01 ·
Gestione del rischio ICT
Framework documentato di gestione del rischio ICT approvato dall'organo di gestione: la responsabilità è del board, non solo dell'IT. Mappatura asset, protezione, detection, response e recovery.
DORA: la resilienza si misura, non si dichiara.
Il regolamento DORA impone alle entità finanziarie una resilienza operativa digitale dimostrabile: rischio ICT governato dal board, incidenti gravi notificati in ore, test guidati dalla minaccia reale. Un attacco al comparto finanziario non è un evento di bilancio: è qualcuno, con un nome e delle TTP note.
Quadro normativo
Reg. (UE) 2022/2554
RTS 2025/301
TIBER-EU
ESAs · EBA · ESMA · EIOPA
Vigilanza Italia
Banca d'Italia
Consob
IVASS
I cinque pilastri DORA
Cinque obblighi, un solo requisito implicito: capacità operativa.
DORA non chiede policy: chiede di rilevare, classificare, notificare, testare e vigilare. Ogni pilastro presuppone un presidio che funziona davvero, 24·7·365.
02 ·
Notifica degli incidenti
Classificazione degli incidenti ICT e notifica dei gravi all'autorità di vigilanza: 4 ore dalla classificazione, report intermedio a 72 ore, finale entro 1 mese. Template armonizzati (RTS 2025/301).
03 ·
Test di resilienza
Programma di test proporzionato al rischio, fino ai TLPT su base TIBER-EU almeno triennali per le entità significative: scenari costruiti sugli attori reali che colpiscono il comparto.
04 ·
Rischio ICT di terze parti
Registro dei contratti ICT, clausole obbligatorie, exit strategy, vigilanza diretta europea sui fornitori critici. La resilienza del fornitore diventa parte della vostra.
05 ·
Condivisione di informazioni
Scambio volontario di cyber threat intelligence tra entità finanziarie: IOC, TTP, alert di settore. La difesa del comparto è collettiva o non è.
Proof · i tempi che DORA presuppone
Notificare in 4 ore richiede rilevare in minuti.
4h
notifica iniziale
dalla classificazione (≤24h dalla scoperta)
dalla classificazione (≤24h dalla scoperta)
<15 min
TTD mediano Fortgale
dalla telemetria all'alert
dalla telemetria all'alert
<30 min
TTC mediano Fortgale
dalla detection all'azione
dalla detection all'azione
287
tra gruppi avversari e strumenti
d'attacco tracciati dalla CTI
d'attacco tracciati dalla CTI
Perimetro
Chi è soggetto a DORA.
Oltre 20 categorie di entità finanziarie: banche, imprese di investimento, assicurazioni e riassicurazioni, istituti di pagamento e di moneta elettronica, gestori di fondi, sedi di negoziazione, fornitori di servizi su cripto-attività, più i fornitori ICT critici designati dalle autorità europee. A differenza della NIS2, DORA è un regolamento: identico in tutta l'UE, senza recepimento nazionale, applicabile dal 17 gennaio 2025. Per il rapporto con la NIS2 e gli altri obblighi di notifica: hub normativa e confronto dei regimi di notifica.
Dopo DORA · 2026
Dopo DORA: le richieste 2026 di Banca d'Italia, BCE, IVASS ed ESAs.
DORA resta la base: nessuna delle comunicazioni del 2026 introduce una norma nuova. Chiedono però di dimostrare, con una scadenza e un responsabile, che i presidi reggono anche contro attacchi che usano l'intelligenza artificiale. Per i sistemi di IA che l'entità stessa adotta: AI Security.
17/07/2026 ·
Banca d'Italia · Comunicazione al mercato
Resilienza operativa digitale e modelli avanzati di IA, per banche meno significative e intermediari vigilati: sei aree, dalla governance ai test. Il CdA esamina la Comunicazione e avvia una Relazione per ciascuna area, con piano di lavoro e punto di responsabilità, da trasmettere alla Vigilanza entro il 31/12/2026. Guida operativa: Comunicazione Banca d'Italia su IA e resilienza.
07/07/2026 ·
BCE · lettera «Addressing AI-enabled cybersecurity threats»
Indirizzata ai vertici delle banche significant: piano d'azione consegnato ai Joint Supervisory Team entro il 31/10/2026. Ora la fase successiva: analisi orizzontale della BCE e follow-up dei JST; l'IT Risk Questionnaire è rinviato a febbraio 2027.
17/07/2026 ·
IVASS · Comunicazione al mercato
Per imprese di assicurazione e riassicurazione: stessa impostazione e stessa scadenza del 31/12/2026. Relazione esaminata dal CdA e trasmessa all'Istituto, con un punto di responsabilità aziendale per la resilienza ICT.
31/07/2026 ·
ESAs ed ESRB · livello europeo
Statement ESAs JC 2026 25: governance e vigilanza coerente sui rischi dei modelli di IA di frontiera, nessun obbligo nuovo. Warning ESRB/2026/3, pubblicato il 07/07/2026: rischio cyber sistemico classificato «severe».
Banca d'Italia · Circolare 285
Circolare 285 e DORA: cosa resta della disciplina nazionale.
