Regolamento (UE) 2024/1774

Regolamento delegato (UE) 2024/1774 sulla gestione dei rischi informatici nel settore finanziario

Il regolamento delegato integra il regolamento (UE) 2022/2554 (DORA) precisando, con norme tecniche di regolamentazione, gli strumenti, i metodi, i processi e le politiche necessari per la gestione dei rischi informatici nelle entità finanziarie. Il testo è costruito secondo un criterio di proporzionalità: da un lato definisce un quadro ordinario molto articolato per le entità soggette all’articolo 15 DORA; dall’altro delinea un quadro semplificato per le entità finanziarie rientranti nell’articolo 16, paragrafo 1. I considerando insistono sulla necessità di adattare gli adempimenti a dimensioni, struttura, complessità, profilo di rischio e criticità dei servizi, nonché di tener conto delle migliori pratiche e degli standard europei di normazione.

Ambito e principi generali

L’articolo 1 stabilisce che tutte le politiche, procedure, protocolli e strumenti relativi alla sicurezza delle TIC e al quadro semplificato devono essere tarati sul profilo di rischio complessivo dell’entità finanziaria. Il parametro di modulazione comprende, in particolare, cifratura e crittografia, sicurezza delle operazioni TIC, sicurezza di rete, gestione di progetti e modifiche TIC e impatto dei rischi informatici sulla riservatezza, integrità, disponibilità dei dati e continuità delle attività.

Quadro ordinario: governance, rischio e asset TIC

Nel quadro ordinario, le entità finanziarie devono integrare le politiche di sicurezza delle TIC e dell’informazione nel framework di gestione dei rischi informatici. Le politiche devono essere approvate dall’organo di gestione, allineate alla strategia di resilienza operativa digitale, prevedere indicatori e misure di monitoraggio, regole sulla separazione dei compiti, responsabilità del personale, documentazione da conservare e conseguenze dell’inosservanza, salvo che queste siano già regolate in altra policy interna.

La gestione del rischio informatico richiede una metodologia formalizzata di valutazione delle minacce e delle vulnerabilità, la definizione delle misure di trattamento, il tracciamento dei rischi residui accettati e il loro riesame almeno annuale. Il testo è molto chiaro nel richiedere monitoraggio continuo del panorama delle minacce e delle vulnerabilità, nonché un processo che consenta di adeguare il risk management alle evoluzioni della strategia aziendale e della resilienza operativa digitale.

Per quanto riguarda gli asset, le entità devono disporre di una politica di gestione delle risorse TIC e di una procedura di classificazione e critica degli asset informativi e tecnologici. Devono essere mantenuti registri dettagliati con identificativo univoco, ubicazione, classificazione, proprietario, funzioni supportate, requisiti di continuità operativa, esposizione a reti esterne, interdipendenze e, ove applicabile, date di fine assistenza del fornitore. Per le entità diverse dalle microimprese, occorre inoltre disporre della documentazione necessaria per valutare i rischi specifici dei sistemi legacy.

Cifratura, chiavi e crittografia

Il regolamento richiede una politica dedicata alla cifratura e ai controlli crittografici, costruita sulla base della classificazione dei dati e della valutazione dei rischi informatici. La cifratura deve riguardare i dati a riposo e in transito e, ove necessario, anche i dati in uso; se la cifratura dei dati in uso non è possibile, il trattamento deve avvenire in ambienti separati e protetti o tramite misure equivalenti.

La politica deve anche disciplinare la gestione delle chiavi crittografiche durante l’intero ciclo di vita: generazione, rinnovo, conservazione, backup, archiviazione, recupero, trasmissione, revoca, ritiro e distruzione. Deve inoltre essere previsto un registro dei certificati e dei dispositivi di archiviazione dei certificati, almeno per le risorse TIC che supportano funzioni essenziali o importanti, con obbligo di rinnovo tempestivo prima della scadenza.

Sicurezza operativa, logging, rete e gestione delle vulnerabilità

Gli articoli 8-14 costituiscono il blocco tecnico più denso del regolamento. Le politiche per le operazioni TIC devono disciplinare installazione, manutenzione, configurazione, disinstallazione, backup e ripristino, scheduling e interdipendenze tra sistemi, separazione tra ambienti di produzione e ambienti di sviluppo/test, gestione degli errori e dei contatti di supporto. I test in produzione sono ammessi solo in casi eccezionali, se chiaramente identificati, motivati, limitati nel tempo e approvati dalla funzione competente.

La gestione della capacità e delle prestazioni impone di identificare i requisiti di capacità, ottimizzare le risorse e prevenire carenze che possano compromettere disponibilità ed efficienza. La gestione delle vulnerabilità richiede scansioni automatizzate, almeno settimanali per le risorse che supportano funzioni essenziali o importanti, verifica della tempestività d’azione dei fornitori terzi, tracciamento delle librerie di terze parti e obblighi di comunicazione responsabile delle vulnerabilità a clienti, controparti e pubblico. La gestione delle patch deve prevedere identificazione, test, applicazione, tempi di installazione e procedure di escalation.

