, sono state tentate varie iniziative normative nazionali, ma ciò ha solo ulteriormente frammentato l'approccio del settore finanziario alla sicurezza informatica.

DORA mira a sostituire i molteplici framework di gestione dei rischi ICT, con un unico approccio unificato per mitigare tutti gli incidenti legati alle TIC nel settore finanziario europeo. Si tratta di una risposta intenzionale alla strategia della Commissione europea in materia di finanza digitale.

DORA mira inoltre a rafforzare la resilienza operativa all'interno del settore finanziario in modo che la continuità aziendale possa essere garantita anche quando l'ICT di un'organizzazione sta subendo interruzioni, ad esempio durante un attacco informatico.

DORA sta inoltre costringendo i fornitori di terze parti ICT (CTPP) critici a conformarsi agli standard normativi, un requisito che sarà supervisionato da una delle tre autorità di vigilanza europee (ESA):

L'Autorità bancaria europea (ABE)
L'Autorità europea delle assicurazioni e delle pensioni aziendali e professionali (EIOPA)
L'Autorità europea degli strumenti finanziari e dei mercati (ESMA)

La conformità sarà valutata attraverso ispezioni (fuori sede e in loco) e la richiesta di informazioni specifiche, come i dettagli dei servizi ICT, i registri di segnalazione degli incidenti e i dettagli delle difese contro i rischi informatici implementate.

Perché la resilienza operativa digitale è importante?

A seguito della recente proliferazione di attacchi informatici contro il settore finanziario europeo, vi è una crescente necessità di resilienza operativa. Questo è il risultato di un aumento globale degli eventi di attacco informatico.

Aumento globale degli attacchi alla supply chain

Sebbene gli attacchi informatici non possano essere evitati, la stabilità finanziaria in Europa può ancora essere raggiunta se le organizzazioni mitigano l'impatto delle minacce informatiche sulle tecnologie dell'informazione e della comunicazione (ICT).

Quando entrerà in vigore la legge sulla resilienza operativa digitale?

La legislazione ufficiale è attualmente in fase di bozza e deve essere presentata per l'approvazione del Parlamento europeo. La pubblicazione del regolamento definitivo è prevista per il 2022.

Una volta adottate, le organizzazioni interessate dovrebbero avere un periodo di transizione per conformarsi ai requisiti di DORA.

Quali organizzazioni saranno interessate da DORA?

DORA avrà un impatto su tutte le entità finanziarie regolamentate a livello dell'UE, tra cui:

Il settore dei servizi finanziari
Istituti di pagamento
Imprese di investimento
Agenzie di rating del credito
Fornitori di servizi per le cripto-attività
Fornitori di servizi di crowdfunding
Fintech
Sedi di negoziazione
Fornitori di sistemi finanziari
Creditizi

Quali sono i requisiti principali di DORA?

DORA presenta i suoi requisiti attraverso 5 pilastri chiave.

Gestione dei rischi ICT
Segnalazione di incidenti ICT
Test di resilienza operativa digitale
Condivisione delle informazioni e dell'intelligence
Gestione del rischio di terze parti ICT

Pilastro 1: Gestione dei rischi relativi alle TIC

Le entità finanziarie saranno tenute a creare e seguire un quadro di gestione dei rischi ICT a supporto di una strategia di continuità operativa, politiche di recupero e strategie di comunicazione.

È importante stabilire un canale di comunicazione affidabile con le parti interessate. Questo nuovo requisito si basa sugli orientamenti esistenti, come gli orientamenti dell'ABE sulla gestione dei rischi relativi alle TIC e alla sicurezza.

Le parti interessate si assumeranno la responsabilità di garantire la continuità operativa coinvolgendo le seguenti mansioni:

Definizione del grado di tolleranza al rischio e all'impatto per le interruzioni delle TIC.
Sviluppo e approvazione di strategie di continuità aziendale.
Sviluppo e approvazione di piani di disaster recovery.
Specifica dei controlli di sicurezza per tutti gli asset critici.

Le strategie di risposta e di ripresa dovrebbero comportare più di una semplice serie di politiche. La rigorosa aspettativa di operazioni aziendali ininterrotte richiederà l'istituzione di ridondanze nelle tecnologie dell'informazione e della comunicazione per rilevare i processi interrotti.

L'investimento in un tale sistema, che dovrebbe includere anche reti di backup e ripristino, richiederà il contributo delle parti interessate.

Pilastro 2: Segnalazione degli incidenti ICT

DORA creerà un canale di segnalazione più snello per gli incidenti legati alle TIC, che rappresenta un gradito consolidamento degli attuali requisiti di segnalazione multipla.

La segnalazione degli eventi trigger dovrebbe essere ridotta e i modelli di segnalazione dovrebbero essere armonizzati.

Si tratta di un passo avanti verso un canale di segnalazione completamente semplificato che porta a un unico hub dell'UE anziché a più autorità nazionali competenti (ANC).

L'EU-hub raccoglierà tutte le segnalazioni dei principali eventi legati alle TIC che hanno un impatto sulle entità finanziarie. I dati raccolti riveleranno eventuali tendenze di vulnerabilità comuni in tutto il settore finanziario per supportare l'ulteriore ottimizzazione della resilienza e della sicurezza delle TIC.

Secondo le nuove norme dell'UE in materia di segnalazione, tutte le società finanziarie dovranno presentare una relazione sulle cause principali entro un mese da un grave incidente relativo alle TIC.

Per sostenere la presentazione tempestiva di tali relazioni, le entità finanziarie dovranno implementare indicatori affidabili di allerta precoce in caso di perturbazioni delle TIC.

