DORA: resilienza operativa digitale

Il regolamento DORA si applica dal 17 gennaio 2025 a istituti di pagamento, istituti di moneta elettronica, imprese di investimento, gestori di fondi, prestatori di servizi per le cripto-attività, assicurazioni e altre entità finanziarie. La vigilanza è esercitata dalla ČNB, che dal 2025 verifica come le società rispettano DORA. Prepariamo la documentazione completa, adeguiamo i contratti con i fornitori ICT, compiliamo il registro delle informazioni e impostiamo la segnalazione degli incidenti.

Aggiornato l’11 novembre 2026

A chi si applica DORA?

Il regolamento (UE) 2022/2554 (DORA) si applica alle entità finanziarie di cui all’articolo 2, tra cui:

• banche, istituti di pagamento e istituti di moneta elettronica, compresi i piccoli prestatori di servizi di pagamento e i piccoli emittenti di moneta elettronica,
• prestatori di servizi per le cripto-attività (CASP),
• imprese di investimento, gestori di fondi di investimento alternativi e società di gestione,
• imprese di assicurazione e riassicurazione e intermediari assicurativi di maggiori dimensioni,
• fornitori di servizi di crowdfunding.

DORA non si applica invece, per esempio, ai gestori di fondi sotto soglia ai sensi dell’articolo 3, paragrafo 2, della direttiva AIFM, nella Repubblica Ceca tipicamente ai soggetti di cui al § 15 ZISIF, né agli intermediari assicurativi che sono piccole o medie imprese (articolo 2, paragrafo 3, di DORA).

Che cosa richiede DORA?

1. Gestione dei rischi ICT (articoli da 5 a 16): strategia di resilienza operativa digitale, inventario degli asset, politiche di sicurezza, continuità operativa, backup e ripristino. I piccoli prestatori di servizi di pagamento, i piccoli emittenti di moneta elettronica e le piccole imprese di investimento possono applicare il quadro semplificato dell’articolo 16.
2. Gestione e segnalazione degli incidenti (articoli da 17 a 23): classificazione degli incidenti e segnalazione di quelli gravi alla ČNB.
3. Test (articoli da 24 a 27): programma di test, sistemi critici almeno una volta l’anno. I test di penetrazione basati sulle minacce (TLPT) almeno ogni tre anni spettano solo alle entità designate dalla ČNB.
4. Gestione del rischio di terzi (articoli da 28 a 30): registro delle informazioni sui contratti con i fornitori ICT, clausole contrattuali obbligatorie e strategie di uscita.

Che cosa controlla la ČNB in pratica?

La ČNB ha avviato nel 2025 la prima vigilanza ai sensi di DORA. Ha coinvolto in un’indagine pilota 16 soggetti dei servizi di investimento e di pagamento e ha utilizzato un questionario con oltre 400 domande di controllo. Il lavoro maggiore per le società è stato la gestione dei rapporti con i fornitori ICT: hanno dovuto modificare i contratti, integrare gli obblighi dei fornitori e iniziare a tenere registrazioni che prima non tenevano in modo sistematico (Právní prostor, relazione annuale della ČNB per il 2025, in ceco).

Che cos’è il registro delle informazioni e quando si consegna?

Il registro delle informazioni raccoglie tutti i contratti con i fornitori di servizi ICT, compresi cloud, software ed esternalizzazione IT (articolo 28, paragrafo 3, di DORA). La ČNB lo raccoglie tramite il sistema SDAT. Nel 2026 la scadenza era il 2 marzo 2026. La ČNB informa i soggetti segnalanti dell’obbligo e della scadenza con un apposito avviso (ČNB, DORA – soggetti segnalanti, in ceco).

Entro quando va segnalato un incidente grave?

• notifica iniziale: entro 4 ore dalla classificazione dell’incidente come grave e comunque entro 24 ore dal momento in cui se ne è venuti a conoscenza,
• relazione intermedia: entro 72 ore dalla notifica iniziale,
• relazione finale: entro un mese dall’ultima relazione intermedia.

I termini sono fissati dal regolamento delegato (UE) 2025/301 della Commissione. La procedura di classificazione e segnalazione deve quindi essere pronta in anticipo, non durante l’incidente.

Come si rapporta DORA alla legge ceca sulla cibersicurezza?

Per le entità finanziarie DORA è una normativa settoriale. Dove disciplina in modo equivalente la gestione dei rischi informatici e la segnalazione degli incidenti, prevale sulla legge n. 264/2025 Racc. sulla cibersicurezza, che recepisce la direttiva NIS2. La legge sulla cibersicurezza si applica però dove DORA non disciplina un ambito, per esempio la registrazione presso il NÚKIB. La vigilanza primaria spetta alla ČNB, il NÚKIB ha un ruolo complementare (dichiarazione congiunta della ČNB e del NÚKIB, 24 giugno 2026, in ceco).

Come possiamo aiutarLa?

• Documentazione DORA su misura: strategia, politiche, regolamenti interni, inventario degli asset ICT e piani di continuità.
• Contratti con i fornitori ICT: revisione e integrazione ai sensi dell’articolo 30 di DORA.
• Registro delle informazioni: compilazione del registro e trasmissione alla ČNB.
• Incidenti: procedura di classificazione e segnalazione, modelli di segnalazione per la ČNB.
• Test: programma di test della resilienza operativa digitale.
• Controllo della ČNB: preparazione al questionario e all’indagine.

Forniamo la documentazione come pacchetto di servizi per l’attuazione di DORA. Ai nuovi richiedenti di una licenza ČNB la prepariamo direttamente come parte della domanda.

Domande frequenti

DORA si applica anche ai piccoli istituti di pagamento?

Sì. DORA si applica anche ai piccoli prestatori di servizi di pagamento e ai piccoli emittenti di moneta elettronica, che possono però applicare il quadro semplificato di gestione dei rischi ICT dell’articolo 16.

DORA si applica ai soggetti di cui al § 15 ZISIF?

No. I gestori di fondi sotto soglia ai sensi dell’articolo 3, paragrafo 2, della direttiva AIFM sono esclusi dall’ambito di applicazione di DORA.

Dobbiamo eseguire test di penetrazione TLPT?

Solo se la ČNB Vi designa. Gli altri soggetti effettuano i test secondo il proprio programma, i sistemi critici almeno una volta l’anno.

Dobbiamo modificare i contratti con i fornitori di cloud e software?

Nella maggior parte dei casi sì. I contratti devono contenere le clausole richieste dall’articolo 30 di DORA e per i servizi che supportano funzioni essenziali o importanti valgono requisiti più severi, per esempio il diritto di audit e le strategie di uscita.

Quanto costa l’attuazione di DORA?

Il prezzo dipende dalle dimensioni della società, dall’ampiezza delle attività e dalla documentazione già disponibile. Dopo una consulenza iniziale Le prepareremo un’offerta scritta su misura.

Ci scriva a info@stuchlikova.com per fissare una consulenza iniziale.

Fonti

• Regolamento (UE) 2022/2554 relativo alla resilienza operativa digitale per il settore finanziario (DORA)
• ČNB, DORA – soggetti segnalanti, in ceco
• dichiarazione congiunta della ČNB e del NÚKIB, 24 giugno 2026, in ceco
• Právní prostor, relazione annuale della ČNB per il 2025, in ceco

Referenze

Contatti chiave

Zuzana Stuchlíková

Maxim Obuchov

Bára Vančurová