Il logging deve coprire gli eventi relativi a accessi, identità, capacità, modifiche, operazioni TIC e traffico di rete, con protezione dei log da manomissioni e sincronizzazione degli orologi. Sul fronte di rete, il testo richiede segmentazione, documentazione dei flussi, rete dedicata per l’amministrazione, controllo degli accessi, cifratura delle connessioni, revisione annuale dell’architettura e, per i sistemi essenziali o importanti, verifica delle regole firewall almeno ogni sei mesi.

Dati, sistemi, accessi e sicurezza fisica

La protezione dei dati e dei sistemi comprende restrizioni di accesso, configurazioni di base sicure, autorizzazione del software, protezione contro il malware, regole su supporti di memorizzazione e dispositivi endpoint, cancellazione sicura dei dati non più necessari e dismissione sicura dei supporti contenenti informazioni riservate. Sono previste misure specifiche per telelavoro e dispositivi privati, nonché per i servizi TIC gestiti da fornitori terzi.

Sul versante degli accessi, il regolamento impone politiche di gestione delle identità e dei diritti di accesso basate su identificazione e autenticazione univoca, account individuali, ciclo di vita degli account, revisione periodica dei diritti, revoca senza ritardo quando l’accesso non è più necessario, autenticazione robusta per accesso remoto, privilegiato e per risorse critiche, oltre a controlli fisici e logging degli accessi ai locali e ai data center. La sicurezza fisica e ambientale richiede misure di protezione contro attacchi, incidenti e minacce ambientali, oltre a policy di tipo "clear desk" e "clear screen".

Incident management e continuità operativa

La gestione degli incidenti TIC si fonda su una policy dedicata, su meccanismi tecnici e organizzativi di rilevazione delle anomalie, su un elenco dei contatti rilevanti interni ed esterni e su un sistema di conservazione delle prove. Gli incidenti significativi o ricorrenti devono essere analizzati anche in termini di cause di fondo e trend. La rilevazione delle anomalie deve basarsi su fonti interne ed esterne, inclusi i log, le informazioni dalle funzioni aziendali e dai fornitori terzi, e strumenti di alert automatico per le attività anomale.

La continuità operativa TIC è disciplinata in modo molto dettagliato: le politiche devono allinearsi all’analisi di impatto sul business, definire l’ambito dei piani e le condizioni di attivazione/disattivazione, prevedere governance, risorse, obiettivi di ripristino, scenari gravi e plausibili, test, riesami e comunicazione di crisi. Per controparti centrali, depositari centrali di titoli e sedi di negoziazione sono imposti requisiti aggiuntivi, tra cui il riferimento a tempi di ripristino di due ore o approssimativamente due ore per specifiche funzioni e capacità di gestire scenari catastrofici, siti secondari e interdipendenze di mercato. I test devono essere svolti almeno annualmente, documentati e seguiti dalla correzione delle carenze, con comunicazione all’organo di gestione.

Relazione di riesame del quadro di gestione dei rischi informatici

L’articolo 27 prevede una relazione elettronica ricercabile, con contenuti minuziosamente elencati: contesto organizzativo, struttura di gruppo, strategie e progetti in corso, dipendenze da servizi interni ed esterni, profilo di rischio corrente e a breve termine, modifiche rilevanti rispetto al passato, ragioni del riesame, periodo oggetto di verifica, funzione responsabile, debolezze e carenze riscontrate, misure correttive, impatto su risorse e bilancio, stato di attuazione e fonti informative, inclusi audit, valutazioni di conformità, test di resilienza e fonti esterne.

Quadro semplificato

Per le entità finanziarie ammesse al quadro semplificato, il regolamento riduce gli obblighi ma mantiene la logica di fondo del DORA. L’organo di gestione resta responsabile della strategia, della definizione dei ruoli, dell’approvazione delle classificazioni e dei piani di continuità, dell’allocazione annuale delle risorse e della supervisione delle misure di sicurezza. È richiesta una sola politica di sicurezza delle informazioni, con norme e principi di alto livello, e un set di misure TIC che copra classificazione degli asset, gestione del rischio, sicurezza fisica, accessi, operazioni, dati e reti, test, acquisizione/sviluppo, modifiche e continuità operativa.

Il quadro semplificato prevede comunque classificazione e documentazione di funzioni essenziali o importanti, patrimoni informativi e risorse TIC, monitoraggio continuo delle minacce, soglie di allarme, misure di sicurezza fisica, controllo degli accessi, logging, scansioni automatizzate delle vulnerabilità, cancellazione sicura dei dati, protezione del telelavoro, piani di test della sicurezza TIC e procedure di gestione dei progetti e delle modifiche. Anche qui la continuità operativa va testata almeno una volta l’anno per backup e ripristino, e le carenze devono essere analizzate e riferite all’organo di gestione.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.