Framework

DORA (Regulation (EU) 2022/2554)

Di cosa si tratta

Un regolamento UE sulla resilienza operativa digitale per il settore finanziario, direttamente applicabile in tutti gli Stati membri dal 17 gennaio 2025. I suoi pilastri sono la gestione del rischio ICT (articoli da 5 a 16), la gestione e la segnalazione degli incidenti connessi alle ICT (da 17 a 23), i test di resilienza operativa digitale (da 24 a 27), il rischio di terze parti ICT (da 28 a 44) e la condivisione di informazioni (45). Norme tecniche di regolamentazione, come il Regolamento delegato (UE) 2024/1774 sul framework di gestione del rischio ICT, ne approfondiscono i dettagli.

Chi ne ha bisogno

Circa venti tipologie di soggetti finanziari dell'UE, tra cui enti creditizi, istituti di pagamento e di moneta elettronica, imprese di investimento, prestatori di servizi per le cripto-attività, assicuratori e riassicuratori. Le Autorità europee di vigilanza sorvegliano anche direttamente i fornitori di servizi ICT terzi critici. Per i soggetti finanziari, le disposizioni del DORA prevalgono sulle corrispondenti misure della NIS2.

Come viene valutato

Non è prevista alcuna certificazione. La conformità è vigilata dalle autorità nazionali competenti e, per le banche significative, dalla BCE. Gli incidenti gravi connessi alle ICT vengono segnalati in fasi successive (una notifica iniziale, relazioni intermedie e una relazione finale), entro le scadenze stabilite nelle norme tecniche. I soggetti selezionati dalla propria autorità devono svolgere test di penetrazione guidati dalle minacce (TLPT) almeno ogni tre anni.

Articoli

Mappato su un altro framework

78%

Argomenti coperti (39/50)

Gap analysis → DORA Da DORA →

Conteggi: gli articoli che vincolano le entità finanziarie (5–14, 16–19, 24–30, 45), mappati a livello di paragrafo.

DORA qui indica gli articoli che vincolano le entità finanziarie, mappati editorialmente a livello di paragrafo. Le norme tecniche che aggiungono dettagli, come il Regolamento delegato (UE) 2024/1774, non sono mappate, quindi gli argomenti tecnici da esse coperti non mostrano alcun collegamento.

Requisiti

ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.

DORA (Regulation (EU) 2022/2554) requisiti
ID	Requisito	Argomenti	Mappato in
Chapter II: ICT risk management · 11
Art.5	Governance and organisation	Gestione del rischio, Politica di governance, Ruoli e responsabilità, Conformità, Consapevolezza e formazione	10 di 13
Art.6	ICT risk management framework	Gestione del rischio, Sicurezza fisica, Ruoli e responsabilità, Politica di governance, Conformità	10 di 13
Art.7	ICT systems, protocols and tools	—	nessuno
Art.8	Identification	Gestione degli asset, Contesto aziendale, Classificazione dei dati, Risk Assessment, Gestione delle vulnerabilità, Threat Intelligence	13 di 13
Art.9	Protection and prevention	Monitoraggio continuo, Protezione dei dati, Crittografia, Politica di governance, Firewall / Segmentazione di rete, Controllo degli accessi, Accesso privilegiato, Sicurezza fisica, Autenticazione a più fattori, Gestione delle patch	10 di 13
Art.10	Detection	Intrusion Detection, Rilevamento delle anomalie, SIEM / SOC, Monitoraggio continuo, Logging e audit, Minaccia interna	10 di 13
Art.11	Response and recovery	Continuità operativa, Gestione degli incidenti, Mitigazione, Comunicazioni e ripristino, Pianificazione del ripristino, Contesto aziendale, Disaster Recovery	8 di 13
Art.12	Backup policies and procedures, restoration and recovery procedures and methods	Backup e ripristino, Disaster Recovery, Pianificazione del ripristino	11 di 13
Art.13	Learning and evolving	Threat Intelligence, Analisi forense, Lezioni apprese, Consapevolezza e formazione	6 di 13
Art.14	Communication	Comunicazione	8 di 13
Art.16	Simplified ICT risk management framework	Gestione del rischio	10 di 13
Chapter III: ICT-related incidents · 3
Art.17	ICT-related incident management process	Gestione degli incidenti, Analisi forense, Comunicazione, Mitigazione	12 di 13
Art.18	Classification of ICT-related incidents and cyber threats	Gestione degli incidenti, Segnalazione	12 di 13
Art.19	Reporting of major ICT-related incidents and voluntary notification of significant cyber threats	Segnalazione	12 di 13
Chapter IV: Resilience testing · 4
Art.24	General requirements for the performance of digital operational resilience testing	Gestione del rischio	10 di 13
Art.25	Testing of ICT tools and systems	Gestione delle vulnerabilità	13 di 13
Art.26	Advanced testing of ICT tools, systems and processes based on TLPT	Gestione delle vulnerabilità	13 di 13
Art.27	Requirements for testers for the carrying out of TLPT	Gestione delle vulnerabilità	13 di 13
Chapter V: ICT third-party risk · 3
Art.28	General principles	Gestione del rischio della supply chain, Gestione del rischio dei fornitori, Sicurezza del cloud	9 di 13
Art.29	Preliminary assessment of ICT concentration risk at entity level	Gestione del rischio della supply chain	9 di 13
Art.30	Key contractual provisions	Sicurezza del cloud, Gestione del rischio dei fornitori	12 di 13
Chapter VI: Information sharing · 1
Art.45	Information-sharing arrangements on cyber threat information and intelligence	Threat Intelligence	6 di 13

Copertura dell'argomento

Argomenti con requisiti DORA mappati (39):

Nessuna mappatura nei nostri dati Nessun requisito di DORA (11):

Protezione degli endpoint Configurazione sicura Sviluppo sicuro Sicurezza della posta elettronica Sicurezza web Zero Trust Sicurezza mobile Sicurezza DNS WAF DLP Sicurezza delle API