Con il 51° aggiornamento, in vigore dal 19 febbraio 2026, Banca d'Italia ha abrogato le sezioni sul sistema informativo del Capitolo 4, Titolo IV, Parte Prima, con rinvio diretto a DORA. Resta la sezione sui servizi di pagamento; la disciplina del sistema di gestione dei dati è stata spostata nel Capitolo 3. Il Capitolo 5 sulla continuità operativa è stato adeguato nello stesso aggiornamento: il termine di sei mesi per l'allineamento è scaduto il 19 agosto 2026, quindi l'adeguamento è un fatto da documentare, non un adempimento futuro. Il 52° aggiornamento, del 28 luglio 2026, non tocca i Capitoli 4 e 5. In pratica: i requisiti ICT non stanno più nella Circolare ma nel regolamento e nei suoi RTS, e per chi è vigilato da Banca d'Italia nella Comunicazione del 17 luglio 2026.
Pilastro 4 · terze parti
Registro delle informazioni e fornitori ICT terzi.
L'art. 28 DORA chiede a ogni entità finanziaria un registro delle informazioni su tutti gli accordi contrattuali con fornitori ICT terzi, aggiornato e disponibile per l'autorità. Un servizio MDR, SOC o CTI gestito è un servizio ICT: Fortgale entra nel vostro registro come fornitore ICT terzo, e la sua resilienza diventa parte della vostra. I presidi contrattuali dell'art. 30 (descrizione del servizio e dei livelli, ubicazione dei dati, diritti di accesso e di audit, assistenza in caso di incidente, exit strategy) trovano riscontro nel contratto di servizio; le evidenze su organizzazione, sedi, continuità e gestione dei dati sono raccolte nel trust center, pronte per la due diligence ex ante e per la revisione periodica. Per seguire piano di lavoro ed evidenze in un unico posto c'è la compliance in piattaforma, con gap analysis DORA e revisione degli analisti.
Come Fortgale supporta DORA
Tre capacità, tre pilastri coperti.
In caso di ransomware su un soggetto finanziario, le notifiche DORA corrono insieme alla risposta tecnica: la checklist operativa per un attacco ransomware le colloca nell'ordine giusto.
Pilastri 1-2
MDR · detection e notifica
Rilevazione e contenimento in minuti, evidenze e timeline pronte per la notifica in 4 ore. La classificazione dell'incidente si regge su fatti, non su stime.
Scopri MDR →Pilastri 3-5
CTI · scenari e TLPT
Intelligence su 287 tra gruppi avversari e strumenti d'attacco: scenari threat-led per i test TIBER-EU e contributo allo scambio informativo di settore.
Scopri CTI →Settore
Banche & Finanza
Il verticale Fortgale per il comparto finanziario: attori attivi contro le banche europee, casi documentati e architettura del servizio.
Vai al verticale →FAQ
Domande frequenti su DORA.
Chi è soggetto al regolamento DORA?
Le entità finanziarie dell'UE: banche, imprese di investimento, assicurazioni, istituti di pagamento e di moneta elettronica, gestori di fondi, sedi di negoziazione, fornitori di servizi su cripto-attività, più i fornitori ICT critici designati. In Italia la vigilanza è di Banca d'Italia, Consob e IVASS secondo il comparto.
Quali sono i termini di notifica di un incidente ICT maggiore?
Tre fasi (RTS 2025/301): notifica iniziale entro 4 ore dalla classificazione dell'incidente come maggiore («grave» nel testo italiano del regolamento) e comunque entro 24 ore dalla scoperta; report intermedio entro 72 ore dalla notifica iniziale; report finale entro 1 mese dal report intermedio, con root cause analysis completa. Se un termine cade fuori dall'orario di lavoro, vale il mezzogiorno del giorno lavorativo successivo.
DORA sostituisce la NIS2 per le banche?
DORA è lex specialis: sugli obblighi che copre (rischio ICT, notifica, test) prevale sulla NIS2 per le entità finanziarie. I fornitori non finanziari della filiera restano nel perimetro NIS2. Approfondimento: conformità NIS2.
Cosa sono i TLPT?
Test di penetrazione guidati dalla minaccia su framework TIBER-EU: scenari costruiti sugli attori e sulle TTP che colpiscono davvero il vostro comparto. Obbligatori almeno ogni 3 anni per le entità significative. La loro qualità dipende dalla threat intelligence che li alimenta.
Ogni quanto va fatto il TLPT?
Almeno ogni 3 anni per le entità finanziarie individuate dall'autorità ai sensi dell'art. 26 DORA, su sistemi in produzione che supportano funzioni critiche o importanti. Criteri di selezione delle entità, metodo e requisiti dei tester sono fissati dall'RTS 2025/1190, su base TIBER-EU. L'autorità può chiedere una frequenza maggiore.
DORA è già in vigore?
Sì, dal 17 gennaio 2025, in tutti gli Stati membri e senza recepimento nazionale. Anche gli standard tecnici su notifica, test e terze parti sono operativi.
Da dove partire
Conoscere l'avversario è il primo atto della difesa. Fermarlo in tempo è il secondo.
Un assessment DORA chiarisce la distanza tra la vostra capacità operativa e quella che il regolamento presuppone. SOC di Milano, attivo dal 2017, 24·7·365: il team italiano risponde entro un giorno lavorativo.