Pilastro 3: Test di resilienza operativa digitale

Per garantire l'affidabilità delle difese ICT consolidate, le entità finanziarie dovranno sottoporsi a regolari test di resilienza delle operazioni digitali condotti da parti indipendenti, interne o esterne.

Questi test regolari dovrebbero essere inclusi in un programma di test di resistenza digitale che comprende i seguenti dettagli:

Metodologie di test
Procedure e strumenti di prova
Frequenza dei test di resilienza
Strategia di definizione delle priorità per i criteri di test

Questo non è un nuovo requisito. I framework di Threat-Led Penetration Testing (TLPT) sono attualmente obbligatori per alcune infrastrutture del mercato finanziario (FMI). DORA amplierà i requisiti di test in tutto il settore dei servizi finanziari, aumentando il numero di entità tenute a condurre test obbligatori.

I dettagli di questi criteri di segnalazione ampliati saranno delineati dalle autorità di vigilanza europee (ESA) in una seconda legislazione che dovrebbe essere pubblicata entro la fine del 2021.

DORA's si basa sul processo di riconoscimento dei test transfrontalieri del quadro volontario TIBER-EU sviluppato dalla Banca centrale europea (BCE). Ciò incoraggia il riconoscimento dei test di affidabilità in tutti gli Stati membri dell'UE per ridurre i test duplicati.

Ciò potrebbe anche ridurre la complessità e i costi di conformità delle entità finanziarie già sottoposte a questo processo di test.

Pilastro 4: Condivisione delle informazioni e dell'intelligence

DORA consentirà e incoraggerà lo scambio di informazioni sulle minacce informatiche tra entità all'interno di comunità finanziarie affidabili. L'obiettivo di tale condivisione delle informazioni è aumentare la consapevolezza delle nuove minacce informatiche, delle soluzioni affidabili di protezione dei dati e delle tattiche di resilienza operativa.

Pilastro 5: Gestione dei rischi di terze parti ICT

Questo è probabilmente il pilastro più impegnativo del DORA. I fornitori di servizi cloud (CSP) saranno costretti a conformarsi alle autorità di regolamentazione se vengono classificati come "critici".

Alcuni dei fattori che classificherebbero un fornitore di servizi di terze parti come critico includono:

Grado di sostituibilità: i CSP critici sono più difficili da sostituire in caso di interruzione operativa (che si verifica internamente o nell'ambiente del fornitore).
Il numero di entità finanziarie che si affidano al CSP per la continuità operativa.

Le AEV monitoreranno la conformità dei CSP critici attraverso ispezioni in loco e fuori sede. I responsabili delle autorità di sorveglianza potrebbero imporre una multa per inadempienza fino all'1% del fatturato mondiale giornaliero.

Questi requisiti di conformità non sostituiranno né sostituiranno le normative esistenti come il Regolamento generale sulla protezione dei dati (GDPR).

È importante capire che l'onere della conformità DORA non ricade completamente sui fornitori di terze parti critici. Le entità dei servizi finanziari dovranno implementare programmi di rischio di terze parti per prevenire interruzioni operative causate da attacchi alla catena di approvvigionamento e violazioni di terze parti.

Come prepararsi al Digital Operational Resilience Act

Il 2022 si avvicina rapidamente e le entità finanziarie che rientrano nell'ambito di applicazione della Commissione europea devono iniziare a prepararsi per i requisiti di gestione del rischio di DORA ora.

I seguenti punti di azione aiuteranno la tua organizzazione a prepararsi per questa proposta legislativa.

1. Eseguire un'analisi delle lacune

È necessario completare una valutazione del rischio di maturità rispetto a tutti i requisiti di DORA per determinare tutte le lacune di conformità. Ciò incoraggerà una riforma più efficiente di tutti i sistemi TIC interessati.

2. Determina se sarai classificato come "critico".

I fornitori di terze parti ICT dovranno determinare se rientreranno nella categoria critica. Ciò richiederà una valutazione di tutte le caratteristiche che definiscono la criticità secondo il DORA.

I fornitori di terze parti che rientrano in questa categoria dovranno iniziare a pianificare il modo in cui garantiranno la conformità al quadro di supervisione, una strategia che potrebbe comportare l'istituzione di team normativi dedicati e software per la sicurezza dei dati.

Le società finanziarie dovranno anche determinare quali dei loro fornitori di servizi cloud di terze parti saranno classificati come critici.

Il livello di conformità DORA di tutti i fornitori critici deve essere monitorato attraverso valutazioni del rischio e software di monitoraggio della superficie di attacco di terze parti.

Tutti i fornitori non critici dovrebbero essere mappati su opzioni di outsourcing alternative in caso di incidente ICT che abbia un impatto su ciascun fornitore.

3. Implementare un framework di test di penetrazione basato sulle minacce

Le entità finanziarie che attualmente non implementano il TLPT dovranno reperire fornitori indipendenti per questo servizio.

L'attività delle AEV dovrà essere attentamente monitorata per quanto riguarda l'esposizione avanzata ai requisiti di sperimentazione quando i dettagli saranno disponibili.

4. Valutare le strategie di risposta e recupero

Le attuali strategie di risposta e ripristino dovranno essere misurate rispetto ai requisiti di DORA, con un'attenzione specifica al processo di segnalazione degli incidenti della legislazione.

L'allineamento con il processo di reporting di DORA potrebbe comportare l'ottimizzazione delle attuali allocazioni delle risorse e la modifica degli attuali canali di reporting interno.